ChatGPT valt onder EU-wet: wat dit betekent voor je MKB

Wat betekent 'Very Large Online Search Engine' precies?

De DSA kent verschillende gewichtsklassen. Platforms met meer dan 45 miljoen gebruikers per maand in de EU vallen in de zwaarste categorie: Very Large Online Platform (VLOP) of, in het geval van ChatGPT, Very Large Online Search Engine (VLOSE). Die status brengt een pakket aan extra verplichtingen met zich mee dat kleinere diensten niet hebben.

Denk aan verplichte jaarlijkse risicobeoordelingen, onafhankelijke audits door externe partijen, transparantierapportages over hoe content wordt gemodereerd en de plicht om onderzoekers toegang te geven tot bepaalde data. Meta, TikTok en X kregen deze status al eerder en merkten dat de Commissie niet aarzelt om boetes op te leggen bij overtredingen.

Dat ChatGPT nu in hetzelfde rijtje staat, zegt vooral iets over hoe groot de dienst is geworden. Een chatbot die nog geen vier jaar geleden als experiment begon, wordt nu door Brussel behandeld als een systeemrelevant onderdeel van het internet.

Waarom grijpt Brussel nu in bij ChatGPT?

Volgens The Verge gaat het de Europese Commissie vooral om drie risico's: de impact van ChatGPT op minderjarigen, de gevolgen voor de mentale gezondheid van gebruikers en de verspreiding van illegale content. Dat zijn geen abstracte zorgen. Chatbots worden inmiddels door tieners gebruikt als vertrouwenspersoon, huiswerkhulp en soms zelfs als vervanging voor menselijk contact.

Er speelt nog iets mee. Vorige maand kwam naar buiten dat AI-agents van OpenAI zelf de beveiliging van Hugging Face wisten te omzeilen tijdens een test, iets waar MIT Technology Review kritische vragen over stelde richting de bedrijfscultuur bij OpenAI. Als een bedrijf zijn eigen agents niet in toom kan houden tijdens interne tests, is het voor toezichthouders een logische stap om niet af te wachten tot zelfregulering werkt, maar zelf de regels op te leggen.

Tegelijkertijd groeit OpenAI's verdienmodel snel: het bedrijf meldde deze maand dat ChatGPT Ads inmiddels een omzet van een miljard dollar op jaarbasis oplevert. Een gratis, advertentiegedreven versie van ChatGPT die zoveel mogelijk gebruikers zo lang mogelijk aan de praat wil houden, is precies het soort verdienmodel waar toezichthouders extra kritisch naar kijken als het om minderjarigen en mentale gezondheid gaat.

Wat moet OpenAI nu concreet gaan doen?

Met de VLOSE-status moet OpenAI onder meer aantonen welke systemische risico's ChatGPT met zich meebrengt en hoe het bedrijf die beperkt. Dat gaat van duidelijkere leeftijdscontroles en standaardinstellingen die kwetsbare gebruikers beschermen, tot een transparanter klachten- en beroepsproces als content wordt geweigerd of verwijderd.

Ook moet OpenAI onafhankelijke auditors toegang geven en periodiek rapporteren aan de Commissie. Bij overtreding van de DSA kunnen boetes oplopen tot 6 procent van de wereldwijde jaaromzet, een bedrag dat bij een bedrijf van de omvang van OpenAI in de miljarden kan lopen.

Voor gebruikers in de praktijk zul je waarschijnlijk merken dat ChatGPT de komende maanden strengere standaardinstellingen krijgt, duidelijkere labels bij AI-gegenereerde content en een zichtbaarder meldpunt voor problematische antwoorden.

Wat betekent dit voor jouw MKB?

Belangrijk om te beseffen: de DSA regelt het gedrag van het platform, niet automatisch jouw verplichtingen als gebruiker. Jouw AVG-verantwoordelijkheden veranderen dus niet door deze uitspraak. Maar er ontstaat wel een stapeling van regels die relevant is voor de Nederlandse MKB-realiteit: de DSA regelt platformgedrag, de AVG regelt persoonsgegevens en de EU-AI-Act regelt risicoclassificatie van AI-systemen zelf. Voor een ondernemer die ChatGPT gebruikt voor content, klantenservice of interne processen, komen die drie wetten in de praktijk samen.

Concreet: als je via de gratis of zakelijke versie van ChatGPT klantgegevens verwerkt, blijf je zelf verantwoordelijk voor een correcte grondslag en een verwerkersovereenkomst. De extra transparantie die de DSA afdwingt, maakt het wel makkelijker om dat aan te tonen, want OpenAI moet voortaan actiever laten zien hoe het met data en risico's omgaat.

Ik zie bij klanten hier in Enschede vaak dat medewerkers stilletjes met een gratis ChatGPT-account werken voor offertes, klantmails of notulen, zonder dat de eigenaar weet welke bedrijfsdata daarin belandt. Dit is een goed moment om dat gebruik in kaart te brengen en een kort AI-beleid op te stellen: welke tool mag voor wat gebruikt worden, en welke data is taboe.

Zit hier ook een kans voor jou als ondernemer?

Strengere regels betekenen ook meer volwassenheid van de markt. Voor MKB'ers die huiverig waren om AI in te zetten vanwege onduidelijke verantwoordelijkheden, is elke stap richting transparantie en aantoonbare controle winst. Je kunt straks makkelijker aan klanten en toezichthouders uitleggen waarom je voor een bepaalde AI-tool hebt gekozen.

Het is ook een goed moment om niet blind op één leverancier te vertrouwen. Compliance-kosten en aangescherpte regels raken grote spelers als OpenAI het eerst, maar treffen uiteindelijk elke aanbieder die in de EU actief blijft. Spreid daarom waar het kan: gebruik niet automatisch dezelfde chatbot voor alles, en bouw geen kritisch proces op een tool waar je geen alternatief voor hebt.

Wat kun je deze week al doen?

Je hoeft niet te wachten tot OpenAI alle nieuwe verplichtingen heeft doorgevoerd om je eigen zaken op orde te krijgen. Begin met een korte inventarisatie: welke AI-tools gebruiken jij en je team, waarvoor, en welke gegevens komen daarbij kijken. In de praktijk blijkt dit vaak een eyeopener, ook bij bedrijven die dachten dat AI alleen bij de marketingafdeling werd gebruikt.

Stel daarna een paar simpele regels op: geen klant- of personeelsgegevens in een gratis chatbot-account, altijd een menselijke check voordat AI-gegenereerde tekst naar een klant gaat, en een vast aanspreekpunt binnen je bedrijf voor vragen over AI-gebruik. Dat hoeft geen dik beleidsdocument te zijn, een half A4'tje dat iedereen kent werkt vaak beter dan een uitgebreid protocol dat in een la verdwijnt.

Check ten slotte periodiek de voorwaarden van de tools die je gebruikt. Grote aanbieders als OpenAI passen die de komende maanden waarschijnlijk aan naar aanleiding van deze DSA-uitspraak, en het scheelt verrassingen als je op de hoogte bent voordat een klant of toezichthouder ernaar vraagt.