AI en AVG is het onderwerp dat de meeste ondernemers het liefst links laten liggen. Het voelt als juridisch moeras, en eerlijk: het is ook niet simpel. Maar als je AI-tools gebruikt en daarbij persoonsgegevens van klanten, medewerkers of bezoekers doorheen laten lopen, ben je aan de beurt. In dit artikel lees je wat de AVG van je vraagt als je AI inzet, welke keuzes je kunt maken en waar je het beste kunt beginnen.
AI en AVG komen samen op één punt: persoonsgegevens. De AVG (Algemene Verordening Gegevensbescherming) regelt hoe je met persoonsgegevens mag omgaan. AI-tools verwerken vaak data, en als die data persoonsgegevens bevat, geldt de AVG. De vraag is daarom hoe je ermee omgaat.
#AI en AVG: wanneer geldt de wet (en wanneer niet)
De AVG geldt zodra je persoonsgegevens verwerkt. Persoonsgegevens zijn alle gegevens die herleidbaar zijn tot een persoon: naam, e-mailadres, telefoonnummer, maar ook IP-adres, locatiegegevens of een combinatie van kenmerken die iemand identificeren.
- Wel AVG: je klantgegevens in een AI-tool laden om e-mails te laten schrijven of klantvragen te beantwoorden.
- Wel AVG: medewerkerdata in een AI-tool zetten voor prestatie-analyse of planning.
- Geen AVG: een AI-tool gebruiken om algemene teksten te schrijven zonder persoonsgegevens erin te stoppen.
- Geen AVG: anonieme, geaggregeerde data gebruiken die niet meer herleidbaar zijn tot personen.
De grens zit dus bij de data die je erin stopt, niet bij de AI-tool zelf. Een chatbot die algemene vragen beantwoordt zonder klantdata te raadplegen, valt buiten de AVG. Een chatbot die meeleest met klantgesprekken en namen en e-mailadressen verwerkt, valt er wel onder.
#De vijf AVG-plichten bij AI-gebruik
Als je persoonsgegevens via een AI-tool verwerkt, gelden de reguliere AVG-plichten. Hier zijn ze op een rij, toegespitst op AI.
Rechtsgrond. Je hebt een grondslag nodig om persoonsgegevens te verwerken. Voor klantcontact is dat vaak “uitvoering overeenkomst”. Voor marketing is het “gerechtvaardigd belang” (met afweging) of toestemming. Zonder grondslag mag je niet verwerken.
Verwerkingsverwerkingsovereenkomst. Als je een externe AI-tool gebruikt die persoonsgegevens verwerkt, heb je een verwerkersovereenkomst nodig met de leverancier. Dat is een contract waarin de leverancier belooft de data veilig te verwerken en niet voor eigen doeleinden te gebruiken. Bekende leveranciers (zoals OpenAI voor bedrijfsaccounts, Microsoft Copilot) hebben deze standaard beschikbaar.
Doelbindigheid. Je mag persoonsgegevens alleen gebruiken voor het doel waarvoor je ze verzamelde. Klantdata die je kreeg voor levering, mag je niet zomaar in een AI-tool laden voor marketing, tenzij dat binnen het oorspronkelijke doel past of je daar toestemming voor hebt.
Beveiliging. Je moet redelijke maatregelen nemen om de data te beveiligen. Dat betekent: geen persoonsgegevens in een openbare, gratis AI-tool zonder verwerkersovereenkomst. Gebruik een zakelijke versie met een DPA (Data Processing Agreement).
Transparantie en rechten. Betrokkenen moeten weten dat je hun data verwerkt, en hebben rechten: inzage, correctie, verwijdering. Zorg dat je privacybeleid vermeldt dat je AI-tools gebruikt als dat relevant is voor de verwerking.
Welke AI-tools mag je gebruiken?
De toolkeuze is een van de belangrijkste AVG-beslissingen. Grofweg zijn er twee categorieen.
