Wat betekent AVG-proof AI gebruiken?
AVG-proof AI gebruiken betekent dat je bij elk gebruik van AI met persoonsgegevens de regels van de Algemene Verordening Gegevensbescherming (AVG) volgt. De AVG geldt zodra je gegevens verwerkt die naar een persoon te herleiden zijn, zoals namen, e-mailadressen, klantdossiers en sollicitatiebrieven. Welke technologie je daarvoor gebruikt maakt voor de wet geen verschil.
Jij bent als bedrijf de verwerkingsverantwoordelijke. De aanbieder van de AI-tool is in de meeste gevallen je verwerker. AVG-proof is een gangbare term zonder juridische status. Je eigen verwerking blijft jouw verantwoordelijkheid, welke tool of leverancier je ook kiest.
Dit artikel beschrijft wat de regels vragen en wat je praktisch regelt, met als peildatum oktober 2026. Het is algemene informatie. Leg je eigen situatie voor aan een jurist of je functionaris gegevensbescherming.
Wat vraagt de AVG als je AI gebruikt?
De AVG vraagt bij AI-gebruik hetzelfde als bij elke andere verwerking van persoonsgegevens. Deze onderdelen komen bij AI het vaakst terug:
| Onderwerp | Artikel AVG | Wat je regelt |
|---|---|---|
| Grondslag | 6 | Je bepaalt op welke wettelijke grondslag je de gegevens verwerkt |
| Doel en dataminimalisatie | 5 | Je verwerkt alleen de gegevens die voor het doel nodig zijn |
| Informeren | 13 en 14 | Je privacyverklaring beschrijft dat en hoe je AI inzet |
| Rechten van betrokkenen | 15 tot en met 17 | Je kunt gegevens laten inzien, corrigeren en verwijderen |
| Geautomatiseerde besluiten | 22 | Mensen hebben het recht om niet te worden onderworpen aan een volledig geautomatiseerd besluit met grote gevolgen |
| Verwerkersovereenkomst | 28 | Je legt schriftelijk vast wat de AI-aanbieder met de gegevens doet |
| Beveiliging | 32 | Je neemt passende technische en organisatorische maatregelen |
| DPIA | 35 | Bij een waarschijnlijk hoog risico voer je vooraf een gegevensbeschermingseffectbeoordeling uit |
| Doorgifte buiten de EU | 44 tot en met 49 | Je hebt een geldige basis voor doorgifte naar landen buiten de Europese Economische Ruimte |
Over de verwerkersovereenkomst is de Autoriteit Persoonsgegevens (AP) duidelijk: werk je met een verwerker zonder schriftelijke afspraken, dan ben je als verwerkingsverantwoordelijke in overtreding. De verplichting staat in artikel 28, derde lid.
De hoogste boetecategorie van de AVG is 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt (artikel 83).
Waar gaat het mis bij AI en persoonsgegevens?
Het gaat het vaakst mis wanneer medewerkers op eigen initiatief persoonsgegevens in een AI-chatbot invoeren. De AP meldde op 6 augustus 2024 dat zij meerdere meldingen van datalekken had ontvangen die zo waren ontstaan.
De AP noemt twee voorbeelden. Een medewerker van een huisartsenpraktijk voerde tegen de afspraken in medische gegevens van patiënten in een AI-chatbot in. Bij een telecombedrijf voerde een medewerker een bestand met adressen van klanten in.
Volgens de AP slaan de meeste bedrijven achter chatbots de ingevoerde gegevens op. De gegevens staan dan op servers van de aanbieder, vaak zonder dat de medewerker zich dat realiseert. Het advies van de toezichthouder is om duidelijke afspraken te maken: mogen medewerkers AI-chatbots gebruiken, en zo ja, welke gegevens mogen erin.
Lekt een medewerker toch persoonsgegevens via een AI-tool, dan is een melding bij de AP en bij de betrokkenen volgens de AP in veel gevallen verplicht.
Mag je persoonsgegevens naar een Amerikaanse AI-aanbieder sturen?
Dat mag als je een geldige basis voor de doorgifte hebt. Voor de Verenigde Staten geldt sinds 10 juli 2023 het adequaatheidsbesluit van de Europese Commissie voor het EU-US Data Privacy Framework.
