HubSpot AI en klantdata: vragen die je beter vooraf beantwoordt

AI in CRM roept logische vragen op. Waar gaat klantdata naartoe? Wie kan erbij? Wordt data gebruikt om modellen te trainen? En welke knoppen heb je als organisatie zelf?

In dit artikel beantwoorden we de vragen die we vaak horen bij bedrijven die HubSpot overwegen voor CRM, data en AI.

Dit artikel is bedoeld als praktische uitleg, niet als juridisch advies. Gebruik het als startpunt voor gesprek en besluitvorming. Werk je met privacy-, security- of compliancegevoelige data? Laat dan altijd degene meekijken die binnen jullie organisatie verantwoordelijk is voor privacy, security of compliance.

Korte samenvatting

HubSpot Breeze gebruikt AI-modellen van externe leveranciers, zoals OpenAI en Anthropic, maar plaatst die binnen HubSpot’s eigen beveiligings-, rechten- en datalaag.

Gebruikers kunnen via AI alleen bij data waar ze zelf al toegang toe hebben. Super Admins kunnen bepalen welke AI-functies en databronnen beschikbaar zijn. HubSpot kan klantdata standaard gebruiken om eigen AI-modellen te verbeteren, maar dit kun je uitzetten zonder AI-functionaliteit te verliezen.

Volgens HubSpot wordt klantdata niet gebruikt om modellen van derde partijen te trainen. Wel kunnen externe AI-serviceproviders betrokken zijn bij de verwerking van een specifieke AI-taak.

De kern: AI in HubSpot kan veilig en waardevol zijn, maar alleen als je rechten, instellingen, gevoelige data en governance bewust inricht.

De kern van AI in HubSpot

HubSpot heeft zelf geen “eigen ChatGPT” gebouwd. De AI-functies van HubSpot — onder de naam Breeze — gebruiken onder andere LLMs van OpenAI en Anthropic. HubSpot zet daar zijn eigen beveiliging, rechtenstructuur, datalaag en governance omheen.

Voorbeelden van gebruikte modellen zijn onder andere:

• OpenAI: GPT-4.1, GPT-4.1 mini/nano, GPT-5 Mini en GPT Image-1*
• Anthropic: Claude Sonnet 4 voor ingebedde functies en Claude Opus 4.5 voor agents*

*Dit kan uiteraard snel veranderen met hoe snel modellen van LLMs elkaar nu in razend tempo opvolgen.

De AI zit in HubSpot ingebouwd, maar de onderliggende intelligentie komt deels van gespecialiseerde AI-leveranciers.

In gewone taal: HubSpot bepaalt de context, rechten en datastromen; externe modellen leveren een deel van de AI-intelligentie.

Wat gebeurt er met je klantdata?

Wanneer iemand in HubSpot AI kan relevante data uit HubSpot worden gebruikt om die specifieke vraag of taak uit te voeren. Denk aan CRM-data, gesprekken, bestanden, klantinformatie of content — afhankelijk van welke AI-instellingen aanstaan.

Belangrijk is dat AI in HubSpot niet zomaar vrij door de hele portal mag zoeken. De AI werkt binnen de kaders van de rechten, instellingen en databronnen die je als organisatie hebt ingericht.

Of korter gezegd: AI volgt je inrichting. Mits je die inrichting op orde hebt.

Kan met AI iedere medewerker ineens bij alle data?

Nee. Breeze neemt de bestaande rechtenstructuur in acht.

Als je in HubSpot werkt met afgeschermde records, teams, rollen, permissies of field-level permissions, dan blijven die grenzen leidend. Een gebruiker kan via AI alleen informatie ophalen waar die gebruiker zelf al toegang toe heeft.

Dus: een salesmedewerker zonder toegang tot bepaalde bedrijven, deals of contactpersonen kan die informatie ook niet via Breeze opvragen.

Praktisch betekent dit dat AI geen achterdeur is naar data die normaal gesproken afgeschermd is.

Let op: AI lost een slechte rechtenstructuur niet op. Als te veel gebruikers te brede toegang hebben, dan heeft AI dat dus ook.

Belangrijke opsteker dus voor bedrijven die werken met “Chinese walls” of afgeschermde data per team, regio of businessunit.

Blijft mijn data binnen de EU?

In principe blijft data binnen de regio van je HubSpot-account. Heb je een EU-gehost account, dan verwerkt HubSpot de relevante data binnen Europese regio’s voor zover dat binnen de beschreven infrastructuur en subverwerkers geldt.

Wel is het belangrijk om dit concreet te toetsen aan je eigen HubSpot-account, contract en dataverwerkingsovereenkomst. HubSpot werkt namelijk met meerdere subverwerkers, waaronder infrastructuurpartijen en AI-serviceproviders.

