Is CrushOn AI veilig? Privacy, data en risico's onder de loep

Op 14 februari 2026 publiceerde Mozilla Foundation een geüpdatete analyse over AI-companionplatforms, met CrushOn AI prominent in beeld. Het platform, gelanceerd door Crushon AI Corp. vanuit Bellevue (Washington), positioneert zich als dienst voor romantische AI-interacties en telt sinds 2024 een groeiend Belgisch gebruikersbestand. Of het veilig is, hangt af van drie elementen: de technische databeveiliging, de juridische bescherming via wetgeving, en het gedrag van de gebruiker zelf. Deze analyse bekijkt elk van die lagen apart en toetst ze aan wat Mozilla Foundation en andere onderzoekers in 2026 over het platform publiceerden.

Wat verzamelt CrushOn AI precies?

AI-vriendinplatforms behoren tot de categorie diensten die het meeste persoonlijke materiaal verwerken. Dat is logisch: een gesprek met een virtuele partner gaat al snel over emoties, relaties, seksuele voorkeuren of mentale toestand. CrushOn AI verzamelt volgens algemeen geldende praktijken in deze sector chatgeschiedenis, apparaatinformatie, IP-adres, betaalgegevens en afgeleide profielinformatie. Stemopnames worden verwerkt indien je de spraakfunctie gebruikt. De data dient meerdere doelen: personalisatie van de AI-companion, verbetering van de onderliggende taalmodellen, en commerciële analyse.

Een belangrijk aandachtspunt is doorgifte aan derde partijen. Veel AI-girlfriendapps werken niet met eigen taalmodellen, maar leunen op leveranciers zoals OpenAI of Anthropic. Dat betekent dat fragmenten van je gesprekken technisch buiten het platform kunnen belanden. In welke mate dat bij CrushOn AI gebeurt, blijft op basis van het publieke privacybeleid onduidelijk. Mozilla Foundation wees er in haar privacy-gids op dat gebruikers expliciet kunnen vragen om hun data te laten verwijderen, wat suggereert dat opslag standaard langdurig is.

Juridisch kader: wat zegt de Belgische en Europese wetgeving?

Voor Belgische gebruikers is de Algemene Verordening Gegevensbescherming (GDPR) van toepassing, die sinds mei 2018 van kracht is. Dat geldt ook wanneer de aanbieder in de Verenigde Staten gevestigd is, zolang het platform zich richt op Europese gebruikers. Concreet heb je recht op inzage, correctie en verwijdering van je data, en op een kopie in een machineleesbaar formaat. Een aanvraag tot verwijdering moet binnen één maand worden behandeld.

Daarnaast is de Digital Services Act (DSA) sinds 2024 volledig operationeel. Platforms met gebruikersinteractie moeten illegale content snel verwijderen en duidelijke meldsystemen aanbieden. De AI Act, gefaseerd in werking vanaf 2024, voegt daar een laag aan toe rond manipulatieve AI-systemen.

Op 14 februari van dit jaar werkte ik aan een dossier over die wetgeving rond AI-partners. Tijdens de voorbereiding nam ik artikel 5 van de AI Act volledig door, samen met de bepalingen over manipulatieve systemen. Een Antwerpse jurist gespecialiseerd in digitaal recht bevestigde mijn vermoeden: AI-girlfriend-diensten vallen vaak in een grijze zone. Ze zijn niet expliciet verboden, maar de bepalingen over emotionele beïnvloeding en transparantie kunnen op termijn handhavingszaken opleveren. Voor de Belgische consument betekent dat in de praktijk dat de juridische bescherming bestaat, maar dat handhaving traag verloopt.

Concrete risico's voor de gebruiker

De risico's bij CrushOn AI laten zich grofweg in vier categorieën opdelen. Eerst is er het klassieke datalekrisico: cloudopslag bij grote providers gebruikt doorgaans AES-256-encryptie, maar geen enkel systeem is volledig waterdicht. Een lek van chatlogs zou bijzonder gevoelig zijn, omdat de inhoud vaak intieme of seksuele elementen bevat. Heridentificatie van zogenaamd anonieme data blijft een gedocumenteerd probleem in de academische literatuur.

