Koppel je AI-app aan GDPRWise

Je kunt een AI-app die je al gebruikt, zoals ChatGPT, Microsoft 365 Copilot, Claude of Cursor, koppelen aan je GDPRWise-dossier. Je plakt één webadres in de AI-app, meldt je aan met je eigen GDPRWise-account en bevestigt één keer. Daarna kun je die AI-app vragen stellen over je eigen verwerkingen, derde partijen en compliancestatus, en over de helpartikels van GDPRWise. Als je dat toestaat, kan de AI-app ook wijzigingen aan je register voorstellen en je compliance-items bijwerken.

Weet je niet waar te beginnen? Plak dit in de AI-app die je wilt koppelen, en die loodst je stap voor stap door het koppelen.

Toont de pagina Configuratie in GDPRWise een ander adres, gebruik dan dat adres in de prompt.

Het adres om te plakken

Het adres staat op de pagina Configuratie in GDPRWise, in de kaart “AI-appverbindingen”, met een kopieerknop. Alleen de accounteigenaar ziet die kaart. Voor GDPRWise ziet het er zo uit:

https://api.gdprwise.eu/mcp

Kopieer het adres uit de kaart, want partners en andere merken kunnen een eigen adres hebben. Ben je niet de accounteigenaar, vraag het adres dan aan hem of haar.

Koppelen per AI-app

De menu’s van AI-apps veranderen vaak, daarom blijven deze stappen kort. De hulppagina’s van je AI-app hebben de actuele schermen.

1. ChatGPT. Zet de ontwikkelaarsmodus aan in de instellingen, voeg een nieuwe connector toe, plak het adres en kies OAuth als aanmeldmethode. De ontwikkelaarsmodus is alleen beschikbaar in sommige ChatGPT-abonnementen.
2. Microsoft 365 Copilot. Je Microsoft 365-beheerder voegt het adres toe als MCP-verbinding in Copilot Studio. Een kant-en-klare Copilot-agent voor GDPRWise is er nog niet.
3. Claude. Open in Claude op het web of op desktop de connectorinstellingen, voeg een aangepaste connector toe en plak het adres. In een teamabonnement moet mogelijk eerst een beheerder hem toevoegen. In Claude Code voer je claude mcp add --transport http gdprwise <adres> uit en meld je je aan via het commando /mcp.
4. Cursor. Voeg een server met het adres toe aan je bestand mcp.json, onder mcpServers, met de instelling url. Cursor opent dan een aanmeldpagina.

In elk geval opent er een GDPRWise-pagina in je browser. Die toont welke app toegang vraagt en, als de app wijzigingen wil aanbrengen, wat ze mag wijzigen. Controleer dat en kies Doorgaan, of sta alleen leestoegang toe als de app alleen dingen mag opzoeken.

Lezen, of lezen en wijzigen

Je kiest de toegang wanneer je koppelt:

• Lezen. De AI-app zoekt dingen op in je dossier en in de helpartikels van GDPRWise. Ze kan niets wijzigen.
• Lezen en wijzigen. De AI-app kan ook de wijzigingen hieronder aanbrengen. Elke wijziging wordt vastgelegd onder de naam van de AI-app.

Alleen geverifieerde apps kunnen lees- en wijzigtoegang krijgen: ChatGPT, Claude op het web of op desktop, en Microsoft 365 Copilot. Cursor, Claude Code en andere apps krijgen alleen leestoegang, en de GDPRWise-pagina die je bij het koppelen ziet, zegt dat ook. Vraagt een app om wijzigtoegang, dan toont die pagina wat de app mag wijzigen, met een knop om in de plaats alleen leestoegang toe te staan.

De accounteigenaar ziet op de pagina Configuratie, in de kaart “AI-appverbindingen”, welke toegang de koppeling van elke persoon heeft en hoeveel voorstellen op nazicht wachten.

Wat een AI-app kan wijzigen

Met lees- en wijzigtoegang kan de AI-app twee dingen.

Wijzigingen aan je register voorstellen. Ze kan voorstellen om gegevenscategorieën, verwerkingen en systemen toe te voegen of te verwijderen, derde partijen toe te voegen, een systeem aan een verwerking of een derde partij te koppelen, vast te leggen of een systeem AI-functies heeft, en de leverancier van een systeem vast te leggen. Een derde partij kan alleen uit de GDPRWise-catalogus worden toegevoegd. Deze wijzigingen komen nooit rechtstreeks in je dossier. Ze wachten als voorstellen die iemand nakijkt, in de gewone schermen van GDPRWise of in de AI-app. GDPRWise vraagt de AI-app om een voorstel pas goed te keuren of af te wijzen nadat je in het gesprek hebt bevestigd welk, en om elk voorstel precies te benoemen zoals GDPRWise het toont. Een goedgekeurde derde partij wordt als concept opgeslagen: er wordt niets naar die derde partij gestuurd.