Let op: “verwerking binnen Europese regio’s” is niet automatisch hetzelfde als de juridische conclusie dat er geen internationale doorgifte of aanvullend doorgifterisico bestaat. Laat dit beoordelen aan de hand van jullie eigen contracten, DPA, dataclassificatie en risicoprofiel.

De commerciële vertaling:

Je data gaat niet zomaar “het internet op”, maar wordt verwerkt binnen de HubSpot-architectuur en de daarbij horende subverwerkersstructuur.

Wie verwerken mijn data als ik HubSpot AI gebruik?

HubSpot publiceert een lijst met subverwerkers. Daarop staan onder andere partijen die betrokken kunnen zijn bij infrastructuur en AI-verwerking, zoals AWS, Google, OpenAI en Anthropic.

Voor AI worden partijen zoals OpenAI en Anthropic genoemd als AI-serviceproviders. AWS en Google ondersteunen daarnaast delen van de infrastructuur of regionale dataverwerking.

Voor organisaties die privacy- of securitygevoelig zijn, is dit belangrijk. Je wilt namelijk niet alleen weten dát AI wordt gebruikt, maar ook:

• welke externe partijen betrokken zijn;
• voor welk doel zij worden ingezet;
• in welke regio verwerking plaatsvindt;
• welke rechten je hebt als er nieuwe subverwerkers bijkomen.

HubSpot biedt de mogelijkheid om je te abonneren op updates rondom subverwerkers. Bij wijzigingen krijg je vooraf bericht, zodat je hier intern op kunt reageren.

Krijg ik bericht als HubSpot nieuwe AI-subverwerkers toevoegt?

Ja, klanten kunnen zich abonneren op updates van HubSpot’s subverwerkerspagina. Als HubSpot nieuwe subverwerkers toevoegt of bestaande subverwerkers wezenlijk wijzigt, kun je daarvan vooraf bericht krijgen.

Voor organisaties met een formeel privacy- of securityproces is dit relevant. Je kunt dan intern laten beoordelen of de wijziging acceptabel is.

In gewone taal:

Je hoeft de lijst niet handmatig te blijven controleren; je kunt je laten informeren bij wijzigingen.

Wordt gevoelige data extra beschermd?

Ja, HubSpot kent aparte functionaliteit voor Sensitive Data en Highly Sensitive Data. Daarmee kun je gevoelige informatie anders behandelen dan reguliere CRM-data.

Denk aan gegevens die onder strengere privacy- of compliance-eisen vallen. Bij gebruik van Sensitive Data gelden extra beperkingen voor AI-gebruik en modeltraining. Accounts met Sensitive Data zijn standaard uitgesloten van AI-modeltraining.

Voor organisaties met gevoelige klantdata is dit een belangrijk punt. Het betekent dat je niet alleen moet nadenken over “staat AI aan of uit?”, maar vooral over:

• welke data in welke velden staat;
• welke velden als gevoelig zijn gemarkeerd;
• welke gebruikers toegang hebben tot die velden;
• welke AI-functies wel of niet bij die data mogen.

Gebruikt HubSpot mijn data om eigen AI-modellen te trainen?

Ja, dat kan. De instelling AI Model Training staat standaard aan. Maar dit kun je uitzetten onder Settings → AI → Access. Belangrijk: Als je dit uitzet, raak je geen AI-functionaliteit kwijt. Je kunt Breeze dus blijven gebruiken, maar je data wordt niet gebruikt voor HubSpot’s eigen modeltraining.

De simpele uitleg:

Je kunt HubSpot AI gebruiken zonder jouw klantdata beschikbaar te stellen voor training van HubSpot’s eigen AI-modellen.

Let op: AI Model Training uitzetten betekent niet dat AI-functies helemaal geen data meer verwerken. Het betekent dat HubSpot jouw klantdata niet gebruikt voor training van eigen AI-modellen. Voor het uitvoeren van een AI-taak kan nog steeds relevante data worden verwerkt, afhankelijk van de gebruikte functie en instellingen.

Voor veel organisaties is dit een logische eerste governance-maatregel: zet AI-functionaliteit gecontroleerd aan, maar schakel modeltraining uit totdat hier intern bewust beleid voor is gemaakt.

Gebruiken OpenAI, Anthropic of andere AI-leveranciers mijn data om hun modellen te trainen?

HubSpot stelt dat klantdata niet wordt gebruikt voor training van modellen van derde partijen, zoals OpenAI of Anthropic. In HubSpot’s AI Trust-informatie en model cards wordt dit omschreven als “No Customer Data Used For Third Party Model Training”.

Ook verwijst HubSpot naar zero data retention waar mogelijk. Dat betekent dat data die nodig is om een AI-verzoek uit te voeren niet door de modelleverancier wordt bewaard om eigen modellen te verbeteren.

