Wie logde er in op jouw ChatGPT-account?
Je gebruikt ChatGPT elke dag. Offertes, klantmails, een lastig stuk tekst dat je even wilt laten herschrijven. In die gesprekken staat meer bedrijfsinformatie dan je denkt. En toch weet vrijwel niemand wie er de afgelopen maand op dat account heeft ingelogd, of vanaf welk apparaat.
Ons team dook in de nieuwste beveiligingsupdate van OpenAI en zocht uit wat je er als ondernemer concreet mee opschiet. Hieronder lees je waar je moet klikken, hoe je een verdachte regel herkent en welke instellingen je vandaag nog goedzet. Wil je hier met je hele team op een gestructureerde manier mee aan de slag, kijk dan eens naar onze training veilig en bewust werken met AI.
Beveiligingsgeschiedenis in ChatGPT
OpenAI zette in de release notes van 25 september 2026 een nieuw onderdeel in ChatGPT: beveiligingsgeschiedenis. Het is een logboek van alles wat er met de toegang tot je account gebeurt. Je ziet er wanneer iemand inlogde of uitlogde, wanneer het wachtwoord veranderde, en wanneer er iets wijzigde aan de tweestapsverificatie, de passkeys of andere beveiligingsinstellingen. Bij elke regel staan het tijdstip, de locatie en het apparaat.
Je vindt de lijst op het web via Instellingen, dan Beveiliging en inloggen, en daar Beveiligingsgeschiedenis. Reken op een paar minuten om hem door te lopen. OpenAI zegt er zelf bij dat sommige gegevens bij benadering zijn of kunnen ontbreken, dus een locatie die er net naast zit betekent nog geen inbraak. Mobiele netwerken en VPN’s laten je regelmatig in een andere stad opduiken dan waar je zit.
Verdachte regels herkennen
Waar let je dan op? Niet op elke afwijkende plaatsnaam, wel op het patroon. Een inlog midden in de nacht terwijl je zelf sliep is een signaal. Een land waar niemand van je bedrijf zit, is een sterker signaal. Maar het krachtigste signaal staat vaak onderaan de lijst: een wijziging in je beveiligingsinstellingen die je niet zelf hebt doorgevoerd. Wie een account overneemt, zet namelijk als eerste de tweestapsverificatie uit of koppelt een eigen telefoonnummer, zodat jij er straks niet meer bij komt en hij wel.
In onze trainingen merken we dat deelnemers hier vaak schrikken van iets anders: een oud apparaat dat nog gewoon ingelogd staat. De telefoon die je vorig jaar hebt ingeruild, de laptop van een stagiaire die in juni vertrok. Niemand heeft daar ooit uitgelogd, en technisch gezien heeft dat apparaat nog steeds toegang tot elk gesprek in je account. Dat is geen hack, dat is gewoon achterstallig onderhoud.
Alle sessies dichtgooien
Zie je iets wat niet klopt, of wil je gewoon schoon beginnen, dan gooi je in één handeling alles dicht. Ga naar Instellingen, Beveiliging en inloggen, kies Actieve sessies en daarna Uitloggen bij alle sessies. Je bevestigt dat je op alle apparaten wilt uitloggen, inclusief het apparaat waarop je nu werkt. OpenAI geeft aan dat het tot dertig minuten kan duren voordat de andere sessies daadwerkelijk zijn afgesloten, dus verander in dezelfde beweging meteen je wachtwoord.
Doe dit ook op momenten waarop niemand aan beveiliging denkt. Een medewerker die uit dienst gaat, een telefoon die je verkoopt, een laptop die uit reparatie terugkomt. Het kost je een minuut en het scheelt een hoop uitzoekwerk later.
Tweestapsverificatie goed instellen
Een logboek vertelt je pas achteraf dat er iets fout ging. Voorkomen doe je met tweestapsverificatie, en OpenAI biedt daar vier varianten voor: een authenticator-app met eenmalige codes, een pushmelding die je goedkeurt, een sms met een code van zes cijfers, en een passkey. Van die vier is sms de zwakste. Simswapping, waarbij een aanvaller je nummer naar zijn eigen simkaart laat overzetten, is in Nederland geen theorie meer. Kies dus liever de authenticator-app of een passkey.
Werk je met gevoelige dossiers, dan is er sinds mei 2026 ook Advanced Account Security. Daarbij zijn twee inlogmethoden naast je wachtwoord verplicht en kun je je account alleen nog herstellen met een reserve-passkey, een beveiligingssleutel of herstelcodes, dus niet meer via je mailadres. OpenAI richt zich daarmee op journalisten, politici en onderzoekers, maar de logica geldt net zo goed voor een advocatenkantoor of een accountant. Let wel op: raak je je herstelcodes kwijt, dan ben je je account echt kwijt.
Verder dan je wachtwoord
Toegang regelen is één helft van het verhaal. De andere helft is wat er in die gesprekken terechtkomt. ChatGPT onthoudt steeds meer over jou en je werk, en dat geheugen reist mee naar elke nieuwe chat.
Voor eenmalige vragen met klantgegevens erin is de tijdelijke chat een betere plek, want die laat niets achter. Dezelfde afweging speelt bij andere assistenten: ook bij Claude kun je je bedrijfsgegevens uit de training houden met één instelling.
Zet er een moment voor in je agenda, bijvoorbeeld elk kwartaal. Loop de beveiligingsgeschiedenis door, gooi de sessies dicht die je niet herkent en controleer of de tweestapsverificatie nog aanstaat bij iedereen die met het account werkt. Vijf minuten per keer.
Zet dit vandaag klaar
Wil jij dat je team ChatGPT gebruikt zonder dat bedrijfsgegevens via een vergeten apparaat weglekken? Tijdens onze ChatGPT-training nemen we niet alleen de slimme toepassingen door, maar ook precies deze instellingen, samen met je eigen mensen achter hun eigen account!
Liever luisteren?
Deze blog is ook een aflevering van onze TTM Talks Podcast. Luister hem hieronder, of volg de show op Spotify.
