Stel de vraag op een forum en je krijgt twee stellige antwoorden: "natuurlijk verkopen ze alles" en "dat zou illegaal zijn". Beide zijn fout, en in de kloof ertussen zit de bruikbare informatie.
"Verkopen" dekt drie verschillende dingen
De inhoud van je chats verkopen. Gesprekslogs tegen betaling aan een derde partij overdragen komt zelden voor, zou in de meeste markten juridisch riskant zijn en zou de dag dat het uitlekt de krantenkoppen halen. Aanbieders ontkennen het luid, en er is geen openbaar bewijs dat een gangbare companion-app het doet.
Gebruiksgegevens delen met adverteerders. Dit is de gewone variant. Advertentie- en analysecode die in een app of website zit - een software development kit, of "SDK" - meldt wat je doet, wanneer en op welk apparaat. Onder de privacywet van Californië telt het doorgeven van persoonsgegevens aan anderen voor gedragsgerichte reclame over verschillende diensten heen als "sharing", en kan het uitwisselen ervan voor iets van waarde als "sale" gelden. Een app kan dus naar waarheid zeggen dat hij je gesprekken nooit heeft verkocht en jou toch verkopen, in juridische zin. Onder de AVG heeft een bedrijf voor zulke verwerking in elk geval een geldige grondslag nodig, vaak je toestemming.
Gegevens doorgeven aan dienstverleners. Het bedrijf dat de servers host, de modelaanbieder die de antwoorden genereert, de betaalverwerker die je kaart belast. Deze overdrachten zijn nodig om het product te laten werken en zijn geen verkoop, maar het blijven kopieën van je gegevens in andermans systemen.
Er is een vierde route die mensen vergeten: een nieuwe eigenaar. Bijna elk beleid zegt dat je gegevens naar een koper gaan als het bedrijf wordt verkocht. De companion-app Soulmate wisselde van eigenaar kort voordat hij in 2023 werd stopgezet - zie als je AI-companion van de ene op de andere dag verandert.
Wat de ene systematische audit vond
In februari 2024 beoordeelde de Mozilla Foundation 11 romantische AI-chatbots voor haar gids Privacy Not Included, onder wie Replika, Chai en EVA AI. Samen hadden ze naar schatting 100 miljoen downloads op Google Play. Elk van hen kreeg het privacywaarschuwingslabel van Mozilla.
Aandeel van de 11 apps die Mozilla in februari 2024 beoordeelde waarop elke bevinding van toepassing was. Bron: Mozilla Foundation, Privacy Not Included.
De tracker-aantallen vielen het meest op. Mozilla telde gemiddeld 2.663 trackers in de eerste minuut gebruik over de apps heen - een gemiddelde dat sterk omhoog werd getrokken door één app, Romantic AI, die in één minuut 24.354 trackers activeerde. De volgende, EVA AI, activeerde er 955.
Twee kanttekeningen voordat je conclusies trekt. Het was een momentopname van begin 2024, en beleid verandert. En verschillende apps die de categorie nu domineren zaten niet in de steekproef. De waarde van de audit zit minder in de oordelen over specifieke apps dan in wat hij laat zien over de standaardinstellingen van de categorie.
Een privacybeleid lezen voor het antwoord
Je hoeft niet alles te lezen. Zoek op een handvol zinsneden en lees de alinea eromheen.
