Grok Bot in Europa

Dit onderdeel is algemene informatie, geen juridisch advies.

Eén functie is nog niet beschikbaar. Door @bot op X te taggen geef je een post door aan je Bot. Dat werkt niet voor X-accounts in de Europese Unie, IJsland, Liechtenstein, Noorwegen, het Verenigd Koninkrijk of Australië. Het gaat om het land dat X voor je account heeft vastgelegd, dus je locatie en een eventuele VPN maken niets uit (documentatie). Geen enkele andere Grok Bot-functie in de documentatie is als regiogebonden aangemerkt.

Je gegevens verlaten de EU. Grok Bot-computers draaien in de Verenigde Staten, en het dataresidentieprogramma dat Grok Bot dekt, geldt alleen voor de VS (documentatie). Grok Bot gebruikt je Cursor-account. De exploitant van Cursor zegt dat gegevens van EER-gebruikers naar zijn Amerikaanse servers kunnen worden overgebracht en dat hij voor zulke overdrachten een passend beschermingsniveau eist (Cursor Privacy Policy).

Toezichthouders houden Grok in de gaten. De Ierse Data Protection Commission begon in april 2025 een onderzoek naar de vraag of openbare X-posts van EU/EER-gebruikers rechtmatig zijn gebruikt om de Grok-modellen te trainen (DPC), en in februari 2026 een tweede onderzoek naar geseksualiseerde afbeeldingen die met Grok op X zijn gemaakt (DPC). Beide gaan over X en Grok, niet rechtstreeks over Grok Bot.

Grok Bot gebruikt de gegevensinstellingen van je Cursor-account, en je afmelding voor training volgt die instellingen (documentatie). Drie stappen:

1. Zet Privacy Mode aan in je Cursor-instellingen. Cursor zegt dat het bij ingeschakelde Privacy Mode niet traint op je gegevens (Cursor Security), en dat zijn modelaanbieders overeenkomsten hebben om geen gegevens te bewaren (zero data retention), al kan gemarkeerde inhoud worden bewaard voor onderzoek naar misbruik (Cursor Data Use). Grok Bot heeft cloudopslag nodig, dus de oudere Privacy Mode (Legacy) wordt niet ondersteund; je wordt gevraagd over te schakelen voordat je begint (documentatie).

2. Gebruik je ook Grok (grok.com of de Grok-apps), maak daar dan bezwaar tegen training. In het Europese addendum van xAI staat dat modeltraining berust op zijn gerechtvaardigde belangen, en dat je in je instellingen bezwaar kunt maken tegen het gebruik van je gegevens voor training (Europe addendum).

3. Houd Bots van je eigen computer af. Zet in Settings → Computer → Your computer de optie Execution on this computer op Never allow (documentatie).

Denk eraan dat al je Bots één cloudcomputer delen. Log uit bij diensten en verwijder gevoelige bestanden van die computer als een klus klaar is (documentatie).

De AVG (GDPR) geeft je het recht op inzage (artikel 15), op wissing (artikel 17) en op bezwaar tegen verwerking op basis van gerechtvaardigde belangen (artikel 21). Het bedrijf moet binnen een maand antwoorden, te verlengen met twee extra maanden bij complexe verzoeken (artikel 12, lid 3).

Kies het juiste bedrijf. Grok Bot draait op je Cursor-account (documentatie). Voor die gegevens zegt het privacybeleid van Cursor dat je contact opneemt met hi@cursor.com; een weigering kun je op hetzelfde adres aanvechten (Cursor Privacy Policy). Voor gegevens in Grok op grok.com of de Grok-apps verwijst het privacybeleid van xAI naar zijn privacyportaal en noemt het een EU-vertegenwoordiger in Dublin en een functionaris voor gegevensbescherming (Data Protection Officer) op privacy@x.ai (xAI Privacy Policy).

Schrijf het duidelijk. Noem het artikel, zeg wat je wilt (een kopie van je gegevens, verwijdering, of een einde aan training erop) en geef het e-mailadres van je account.

Of verwijder het account zelf. Als je je Cursor-account verwijdert, verdwijnen Grok Bot-agents, chats, computers en gekoppelde apps, en worden alle gegevens binnen 30 dagen verwijderd (documentatie). Zeg een gekoppeld SuperGrok-, X Premium+- of appstore-abonnement apart op.

Ben je niet tevreden, dan kun je een klacht indienen bij een toezichthoudende autoriteit, in het bijzonder in je eigen land (AVG, artikel 77).