Let op: niet trainen is iets anders dan niet verwerken. Afhankelijk van de AI-functie kunnen AI-serviceproviders tijdelijk betrokken zijn bij de verwerking om een specifiek verzoek uit te voeren.

Werk je met NDA-gevoelige, juridische, medische of andere hooggevoelige data? Laat dan beoordelen of dit past binnen jullie contracten, dataclassificatie en risicoprofiel.

Gebruik dus liever niet de absolute zin: “OpenAI traint nooit met je data." Beter is: “HubSpot geeft aan dat haar AI-serviceproviders klantdata niet mogen gebruiken voor training van hun eigen modellen.”

Welke AI-instellingen kan een Super Admin beheren?

HubSpot geeft Super Admins verschillende knoppen om AI-gebruik te beheren. Daarmee kun je bepalen welke AI-functionaliteit beschikbaar is en welke databronnen AI mag gebruiken.

Belangrijke instellingen zijn onder andere:

Vooral Files data is belangrijk. Deze staat standaard uit. Dat is logisch, omdat bestanden vaak gevoelige of minder gestructureerde informatie bevatten, zoals offertes, contracten, interne documenten of klantdocumentatie.

Let op: zet Files data pas aan nadat duidelijk is welke bestanden in HubSpot staan, wie daar toegang toe heeft en of daar vertrouwelijke klantinformatie, contracten, persoonsgegevens of NDA-gevoelige informatie in voorkomt.

Worden wijzigingen in AI-instellingen vastgelegd?

Ja. Wijzigingen in AI-instellingen worden vastgelegd in de audit log.

Dat is belangrijk voor governance. Je wilt achteraf kunnen zien wie AI-toegang heeft aangepast, wanneer dat is gebeurd en welke instellingen zijn gewijzigd.

Voor organisaties met compliance-eisen is dit geen detail. Het maakt AI-beheer controleerbaar.

Praktisch voorbeeld:

Als een Super Admin de toegang tot CRM-data voor AI aanzet, wil je kunnen terugzien wanneer dat is gebeurd en door wie. Zeker wanneer je werkt met klantdata, persoonsgegevens of gevoelige bedrijfsinformatie.

Heb ik HubSpot Enterprise nodig om AI veilig te gebruiken?

Niet per se. Ook zonder Enterprise kun je AI-instellingen beheren. Maar voor organisaties die veel waarde hechten aan data-afscherming, auditability en compliance biedt Enterprise duidelijk meer controle.

Enterprise is vooral relevant als je behoefte hebt aan:

• field-level permissions;
• centrale audit logs;
• Sensitive Data en Highly Sensitive Data;
• aanvullende encryptie op applicatielaag;
• strengere toegangscontrole;
• BAA-mogelijkheden voor HIPAA-contexten;
• betere inrichting van AI-governance over teams en databronnen heen.

Samengevat:

AI veilig gebruiken begint niet bij Enterprise, maar Enterprise maakt governance veel volwassener.

Voor kleinere organisaties kan een goede rechtenstructuur, bewuste AI-instellingen en het uitschakelen van AI Model Training al voldoende zijn. Voor grotere organisaties, internationale bedrijven of bedrijven met gevoelige data is Enterprise vaak de logische route.

Wat zijn Breeze Agents en waarom vraagt dat om extra governance?

Breeze Agents zijn AI-agents die taken kunnen uitvoeren binnen HubSpot. Denk aan ondersteuning bij sales, service, marketing, content, klantvragen of dataverwerking.

Dat is krachtiger dan alleen een AI-assistent die tekst genereert. Een agent kan dichter op processen zitten en mogelijk acties ondersteunen of automatiseren.

Daarom vraagt dit om duidelijke afspraken:

• Welke agents mogen worden gebruikt?
• Wie mag agents aanmaken of aanpassen?
• Welke databronnen mogen agents gebruiken?
• Welke output moet eerst worden gecontroleerd?
• Welke acties mogen nooit volledig automatisch plaatsvinden?
• Wie is verantwoordelijk voor fouten of ongewenste output?

In gewone taal:

Hoe actiever de AI wordt, hoe belangrijker governance wordt.

Een AI-assistent die een tekstvoorstel doet is iets anders dan een agent die structureel klantinteracties ondersteunt of commerciële opvolging voorbereidt.

Wat kun je maar beter intern afspreken?

Mijn advies is om AI niet “zomaar” aan te zetten, maar wel kort wat besluitvorming rondom AI-gebruik te organiseren. Dat hoeft geen dik juridisch document te zijn. Een praktische interne afspraak is vaak al een grote stap vooruit.