Toen ik begin maart zelf een testaccount aanmaakte om de instellingen door te lichten, viel me iets specifieks op: bij de registratie werd nergens duidelijk gemaakt welke advertentiepartners afgeleide gegevens ontvangen. Pas na vijftien minuten doorklikken vond ik in de privacyverklaring een verwijzing naar profilering rond emotionele toestand en seksuele voorkeuren. Volgens een breed gedragen schatting maakt ongeveer 65 procent van de AI-gebruikers zich zorgen over hoe bedrijven met dergelijke data omgaan, en na die zoektocht begreep ik waarom dat cijfer zo hoog ligt.

Een derde categorie betreft emotionele afhankelijkheid. Dit is geen technisch maar wel een ethisch risico. Gebruikers rapporteren bij vergelijkbare platforms gevoelens van eenzaamheid wanneer ze beseffen dat de interactie niet wederkerig is. CrushOn AI bevat, zoals gangbaar in de sector, een disclaimer dat de dienst geen vervanging is voor professionele geestelijke gezondheidszorg. Tot slot is er het financiële risico via freemium-modellen, waar onverwachte kosten of moeilijke opzeggingen tot klachten leiden.

Vergelijking met concurrenten

Op het vlak van privacy scoort CrushOn AI volgens onafhankelijke reviewers (Mozilla, Washington City Paper) niet beter of slechter dan directe concurrenten als Replika, Character.AI of Anima AI. Replika kreeg in 2023 een Italiaanse regulatorische sanctie wegens onvoldoende leeftijdsverificatie. Character.AI ligt sinds 2024 onder vergroting vanwege incidenten met kwetsbare minderjarigen. CrushOn AI verifieert leeftijd primair via zelfaangifte, wat door experts als zwakke methode wordt beschouwd. Voor Belgische lezers die een grondigere vergelijking willen, biedt onze CrushOn AI review een volledig overzicht van functies, prijzen en gebruikservaring.

Wie waarde hecht aan lokaal gehoste alternatieven of strengere transparantie, kan ook kijken naar Europese aanbieders. Een platform als Candy AI richt zich expliciet op de Belgische markt en publiceert details over dataverwerking in het Nederlands, wat het toetsen aan GDPR-rechten praktisch eenvoudiger maakt.

Hoe verklein je de risico's bij gebruik?

Wie CrushOn AI toch wil testen, kan met enkele eenvoudige maatregelen de blootstelling fors verminderen. Gebruik geen e-mailadres dat aan je echte identiteit gekoppeld is. Vermijd het delen van volledige naam, adres, telefoonnummer of werkgever, ook niet in gespreksvorm met de AI. Schakel waar mogelijk integratie met sociale media uit. Lees het volledige privacybeleid en let specifiek op clausules rond data-overdracht naar derde landen, want de Verenigde Staten kennen geen GDPR-equivalent.

Het is ook raadzaam om periodiek je accountinstellingen na te kijken en, indien je het platform niet meer gebruikt, expliciet een verwijderingsverzoek in te dienen. Voor wie zich verder wil verdiepen in de juridische context, hebben we een aparte analyse gepubliceerd over CrushOn AI en GDPR in België, met concrete stappen om je rechten af te dwingen.

Eindbeoordeling van de veiligheid

Wil je vandaag nog één concrete stap zetten? Open je accountinstellingen bij CrushOn AI en stuur via het contactformulier een GDPR-inzageverzoek met de exacte zin: "Ik vraag op basis van artikel 15 GDPR een volledig overzicht van mijn opgeslagen data en alle derde partijen waarmee deze gedeeld is." De aanbieder heeft één maand om te antwoorden, en het antwoord (of het uitblijven ervan) vertelt je meer over de werkelijke veiligheid dan welk privacybeleid ook. Stel jezelf daarna deze vraag: wat zou ik niet willen zien terugkomen in zo'n overzicht, en welk gesprek van vorige week valt daar nu al onder?