AI Insider meldt dat OpenAI een app-omgeving opent in ChatGPT. Gebruikers en bedrijven kunnen voortaan kleine toepassingen direct in het gesprek gebruiken. De uitrol start wereldwijd deze week, met een gefaseerde beschikbaarheid. Dit heeft gevolgen voor privacy onder de AVG en voor de Europese AI-verordening, ook voor overheid en onderwijs.
ChatGPT opent app-omgeving
OpenAI maakt van ChatGPT een platform waarop “apps” draaien binnen de chat. Zo’n app is een klein programma dat taken uitvoert, zoals een agenda bijwerken of een document vertalen. Het onderliggende taalmodel, zoals GPT-4o, stuurt die acties aan met tekst. De gebruiker blijft in één venster, terwijl de app op de achtergrond werkt.
Volgens OpenAI kunnen consumenten openbare apps toevoegen en kunnen organisaties eigen, afgeschermde apps inzetten. Dat laatste is vooral handig voor interne processen, zoals HR-vragen of rapportages. Beheerders houden controle over wie welke app mag gebruiken. Zo blijft de toegang beperkt en traceerbaar.
Technisch gebruikt het systeem “actions”: gestructureerde instructies waarmee ChatGPT externe diensten aanroept via een API. Een API is een koppelvlak waarmee programma’s veilig met elkaar praten. De app ontvangt alleen de gegevens die nodig zijn voor de taak. OpenAI belooft filters en toestemming per actie.
“Een app in ChatGPT is een klein programma dat via een API taken uitvoert binnen een gesprek, met toestemming per stap en beperkte data-uitwisseling.”
Nieuwe functies werken al
De eerste lichting apps richt zich op alledaagse werkstromen. Denk aan afspraken plannen, bestanden samenvatten en eenvoudige data-analyses. Ook multimodale functies, zoals tekst bij beeld uitleggen, zijn mogelijk. Op het moment van schrijven is de selectie nog klein en groeit deze per regio.
OpenAI bouwt standaardtools in, zoals een code-sandbox en bestandsverwerking. Een sandbox is een afgeschermde omgeving voor veilig uitproberen. Daarmee kan een app bijvoorbeeld een CSV-bestand opschonen zonder toegang tot andere mappen. Het resultaat komt terug in hetzelfde gesprek.
Er zijn veiligheidslagen toegevoegd, zoals toestemming per app en per actie. De gebruiker ziet welke gegevens worden gedeeld en kan dit weigeren. Organisaties kunnen datadeling beperken via beleid. Die instellingen gelden voor alle medewerkers binnen het domein.
Privacy en AVG eerst
Apps in ChatGPT verwerken vaak persoonsgegevens. De AVG eist dan dataminimalisatie en een duidelijk doel. OpenAI meldt toestemming-schermen en versleuteling in transport en opslag. Toch blijft de verantwoordelijkheid bij de verwerkers en verwerkingsverantwoordelijken die de apps inzetten.
Voor Europese organisaties is een DPIA vaak nodig, zeker bij gevoelige data. Een DPIA is een risicoanalyse voor privacy. Daarbij telt mee of data de EU verlaten, welke bewaartermijnen gelden en wie support levert. Contracten moeten rollen en beveiliging concreet vastleggen.
Derde partijen die een app aanbieden zijn in veel gevallen zelf verwerkingsverantwoordelijke. Zij moeten transparant zijn over gegevensstromen en onderaannemers. Logboeken en audittrails horen aan te staan. Zonder die bewijslast is naleving moeilijk aantoonbaar richting de Autoriteit Persoonsgegevens.
AI-verordening: gevolgen overheid
De Europese AI-verordening (AI Act) legt plichten op aan aanbieders van generieke AI-modellen (GPAI) zoals ChatGPT. OpenAI moet onder meer documentatie, evaluaties en samenvattingen van trainingsdata bieden. Gebruikersorganisaties worden “deployers” met eigen zorgplichten. Dat geldt extra zwaar in publieke diensten.
Als een app via ChatGPT bijdraagt aan beslissingen met impact, kunnen strengere regels gelden. Denk aan toeleiding tot zorg, uitkeringen of onderwijsselectie. Dan zijn transparantie, menselijke controle en nauwkeurigheidsnormen verplicht. Overheden moeten dit opnemen in inkoop en in de BIO-beveiligingsnormen.
Voor Nederland betekent dit heldere governance rondom chat-apps. Loggen, versiebeheer en herleidbare beslissingen zijn nodig. Ook vendor lock-in en portabiliteit moeten in aanbestedingen staan. Zo blijft overstappen mogelijk zonder gegevensverlies.
Kansen voor Nederlandse makers
Softwarebouwers kunnen hun dienst als ChatGPT-app aanbieden. Dat verlaagt de drempel voor klanten, omdat gebruik in de chat plaatsvindt. Wel vraagt het platform om veiligheidschecks en heldere datastromen. Documentatie en snelle incidentrespons zijn een pluspunt bij beoordeling.
Voor sectoren als zorg, energie en logistiek zijn er duidelijke use-cases. Denk aan triage-assistenten, meteruitlezing of douaneformulieren. Belangrijk is EU-hosting en scheiding van datasets. Zo blijven klanten AVG-proof en auditklaar.
Monetisatie en distributie hangen af van de platformregels van OpenAI. Ontwikkelaars doen er goed aan een eigen API te behouden naast de ChatGPT-app. Dat beperkt afhankelijkheid van één kanaal. Interoperabiliteit met open standaarden vergroot het bereik.
Wat nog ontbreekt
Niet alle functies zijn alom beschikbaar. Regionale uitrol en app-keuring kosten tijd. Ook ontbreken soms diepe beheeropties, zoals eigen sleutelbeheer per app. Organisaties moeten daarom gefaseerd testen en beleid bijstellen.
Transparantie over modelversies en updates kan beter. Bij een wissel van datamodel verandert soms gedrag of nauwkeurigheid. Zonder changelogs is impact lastig te plannen. Dit raakt service-levels en compliance-afspraken.
Tot slot is er behoefte aan standaarden voor portabiliteit. Exporteerbare logs, beleid en promptconfiguraties maken overstappen eenvoudiger. Dat voorkomt lock-in en maakt toezicht efficiënter. Europese normalisatie-inspanningen kunnen hier richting geven.
