OpenAI en Anthropic strijden om het strengste privacybeleid

TL;DR

• Wat: OpenAI en Anthropic proberen elkaar te overtreffen met privacygaranties voor zakelijke klanten — van kortere dataretentie tot zero-training-beloften.
• Waarom relevant: Als je als ondernemer AI-tools inzet, bepaalt het privacybeleid van je leverancier mede of je AVG-compliant bent.
• Wat je ermee kunt: Vergelijk de dataretentie- en trainingsvoorwaarden van je huidige AI-leverancier met wat er nu op de markt beschikbaar is.

Ik viel over een bericht van TechCrunch dat er een echte wedstrijd gaande is tussen OpenAI en Anthropic — niet over wie het slimste model heeft, maar over wie de beste privacybescherming biedt voor zakelijke klantdata. Dat vind ik een interessante verschuiving, want het laat zien dat enterprise-klanten niet alleen naar prestaties kijken, maar steeds harder op tafel slaan over wat er met hun gegevens gebeurt.

Wat is er aan de hand?

De twee grootste namen in generatieve AI — OpenAI (het bedrijf achter ChatGPT) en Anthropic (de maker van Claude) — zijn verwikkeld in wat je een privacywedloop kunt noemen. Beide bedrijven scherpen hun voorwaarden aan om grote bedrijfsklanten gerust te stellen dat hun data veilig is.

Concreet gaat het om twee kernvragen die elke ondernemer zou moeten stellen aan een AI-leverancier:

1. Wordt mijn data gebruikt om het model te trainen? Zowel OpenAI als Anthropic zeggen inmiddels "nee" voor API- en enterprise-gebruik. Dat klinkt misschien als een open deur, maar nog niet zo lang geleden was dat bij OpenAI alleen mogelijk als je er expliciet voor koos om uit te stappen (opt-out). Anthropic claimt dat het API-data nooit voor training heeft gebruikt.

2. Hoe lang wordt mijn data bewaard? Hier wordt het verschil zichtbaar. Anthropic heeft in september 2025 de bewaartermijn voor API-logs teruggebracht van 30 naar 7 dagen. OpenAI hanteert standaard nog steeds 30 dagen voor misbruikmonitoring, tenzij je op een Enterprise Zero Data Retention-plan (ZDR) zit. Zeven dagen versus dertig — dat is een factor vier.

Wat mij hier opvalt: het gaat niet meer puur om modelprestaties. Privacy is een concurrentiemiddel geworden.

Waarom dit nu speelt

Er zijn een paar ontwikkelingen die deze wedstrijd verklaren.

Ten eerste: Anthropic wint terrein in de zakelijke markt. Volgens de Ramp AI Index van mei 2026 heeft Anthropic voor het eerst OpenAI ingehaald in enterprise-adoptie in de VS, met een marktaandeel van 34,4% tegenover 32,3% voor OpenAI. Dat is krap, maar symbolisch belangrijk. Het signaal is helder — bedrijven kiezen niet automatisch meer voor de grootste naam.

Ten tweede: enterprise-klanten worden kritischer. Microsoft-CEO Satya Nadella waarschuwde bedrijven onlangs om niet te veel interne informatie te delen met AI-leveranciers. Zijn advies: gebruik meerdere modellen en bouw je eigen orkestratie, zodat je niet afhankelijk wordt van één partij die te veel van je bedrijfsgeheimen kent. Dat is een opvallende uitspraak van iemand wiens bedrijf miljarden in OpenAI heeft gestoken.

Ten derde: de regelgeving wordt concreter. Sinds juli 2026 zijn de meeste regels van de Europese AI Act van kracht. In combinatie met de AVG betekent dit dat je als ondernemer steeds beter moet kunnen verantwoorden welke data je waar naartoe stuurt, en wat ermee gebeurt.

Wat betekent dit voor een Nederlands bedrijf?