- Openbare, gratis tools. Denk aan de gratis versie van ChatGPT, Claude of vergelijkbare diensten. Hierbij geldt vaak dat de aanbieder de input mag gebruiken om zijn model te trainen. Dat betekent dat persoonsgegevens die je erin stopt, mogelijk bij het trainen van het model terechtkomen. Dat is een AVG-risico.
- Zakelijke tools met DPA. De betaalde, zakelijke versies van deze tools hebben een verwerkersovereenkomst en trainen niet op je data. Hier mag je, mits je de andere AVG-plichten nakomt, persoonsgegevens verwerken.
Data Protection Impact Assessment (DPIA)
Bij AI-toepassingen met een hoog privacyrisico schrijft de AVG een Data Protection Impact Assessment (DPIA) voor. Dat is een Privacy Impact Assessment waarin je systematisch in kaart brengt welke risico’s de verwerking voor betrokkenen oplevert, en hoe je die beperkt.
Wanneer is een DPIA verplicht? De Autoriteit Persoonsgegevens noemt een aantal situaties, waaronder grootschalige verwerking van gevoelige data, systematische monitoring, en profielen met ver reikende gevolgen. Een AI-tool die klantgedrag analyseert om prijzen te personaliseren kan onder de DPIA-plicht vallen als het op grote schaal gebeurt.
Voor het MKB betekent dit: bij twijfel, doe een DPIA. Het hoeft geen 50 pagina’s dik rapport te zijn. Een gerichte check van risico’s en maatregelen volstaat vaak. En het is een stuk goedkoper dan een boete achteraf.
#De AI Act: wat verandert er?
Naast de AVG is er de EU AI Act, die vanaf 2026 gefaseerd in werking treedt. De AI Act regelt hoe AI-systemen zelf mogen worden ingezet, aanvullend op de AVG (die gaat over de data). Voor het MKB betekent dit vooral twee dingen.
Ten eerste: transparantie. Als je AI gebruikt om content te genereren of klantcontact te automatiseren, moet je in sommige gevallen aangeven dat AI is gebruikt. Bij klantcontact bijvoorbeeld moet de klant kunnen weten dat hij met een AI-systeem praat.
Ten tweede: risicoclassificatie. De AI Act deelt AI-systemen in volgens risiconiveau. De meeste MKB-toepassingen (content genereren, samenvatten, plannen) vallen in de laagste categorie, die weinig extra eisen stelt. Toepassingen die beslissingen over mensen maken (werving, kredietbeoordeling) vallen hoger en hebben meer verplichtingen.
Voor de meeste MKB-toepassingen betekent dit: wees transparant over AI-gebruik, en wees voorzichtig met AI die beslissingen over mensen maakt zonder menselijke controle. Een AI-tool die sollicitatiebrieven filtert of kredietwaardigheid inschat, valt in een hogere risicoklasse en heeft meer verplichtingen dan een tool die e-mails samenvat.
De precieze uitvoering van de AI Act is nog in ontwikkeling. De belangrijkste stap voor het MKB is nu al: weet waar je AI voor inzet en wees er open over naar klanten en medewerkers.
Praktische checklist: AVG-compliant met AI
Deze checklist helpt je stap voor stap te bepalen of je AVG-proof werkt met AI.
Als je op de meeste vragen ja kunt antwoorden, ben je aardig op weg. Bij twijfel op een van de punten: pak dat punt eerst aan voordat je de AI-tool in productie neemt. Een uur voorbereiding voorkomt een melding bij de toezichthouder.
#Conclusie
AI en AVG vereisen dat je bewust omgaat met data. De kern: De kern: weet welke persoonsgegevens je in welke tool stopt, gebruik een zakelijke tool met DPA voor alles dat klant- of medewerkerdata raakt, en wees transparant. De gratis, openbare AI-tools zijn handig voor algemeen werk, maar persoonsgegevens horen er niet in.
Wil je hulp bij het AVG-proof inrichten van je AI-gebruik? Plan een gesprek en we lopen samen je situatie door.