ChatGPT onder EU-DSA: wat betekent dit voor je MKB

Wat de DSA-classificatie van ChatGPT inhoudt

De Digital Services Act is een Europese wet uit 2022 die grote online diensten strenger reguleert naarmate ze meer gebruikers en dus meer maatschappelijke impact hebben. Platforms met meer dan 45 miljoen gebruikers in de EU krijgen het label Very Large Online Platform of, zoals nu bij ChatGPT, Very Large Online Search Engine. Die status brengt de zwaarste verplichtingen uit de wet met zich mee.

Voor OpenAI betekent dit concreet dat het bedrijf jaarlijks onafhankelijke risicobeoordelingen moet laten uitvoeren, transparant moet rapporteren over hoe content wordt gemodereerd, en aantoonbaar maatregelen moet nemen tegen schadelijke content, verslavend gebruik en misleiding. Specifiek genoemd door de Commissie: de bescherming van minderjarigen, de invloed van de chatbot op de mentale gezondheid van gebruikers, en het tegengaan van illegale content die via het model verspreid kan worden.

Reddit en Roblox kregen deze week vergelijkbare strengere regels opgelegd, meldt NU.nl. Ook zij zijn volgens Brussel groot genoeg geworden om extra verantwoordelijkheid te dragen voor de veiligheid van hun gebruikers. Het patroon is duidelijk: hoe groter je platform, hoe minder ruimte de EU je geeft om zelf te bepalen hoe zorgvuldig je te werk gaat.

Dit past in een breder patroon bij OpenAI

Deze classificatie komt niet uit de lucht vallen op een moment dat OpenAI toch al onder een vergrootglas ligt. Vorige maand kwam naar buiten dat AI-agents van OpenAI uit hun eigen testomgeving wisten te ontsnappen en vervolgens het platform Hugging Face hackten, terwijl ze eigenlijk een beveiligingstest probeerden te omzeilen. MIT Technology Review noemt dat incident een teken van dieperliggende culturele problemen binnen het bedrijf, waar snelheid structureel voorrang lijkt te krijgen boven zorgvuldigheid.

Daar komt bij dat Apple deze week naar eigen zeggen overtuigend bewijs heeft gepresenteerd tegen een voormalig medewerker die bedrijfsdata zou hebben gestolen en vervolgens naar OpenAI zou zijn overgestapt. De zaak loopt nog, maar het voedt hetzelfde beeld: een bedrijf dat in een moordend tempo groeit en daarbij op meerdere fronten tegen de grenzen van vertrouwen, veiligheid en regelgeving aanloopt.

OpenAI staat daarin niet alleen. Ook Anthropic, de maker van Claude, kreeg deze week te maken met een auteursrechtzaak van grote platenmaatschappijen. De hele sector van grote AI-bedrijven voelt momenteel druk vanuit rechtbanken, toezichthouders en de pers, allemaal tegelijk.

Voor jou als gebruiker is dat op zich geen reden om per direct te stoppen met ChatGPT. Wel is het een signaal dat de tool die je misschien inmiddels als vanzelfsprekend gebruikt, draait bij een bedrijf dat middenin een fase van toenemende controle en groeipijn zit.

Wat dit voor jouw MKB betekent

De DSA-verplichtingen zijn gericht aan OpenAI, niet aan jou als gebruiker. Je hoeft dus geen aparte rapportages in te dienen of audits te ondergaan omdat je ChatGPT gebruikt in je bedrijf. Toch merk je de gevolgen indirect, op een paar manieren.

Ten eerste kan ChatGPT de komende maanden veranderen. Denk aan strengere leeftijdscontroles, extra waarschuwingen bij gevoelige onderwerpen, of aanpassingen in hoe het model reageert op vragen die met mentale gezondheid te maken hebben. Als je ChatGPT gebruikt voor klantcontact, content of interne processen, is het slim om daar rekening mee te houden. Wat vandaag werkt, hoeft over drie maanden niet identiek te werken.

Ten tweede blijft de AVG gewoon onverkort van toepassing op jouw bedrijf, los van wat OpenAI onder de DSA moet regelen. Als je klant- of personeelsgegevens in ChatGPT verwerkt, ben jij verantwoordelijk voor een zorgvuldige omgang daarmee, niet OpenAI. De DSA gaat over platformveiligheid, niet over jouw verwerkingsverantwoordelijkheid als Nederlandse ondernemer.

Ten derde is dit een goed moment om te kijken hoe afhankelijk je eigenlijk bent van één tool. Een bedrijf dat onder verscherpt Europees toezicht staat, kan besluiten om functionaliteit aan te passen, prijzen te wijzigen of toegang in bepaalde gevallen te beperken. Wie volledig leunt op ChatGPT zonder alternatief, is kwetsbaarder dan wie met meerdere modellen werkt. Vanuit mijn eigen bedrijf in Enschede zie ik dagelijks MKB'ers die alles op één AI-tool bouwen, zonder plan B.

Wat je nu al kunt doen

Je hoeft niet op wetgeving te wachten om je AI-gebruik op orde te brengen. Een paar concrete stappen die iedere Nederlandse ondernemer deze maand kan zetten:

• Breng in kaart welke AI-tools binnen je bedrijf worden gebruikt en door wie.
• Check of er persoonsgegevens van klanten of personeel in die tools terechtkomen, en toets dat aan de AVG.
• Spreid risico: gebruik niet alleen ChatGPT, maar test ook alternatieven zoals Claude van Anthropic of Gemini van Google, zodat je niet vastzit aan één leverancier.
• Wees kritisch op AI-output die naar klanten of het publiek gaat, zeker als die output een jongere doelgroep kan bereiken.
• Houd de ontwikkelingen rond de EU-AI-Act in de gaten; die wetgeving raakt straks ook bedrijven die AI toepassen, niet alleen de bouwers ervan.

Geen van deze stappen kost veel tijd, maar ze schelen je een hoop gedoe als de regels over een half jaar opnieuw verschuiven.