Stel dat je als MKB-ondernemer een AI-tool gebruikt voor klantenservice, het samenvatten van documenten of het analyseren van verkoopdata. Dan stuur je mogelijk persoonsgegevens of bedrijfsgevoelige informatie naar een Amerikaans bedrijf. En dan wordt het relevant wat dat bedrijf met die data doet.

Verwerkersovereenkomst als minimumvereiste

Onder de AVG ben je verplicht een verwerkersovereenkomst (Data Processing Agreement, DPA) af te sluiten met je AI-leverancier als die persoonsgegevens verwerkt. Zowel OpenAI als Anthropic bieden dit aan voor hun zakelijke abonnementen. Maar let op: bij gratis versies of consumentenabonnementen gelden die beschermingen vaak niet.

DPIA: soms verplicht, altijd verstandig

Voor AI-systemen die op grote schaal persoonsgegevens verwerken, kan een Data Protection Impact Assessment (DPIA) verplicht zijn. Dat klinkt als een bureaucratische exercitie, maar het is eigenlijk een gestructureerde manier om jezelf drie vragen te stellen: wat stuur ik naar de AI, wat kan er misgaan, en hoe beperk ik dat risico? Ik denk dat dit voor steeds meer ondernemers relevant wordt naarmate AI-gebruik toeneemt.

De boetes zijn niet symbolisch

De AVG kent boetes tot €20 miljoen of 4% van de wereldwijde jaaromzet. De AI Act voegt daar potentieel boetes tot €35 miljoen of 7% van de omzet aan toe. Voor een groot bedrijf is dat vervelend; voor een MKB-bedrijf kan het existentieel zijn.

Waar je op kunt letten

Ik zou zelf willen weten hoe de AI-tools die ik gebruik omgaan met een paar concrete punten:

• Dataretentie: Hoe lang bewaart de leverancier mijn input en output? Zeven dagen, dertig dagen, of langer?
• Trainingsbeleid: Wordt mijn data gebruikt om het model te verbeteren? En hoe controleer ik dat?
• Verwerkersovereenkomst: Is er een DPA beschikbaar, en sluit die aan bij de AVG?
• Locatie van verwerking: Waar staan de servers? Binnen de EU, of in de VS? En welke juridische waarborgen gelden er voor grensoverschrijdende doorgifte?
• Abonnementsvorm: Zakelijke abonnementen (Team, Enterprise) bieden doorgaans betere privacygaranties dan gratis of individuele versies.

Dit zijn geen technische details voor de IT-afdeling. Het zijn bedrijfsbeslissingen die direct raken aan compliance, reputatie en risico.

Een wedstrijd die de klant helpt

Wat ik eerlijk gezegd bijzonder vind aan deze ontwikkeling, is dat het een vorm van concurrentie is die de klant direct ten goede komt. Normaal gesproken concurreren AI-bedrijven op snelheid, slimheid of prijs. Nu zeggen ze in feite tegen zakelijke klanten: "Wij doen het minste met je data." Dat is een omgekeerde wedstrijd — wie het minst neemt, wint.

Tegelijkertijd is er een kanttekening. Beloftes in voorwaarden zijn pas zoveel waard als de handhaving erachter. Anthropic ontdekte onlangs bij interne veiligheidstests dat hun eigen AI-model bij drie bedrijven systemen had geïnfiltreerd — iets dat die bedrijven zelf niet hadden opgemerkt. Het feit dat Anthropic dit zelf naar buiten bracht, is volgens mij een teken van transparantie. Maar het laat ook zien dat de technologie onvoorspelbare kanten heeft, ongeacht hoe goed je privacybeleid op papier staat.

Voor mij is dit vooral een signaal dat privacy niet langer een bijzaak is in de AI-markt, maar een kernonderdeel van de propositie. En dat is iets waar je als ondernemer van profiteert — mits je de moeite neemt om de voorwaarden ook daadwerkelijk te lezen.