Volgens de Grok Bot Terms is je bedrijf verantwoordelijk voor rechten, goedkeuringsvereisten en uitgavenlimieten, en moet het menselijke controle inzetten voordat Bots externe berichten versturen, geld verplaatsen, gegevens verwijderen of juridische verplichtingen aangaan (secties 2.2 en 2.3).

Papierwerk. De documentatie van Grok Bot verwijst naar de Data Processing Agreement van Cursor: nadat de dienst eindigt, worden gegevens binnen 30 dagen na schriftelijke instructie verwijderd of teruggegeven (documentatie). Bewaar hem bij je documentatie voor de AVG (GDPR).

Ken de grenzen. Bot-computers draaien in de VS. Een bewaarbeleid per organisatie is niet beschikbaar. Action Recording (Enterprise) bewaart Bot-acties 90 dagen (documentatie). Leg dit vast in je verwerkingsregister.

Instellingen om af te dwingen.

• Privacy Mode voor het team: dan worden klantgegevens niet gebruikt voor training (documentatie). Privacy Mode (Legacy) blokkeert Grok Bot helemaal.
• Op Enterprise: verplichte Auto-review met teambrede regels, zoals “ask first before sending external email” (eerst vragen voor het versturen van externe e-mail) (changelog, v0.45.0).
• Een begrenzing van uitvoering op de lokale computer voor elk lid (documentatie).

Vergaderingen. Neemt een Bot deel aan gesprekken, dan maken de voorwaarden jou verantwoordelijk voor mededelingen aan en toestemming van elke deelnemer (sectie 2.6).

Data. De AI Act (AI-verordening) trad op 1 augustus 2024 in werking. De verboden golden vanaf 2 februari 2025 en de regels voor AI-modellen voor algemeen gebruik vanaf 2 augustus 2025. De transparantieregels (artikel 50) gelden vanaf 2 augustus 2026. Na de wijzigingen van de Digital Omnibus volgen de regels voor hoogrisicosystemen op 2 december 2027 en 2 augustus 2028 (tijdlijn van de Commissie).

Als privégebruiker. Volgens de Commissie valt het gebruik van een AI-systeem voor persoonlijke, niet-professionele doeleinden buiten de AI Act. Regelmatig gebruik voor economisch voordeel telt als professioneel, en dan ben je een “deployer” (gebruiksverantwoordelijke) (FAQ van de Commissie).

Als bedrijf. Deployers moeten deepfakes duidelijk labelen, en ook door AI gegenereerde tekst die is gepubliceerd om het publiek te informeren over zaken van algemeen belang, tenzij die tekst menselijke controle of redactionele controle heeft gehad (kernfeiten). Aanbieders van AI-systemen die rechtstreeks met mensen communiceren, zoals chatbots en AI-agents, moeten ervoor zorgen dat mensen weten dat ze met AI te maken hebben, tenzij dat duidelijk is (FAQ van de Commissie).

In de praktijk. Houd een menselijke controlestap aan voordat een Bot iets voor het publiek publiceert. Schrijft een Bot naar mensen buiten je bedrijf, vermeld dan in de handtekening dat het bericht met AI is opgesteld.

De enige Grok Bot-functie die de documentatie als regiogebonden noemt, is het taggen van @bot op X. Het gaat om het land dat X voor je account heeft vastgelegd, en “your current location and any VPN have no effect” (je huidige locatie en een eventuele VPN hebben geen effect) (documentatie). Een VPN helpt hier niet.

De legale route. Je hebt taggen niet nodig om met X te werken. Plak de link van de post in een chat met je Bot: Bots kunnen op X zoeken en posts en profielen lezen, ook zonder gekoppeld X-account (changelog, v0.70.2).

Wat de regels zeggen. De regel die je met een VPN of een elders geregistreerd account zou breken, staat in je overeenkomst met xAI. De Acceptable Use Policy van xAI verbiedt “circumventing any rate limits or restrictions or protective measures and safety mitigations” (het omzeilen van limieten, beperkingen of beschermende maatregelen) (AUP), en de voorwaarden vereisen “accurate and complete information to register for an account” (juiste en volledige gegevens om een account te registreren) (Terms). De eigen voorwaarden van Grok Bot maken het gebruik ervan afhankelijk van de acceptable use policy van de aanbieder (Grok Bot Terms, sectie 1.1).

Het risico. Volgens de voorwaarden mag xAI de toegang opschorten of beëindigen als je de voorwaarden of de Acceptable Use Policy schendt. Voor gebruikers in de EER, het Verenigd Koninkrijk en Zwitserland is daarvoor een “reasonable and valid basis” (redelijke en geldige grondslag) nodig, en een schending van de voorwaarden wordt daarbij als zodanig genoemd (Terms, Europe Specific Terms).