Beantwoord minimaal deze vragen:

• Welke AI-functies zetten we aan? Welke niet?
• Welke databronnen mag AI gebruiken?
• Zetten we AI Model Training aan of uit?
• Wie mag AI-instellingen wijzigen?
• Welke gebruikersgroepen krijgen toegang?
• Hoe gaan we om met gevoelige data?
• Welke output moet altijd door een mens worden gecontroleerd?
• Wie monitort wijzigingen in subverwerkers?
• Wanneer betrekken we intern privacy, security of compliance?
• Hoe leggen we dit uit aan medewerkers?

De uiteindelijke verantwoordelijkheid besluiten en inrichting ligt uiteraard bij de organisatie die HubSpot gebruikt.

Daarmee voorkom je dat AI-gebruik organisch ontstaat zonder duidelijke afspraken.

Wat is de belangrijkste boodschap voor directie en management?

HubSpot AI is geen losse chatbot naast je CRM. Het is AI die werkt op basis van je CRM-data, rechten, instellingen en processen.

AI maakt een goede HubSpot-inrichting krachtiger, maar maakt een slechte inrichting risicovoller.

Dat maakt het krachtig, maar ook governance-gevoelig.

De belangrijkste boodschap is:

HubSpot heeft AI relatief gecontroleerd ingebouwd, maar als organisatie moet je zelf bewuste keuzes maken over toegang, databronnen, modeltraining, gevoelige data en toezicht.

AI in HubSpot is dus geen simpele “aan/uit”-beslissing. Het is een volwassenheidsvraag:

• Is onze data schoon genoeg?
• Zijn onze rechten goed ingericht?
• Weten we welke data gevoelig is?
• Hebben we afspraken over AI-gebruik?
• Hebben we voldoende audit en controle?
• Past onze licentie bij onze governance-eisen?

Vaak is data schoon genoeg om voorzichtig te starten, maar nog niet altijd voldoende om AI zelfstandig beslissingen op te laten baseren. En zolang we in HubSpot-portals soms nog tien Super Admins tegenkomen, is rechtenbeheer meestal een betere eerste stap dan je al druk maken over andere privacy/veiligheidsaspecten.

Praktisch advies

Voor de meeste organisaties is dit een verstandig startpunt:

1. Controleer je rechtenstructuur Kijk eerst wie toegang heeft tot welke records, properties, teams en objecten.
2. Beperk het aantal Super Admins Te veel Super Admins betekent vaak te weinig grip op instellingen en governance.
3. Zet AI Model Training bewust aan of uit Zet het uit, tenzij er bewust akkoord is om data hiervoor te gebruiken.
4. Laat Files data standaard uit Zet dit pas aan als duidelijk is welke bestanden AI mag gebruiken.
5. Controleer Sensitive Data Zorg dat gevoelige velden goed zijn ingericht en niet organisch overal in het CRM staan.
6. Bepaal wie Breeze Assistant en Breeze Agents mag gebruiken Maak onderscheid tussen experimenteren, structureel gebruik en proceskritische inzet.
7. Leg vast wie AI-instellingen mag beheren Maak dit onderdeel van je beheerproces, niet van losse individuele keuzes.
8. Abonneer je op updates van HubSpot’s subverwerkers Dan weet je wanneer er iets verandert aan betrokken partijen.
9. Spreek af welke AI-output door mensen gecontroleerd moet worden Zeker bij klantcommunicatie, commerciële opvolging, juridische teksten of gevoelige beslissingen.
10. Herzie dit periodiek AI-functionaliteit verandert snel. Plan bijvoorbeeld elk kwartaal een korte check op instellingen, bronnen en beleid.

Zo profiteer je van de voordelen van AI, zonder dat je de controle over data en governance verliest.

Tot slot

Dit artikel is gebaseerd op publiek beschikbare HubSpot-documentatie en bedoeld als praktische samenvatting. Het is geen juridisch advies, DPIA, security assessment of beoordeling van jullie specifieke HubSpot-portal, contracten of datastromen.

AI-functionaliteit verandert snel. Modellen, subprocessors, instellingen, standaardwaarden en voorwaarden kunnen wijzigen. Controleer daarom altijd de actuele HubSpot AI Trust-pagina, HubSpot AI-instellingen, HubSpot Terms en Sub-Processors Page voordat je op deze informatie leunt.

Werk je met privacy-, security- of compliancegevoelige situaties? Laat dan degene meekijken die binnen jullie organisatie verantwoordelijk is voor privacy, security of compliance.

Meer weten?

Zit je met je organisatie midden in de transitie om AI-first te worden? Zijn bovenstaande topics risico's die jullie organisatie er van weerhouden meer impact te maken met AI in het commerciële proces? Ik kom graag met je in gesprek!