Compliance-items bijwerken. Ze kan een compliance-item op niet gestart, bezig of klaar zetten, het toewijzen aan jezelf, aan niemand of aan het ene teamlid met een bepaalde rol, zoals de GDPR-coördinator, en een notitie in platte tekst toevoegen. Deze wijziging gebeurt rechtstreeks, daarom vraagt GDPRWise de AI-app om je eerst te laten bevestigen. Ze kan een item niet op naam aan een collega toewijzen, en een notitie kan geen collega’s vermelden, zodat niemand daardoor een e-mail krijgt.

Al het andere, zoals een derde partij verwijderen, tekst in het register bewerken of overeenkomsten versturen, gaat nog steeds via de gewone schermen in GDPRWise.

Welke bedrijven ze bereikt

Je koppelt een AI-app één keer, met je eigen account, en ze ziet alleen wat dat account in GDPRWise al kan zien. De koppeling geldt voor elk bedrijf waarvan je lid bent, nu en in de toekomst, zolang de accounteigenaar van dat bedrijf AI-app-koppelingen toestaat. Telkens als de AI-app iets opzoekt, noemt ze het bedrijf, en GDPRWise controleert bij die oproep zelf dat je nog actief lid bent, dat het abonnement van het bedrijf de AI-assistent bevat en dat de eigenaar AI-app-koppelingen niet heeft uitgeschakeld. Werk je voor meerdere bedrijven, dan vraagt de AI-app eerst aan GDPRWise welke bedrijven je kunt gebruiken. Wil je weten met welk GDPRWise-account een AI-app verbonden is, vraag het dan gewoon aan de AI-app: die krijgt je naam en e-mailadres samen met die lijst.

Wat er naar de AI-app wordt gestuurd

Als de AI-app iets opzoekt, stuurt GDPRWise haar:

• je GDPR-register: verwerkingen, systemen, gegevenscategorieën en derde partijen
• je compliancestatus en volgende stappen
• je organisatieprofiel, inclusief namen en rollen van teamleden
• helpartikels van GDPRWise

Tekst die jij en je collega’s in het register schreven, wordt doorgestuurd telkens als de AI-app iets opzoekt. E-mailadressen en telefoonnummers worden gepseudonimiseerd: ze worden vervangen door labels. Dat is geen anonimisering. Gepseudonimiseerde gegevens blijven persoonsgegevens onder de GDPR, en namen, rollen en vrije tekst worden ongewijzigd doorgestuurd.

Er wordt niets doorgestuurd zolang de AI-app niets opzoekt.

Wie het verwerkt

Je vragen en de antwoorden worden verwerkt door de aanbieder van de AI-app, zoals OpenAI (ChatGPT), Microsoft (Microsoft 365 Copilot) of Anthropic (Claude), onder de eigen voorwaarden van die aanbieder. Door de app te koppelen kies je die aanbieder als ontvanger van de gegevens. GDPRWise kiest hem niet en betaalt hem niet, dus hij is geen subverwerker van GDPRWise. Lees de voorwaarden en de gegevensinstellingen van je AI-abonnement voor je koppelt, en neem de aanbieder als ontvanger op in je register.

Het risico dat overblijft

Een AI-app leest tekst en kan instructies opvolgen die in die tekst verborgen zitten. Bevat een document, een webpagina of een notitie in het register zulke instructies, dan kan de AI-app ze opvolgen. Zijn er andere connectoren actief in dezelfde app, dan kan de app doorgeven wat ze uit GDPRWise las. GDPRWise kan dat niet voorkomen, omdat het de AI-app niet beheert. Met lees- en wijzigtoegang kunnen zulke instructies de AI-app ook wijzigingen laten voorstellen of je om een bevestiging laten vragen. Wijzigingen aan het register wachten nog altijd tot iemand ze nakijkt, maar een compliance-item verandert zodra je bevestigt, dus lees wat de AI-app je vraagt te bevestigen. Hou het risico klein: koppel alleen AI-apps die je organisatie al vertrouwt, kies leestoegang als je geen wijzigingen nodig hebt, combineer de koppeling niet met connectoren die gegevens kunnen versturen, en hou vrije tekst in het register zakelijk.

Ontkoppelen

• Zelf. Om te stoppen dat een AI-app GDPRWise bereikt, koppel je ze los in de instellingen van die app. Ook je GDPRWise-wachtwoord wijzigen koppelt elke AI-app los. Wil je de wijzigtoegang intrekken, koppel de app dan los, koppel ze opnieuw en sta alleen leestoegang toe.
• Het hele bedrijf. Een accounteigenaar regelt dit met één schakelaar op de pagina Configuratie. Uit blokkeert meteen elke AI-app voor dat bedrijf, ook agents van resellers. Aan herstelt bestaande koppelingen.
• Automatisch. Een koppeling eindigt als je je wachtwoord wijzigt of reset, en na 30 dagen zonder gebruik, of 90 dagen nadat je voor het eerst verbond, wat het eerst komt. Een AI-app bereikt een bedrijf niet meer zodra je toegang tot dat bedrijf wordt ingetrokken of geschorst.

Gebruik

Zoekopdrachten van de AI-app tellen mee voor dezelfde dagelijkse AI-limiet als de assistent in de app. Op de pagina Configuratie zie je hoeveel van de limiet vandaag gebruikt is.