In het kort
- Moet je AI-gesprekken kunnen terugvinden, dan moet je dat vooraf per tool instellen. Bewaar niet alles voor altijd: kies een doel, een termijn en wie erin mag kijken.
- Het kan alleen in zakelijke edities. Wat medewerkers in privéaccounts doen, vind je nergens terug.
- Copilot en de Gemini-app regel je met bewaarregels en eDiscovery, Gemini in Workspace sinds 22 oktober alleen met export, ChatGPT en Claude Enterprise via een Compliance API.
Moet je de gesprekken die medewerkers met AI voeren bewaren? Als je ze moet kunnen terugvinden bij een geschil, een intern onderzoek of een datalek wel, en dan moet je dat vooraf instellen. Wat niet is vastgelegd, kun je achteraf niet meer opvragen. Tegelijk staan in prompts vaak persoonsgegevens, en die mag je niet langer bewaren dan nodig.
De belangrijkste voorwaarde: elke tool regelt dit anders, en alleen in de zakelijke edities. Hieronder staat per tool wat er wordt vastgelegd, waar je dat beheert en wat nog ontbreekt, plus de vragen die je met je jurist of functionaris gegevensbescherming (FG) afstemt. Dit is geen juridisch advies.
Gebaseerd op de documentatie van de aanbieders, gelezen op 27 oktober 2026. We hebben de instellingen niet zelf in elke tool getest.
Waarom zou je AI-gesprekken bewaren, of juist niet?
De AVG noemt geen vaste bewaartermijn. Volgens de Autoriteit Persoonsgegevens bepaal je die zelf, bewaar je persoonsgegevens zo kort mogelijk en leg je vast waarom je voor een termijn kiest. Loopt er een juridische procedure, dan moet je de gegevens bewaren (AP).
Bewaar je te weinig, dan kun je niet aantonen wat er via AI is gevraagd en geantwoord. Bewaar je te veel, dan groeit een verzameling gesprekken met klant- en personeelsgegevens. Advocaten van Reed Smith noemen dat een privacy- en beveiligingsrisico, en wijzen erop dat de meeste prompts geen zakelijk archiefstuk zijn (Reed Smith). Voor overheden telt ook de Archiefwet: volgens advocaat Cornelis van der Sluis kan een concepttekst van Copilot archiefwaardig zijn (Binnenlands Bestuur).
Hoe bewaar je AI-gesprekken per tool?
| Tool | Wat je terugvindt en waar | Voorwaarde | Wat ontbreekt |
|---|---|---|---|
| Microsoft 365 Copilot | Prompts en antwoorden; bewaarbeleid, eDiscovery en audit in Purview | Mailbox in Exchange Online | Gebruikte bestanden alleen met een apart bewaarlabel |
| Gemini-app | Prompts en antwoorden; bewaarregels, holds, zoeken en export in Vault | Workspace met Vault | Bijgevoegde media en Gems |
| Gemini in Workspace | Prompts, antwoorden, bijlagen; export als JSON in Vault | Gespreksgeschiedenis aan; o.a. Business Plus, Enterprise | Bewaarregels en holds volgen later |
| ChatGPT Enterprise | Gesprekken en logs via de Compliance API | Enterprise of Edu | Logs maar 30 dagen bij OpenAI |
| Claude Enterprise | Chats, bestanden, projecten en sessies via de Compliance API | Enterprise | Eigen termijn minimaal 30 dagen |
Microsoft 365 Copilot. Prompts en antwoorden van Copilot en Copilot Chat staan in een verborgen map in de mailbox van de gebruiker. Met een bewaarbeleid op de locatie "Microsoft Copilot experiences" bewaar of verwijder je ze. Met eDiscovery zoek je ze, zet je ze op hold en exporteer je ze (Microsoft Learn). Wat een gebruiker in Copilot ziet, zegt volgens Microsoft niets over wat bewaard of verwijderd is: controleer dat met eDiscovery. Een verwijdering na één dag kan zestien dagen duren voordat ze definitief is (Microsoft Learn). Welke Purview-functies in jullie licentie zitten, controleer je in de Purview-servicebeschrijving.
Gemini. Google maakt onderscheid tussen de Gemini-app en Gemini in Gmail, Docs, Sheets, Slides, Drive en Meet. Voor de app ondersteunt Vault bewaren, holds, zoeken en exporteren. Voor Gemini in Workspace kan Vault alleen exporteren (Google). Die export kwam op 22 oktober, per gebruiker of organisatie-eenheid en periode. Er zitten alleen gesprekken in waarbij de gespreksgeschiedenis aanstond. Die geschiedenis en de automatische verwijdering stel je per organisatie-eenheid in de Admin console in (Google Workspace Updates). De andere Google-updates van oktober staan in Google AI-nieuws oktober 2026.