| Als het beleid zegt | Dan betekent het meestal | Reden tot zorg? |
|---|---|---|
| "We verkopen je persoonsgegevens niet" | Geen verkoop in enge zin. Controleer "delen" apart | Alleen als ook "delen" voorkomt |
| "Advertentiepartners", "gerichte advertenties" | Trackers bouwen een advertentieprofiel op uit je gebruik | Ja - meld je waar mogelijk af |
| "Onze gelieerde bedrijven" | Andere bedrijven onder dezelfde eigenaar, soms veel apps | Hangt af van wie de eigenaar is |
| "Om onze diensten te verbeteren", "trainen" | Je gesprekken kunnen worden gebruikt om modellen te trainen | Ja - zoek een opt-out |
| "Fusie, overname of verkoop van activa" | Een koper krijgt je gegevens als het bedrijf wordt verkocht | Standaard, maar onthoud het |
| "Waar wij openbaarmaking noodzakelijk achten" | Openbaarmaking aan autoriteiten zonder gerechtelijk bevel | Ja, als er niets specifiekers staat |
Een voettekstlink met het opschrift "Do Not Sell or Share My Personal Information" of "Your Privacy Choices" is op zichzelf een nuttig signaal. Californië eist die van bedrijven die persoonsgegevens verkopen of delen, dus de aanwezigheid ervan is een erkenning dat er gedeeld wordt - en een knop om dat te stoppen. Bij Europese bezoekers zie je vaker een cookiebanner; kijk daar of weigeren net zo makkelijk is als accepteren.
Een controle van vijf minuten die je vanavond kunt doen
- Doorzoek het beleid op verkopen, delen, advertent, trainen en gelieerd (of de Engelse sell, share, advertis, train en affiliate). Vijf zoekopdrachten, vijf alinea's.
- Bekijk de winkellabels. Het onderdeel "Data Used to Track You" van Apple en "Data safety" van Google Play wordt door de ontwikkelaar zelf ingevuld, dus het zijn beweringen en geen audits - maar een app die daar toegeeft te tracken, is in de praktijk echt niet beter.
- Weiger niet-noodzakelijke cookies in de banner als je de webversie gebruikt. In de VS moeten bedrijven Global Privacy Control in je browser behandelen als afmelding voor verkoop en delen.
- Weiger het trackingverzoek op iPhone en reset je advertentie-ID op Android.
- Let op of de app advertenties toont. Zo ja, dan zijn je aandacht en gegevens een deel van hoe hij zijn rekeningen betaalt - zie hoe AI-companion-apps geld verdienen.
Waar de wet helpt, en waar ze ophoudt
In Nederland en de rest van de EU geeft de AVG (GDPR) je rechten die verder gaan dan wat de meeste Amerikaanse staten bieden. Je mag een bedrijf vragen welke gegevens het van je heeft (inzage); daarvoor hoef je geen reden te geven en het kost niets. Het bedrijf moet binnen een maand antwoorden, en kan die termijn bij complexe of meerdere verzoeken met twee maanden verlengen als het dat binnen die eerste maand uitlegt. De Autoriteit Persoonsgegevens (AP) raadt aan het verzoek schriftelijk te doen en biedt een voorbeeldbrief. Komt het bedrijf er niet uit, dan kun je een klacht indienen bij de AP, gratis; schadevergoeding kan de AP je niet toekennen, daarvoor moet je naar de rechter.
Toezichthouders gebruiken die regels ook. In 2025 beboette de Italiaanse toezichthouder (Garante) de exploitant van Replika voor 5 miljoen euro, mede vanwege een privacybeleid dat niet uitlegde wat er met de gegevens van gebruikers gebeurde. De AP keek in februari 2025 naar negen populaire chatbot-apps voor vriendschap en therapie en waarschuwde onder meer voor verslavende elementen en voor apps die zich als echte mensen voordoen.
De regels voor AI-companions, behandeld in AI-companionregels in Nederland en de EU, gaan vooral over transparantie en crisisafhandeling en voegen weinig toe over gegevens. In de VS is de belangrijkste uitzondering smal: de wet van Utah over chatbots voor geestelijke gezondheid verbiedt hen de gezondheidsgegevens van gebruikers te verkopen of te delen en advertenties te richten op wat gebruikers typen.
Het eerlijke antwoord
De meeste companion-apps verkopen je gesprekken niet. Veel laten advertentie- en analysebedrijven wel meekijken hoe je ze gebruikt, en bijna alle houden het recht om meer te doen dan ze nu doen. Het verschil tussen een zorgvuldige en een slordige app is zichtbaar in het beleid en de instellingen, en het kost vijf minuten om te vinden. Dat zijn vijf goed bestede minuten voordat je iets typt dat je niet in andermans database wilt hebben - en onze vier privacycontroles dekken de rest.