ChatGPT. Het Compliance Platform is er alleen voor Enterprise; de huidige documentatie noemt ook Edu. Je koppelt de logs aan je eDiscovery-, DLP- of SIEM-systeem. OpenAI bewaart ze 30 dagen, dus voor een langere termijn haal je ze continu op en bewaar je ze zelf (OpenAI, OpenAI). In ChatGPT blijft een chat staan tot de gebruiker hem verwijdert of een bewaarbeleid van de workspace hem weghaalt. Een verwijderde chat haalt OpenAI binnen 30 dagen uit zijn systemen (OpenAI). Werk je met Purview, dan kan het ChatGPT Enterprise via een connector meenemen, tegen betaling per gebruik (Microsoft Learn).
Claude. De Compliance API geeft Claude Enterprise toegang tot een activiteitenoverzicht en tot de chats, bestanden en projecten zelf, plus sessies in onder meer Cowork en Claude Code. De CSV-auditlog in de instellingen bevat geen inhoud (Anthropic). Standaard bewaart Claude gegevens onbeperkt. Eigenaars kunnen een eigen termijn instellen van minimaal 30 dagen; die geldt niet voor onder meer Claude Design (Anthropic). Ook hier heeft Purview een connector, nog in preview (Microsoft Learn).
Hoe richt je het in?
- Maak een lijst van tools en edities, en spreek af of privéaccounts mogen. Een sjabloon voor die afspraken staat in AI veilig gebruiken.
- Bepaal het doel: geschillen, interne onderzoeken of toezicht. Dat bepaalt wat je bewaart en hoe lang.
- Kies per tool een termijn en schrijf de onderbouwing op, zoals de AP vraagt.
- Zet het aan: een bewaarbeleid in Purview, de gespreksgeschiedenis van Gemini, een doorlopende export voor ChatGPT, een termijn in Claude. Rol je Copilot nog uit, neem het dan mee in je uitrolplan.
- Test het. Voer een gesprek, zoek het terug, exporteer het en controleer of verwijderen werkt.
- Beperk wie meekijkt. In het activiteitenoverzicht van Purview zie je de tekst van prompts alleen met een aparte rol (Microsoft Learn). Leg vast wie die krijgt.
Welke vragen stem je af met je jurist of FG?
- Welke bewaartermijn past bij ons doel, en hoe onderbouwen we die?
- Bewaren we gesprekken van iedereen, of alleen van functies waar dat nodig is?
- Hoe informeren we medewerkers, en wie mag hun gesprekken inzien?
- Moet de ondernemingsraad hierover meebeslissen?
- Wat doen we met gesprekken die onder een juridische procedure vallen?
- Gebruiken we AI-systemen die de AI Act als hoog risico aanmerkt? Dan moet je als gebruiker, zodra die regels gelden, de automatisch gemaakte logs minstens zes maanden bewaren, voor zover je daarover beschikt (AI Act, artikel 26). Voor gewoon chatgebruik geldt dat niet. Wat de AI Act wel van elke organisatie vraagt, lees je in de EU AI Act voor het mkb.
Wanneer helpt bewaren niet?
Werk je met ChatGPT Business, Claude Team of persoonlijke accounts, dan heb je de Compliance API's hierboven niet. Spreek dan af dat wat telt niet alleen in de chat staat: een besluit, een advies of een tekst die je verstuurt, sla je op in je eigen documentsysteem. Dat geldt ook bij de andere tools. Een bewaarde prompt vervangt geen dossier.
Bronnen
- Autoriteit Persoonsgegevens. Bewaren van persoonsgegevens, geraadpleegd 27 oktober 2026.
- Google Workspace Updates. Google Vault now supports filtered exports for Gemini in Workspace, 22 oktober 2026.
- Google Workspace. Supported services and data types in Vault, geraadpleegd 27 oktober 2026.
- Microsoft Learn. Use Microsoft Purview to manage data security & compliance for Microsoft 365 Copilot, 1 mei 2026.
- Microsoft Learn. Learn about retention for Copilot and AI apps, bijgewerkt 25 juni 2026.
- Microsoft Learn. Use Microsoft Purview for ChatGPT Enterprise, 1 mei 2026, en voor Anthropic Claude (Enterprise), 4 augustus 2026.
- OpenAI. OpenAI Compliance Platform for Enterprise Customers, Chat and file retention in ChatGPT en ChatGPT Work admin FAQ, geraadpleegd 27 oktober 2026.
- Anthropic. Compliance API en Configure custom data retention controls for Enterprise plans, geraadpleegd 27 oktober 2026.
- Verordening (EU) 2024/1689 (AI Act), artikel 26.
- Reed Smith. AI for legal departments: Managing eDiscovery and data retention risks with Microsoft Copilot, 20 juni 2024.
- Binnenlands Bestuur. Moeten ambtenaren Copilot-berichten archiveren?, 19 september 2025.