Volgens de AP mag je persoonsgegevens doorgeven aan Amerikaanse organisaties die aan dat framework deelnemen, zonder aanvullende juridische en technische maatregelen. Controleer daarom of je AI-aanbieder deelneemt. De voorganger van dit framework, het Privacy Shield, is in 2020 door het Hof van Justitie van de EU ongeldig verklaard in de zaak Schrems II.
Je hebt daarnaast twee andere routes. Sommige aanbieders bieden voor zakelijke abonnementen opslag in Europa aan. Je kunt ook een model op eigen hardware draaien, zodat de gegevens je eigen omgeving niet verlaten. Hoe dat werkt lees je in AI lokaal draaien.
Gebruikt de AI-aanbieder je data om modellen te trainen?
Dat verschilt per aanbieder en per abonnement, en het staat in de voorwaarden die je afsluit. Als voorbeeld de voorwaarden van Anthropic, de maker van Claude (peildatum oktober 2026):
- Zakelijke producten zoals Claude for Work en de API: invoer en uitvoer worden standaard niet gebruikt om modellen te trainen
- Persoonlijke abonnementen (Free, Pro en Max): chats worden gebruikt voor training als je dat in de instellingen toestaat
Controleer bij elke aanbieder drie punten: de trainingsinstelling van jouw abonnement, de bewaartermijn van je invoer en of er een verwerkersovereenkomst bij het abonnement hoort. Voor werk met klantgegevens kies je een zakelijk abonnement.
Wat regel je praktisch voor AVG-proof AI?
Praktisch regel je zes dingen, in deze volgorde:
Stap 1: maak een overzicht. Zet op een rij welke AI-tools je bedrijf gebruikt en welke persoonsgegevens erin terechtkomen. Neem dit op in je verwerkingsregister.
Stap 2: leg de grondslag en het doel vast. Noteer per toepassing waarom je de gegevens verwerkt en op welke grondslag.
Stap 3: sluit een verwerkersovereenkomst. Doe dat met elke AI-aanbieder die persoonsgegevens voor je verwerkt. Tools waarbij dat niet kan gebruik je niet voor persoonsgegevens.
Stap 4: stel een AI-beleid op. Beschrijf welke tools zijn toegestaan, welke gegevens er wel en niet in mogen en wie het aanspreekpunt is.
Stap 5: werk je privacyverklaring bij. Beschrijf dat je AI inzet, waarvoor en met welke aanbieders. Laat een digitale medewerker in klantcontact melden dat hij een AI-systeem is.
Stap 6: beoordeel het risico. Verwerk je gevoelige gegevens of op grote schaal, ga dan na of een DPIA nodig is. De AP publiceert een handreiking over generatieve AI en de AVG.
Gebruik je een AI agent voor klantcontact, lees dan ook wat er specifiek geldt voor een AI agent en de AVG.
Hoe verhoudt de AVG zich tot de EU AI Act?
De AVG en de EU AI Act gelden naast elkaar. De AVG gaat over persoonsgegevens. De AI Act stelt eisen aan AI-systemen en aan het gebruik ervan, ook als er geen persoonsgegevens in het spel zijn.
De transparantieregels van de AI Act gelden sinds 2 augustus 2026: mensen moeten weten dat ze met een AI-systeem communiceren. De regels voor hoog-risico AI, zoals software voor werving en selectie, gelden vanaf 2 december 2027. De risiconiveaus en alle data staan in onze uitleg van de EU AI Act.
Veelgestelde vragen
Mag ik klantgegevens in ChatGPT of Claude invoeren? Alleen als je aan de AVG voldoet: je hebt een grondslag, een verwerkersovereenkomst met de aanbieder en een geldige basis voor doorgifte. De Autoriteit Persoonsgegevens ontving meldingen van datalekken doordat medewerkers persoonsgegevens in AI-chatbots invoerden.
Heb ik een verwerkersovereenkomst nodig met mijn AI-aanbieder? Ja, als de aanbieder persoonsgegevens voor je verwerkt. Artikel 28 van de AVG verplicht een schriftelijke overeenkomst. Volgens de Autoriteit Persoonsgegevens ben je zonder die overeenkomst in overtreding.
Is een AI-tool met servers in de EU automatisch AVG-proof? Nee. Opslag in de EU lost de doorgiftevraag op. De andere verplichtingen blijven gelden, zoals een grondslag, dataminimalisatie, beveiliging en een verwerkersovereenkomst.
Hoe hoog is de boete bij een overtreding van de AVG? De hoogste boetecategorie is 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Dat staat in artikel 83 van de AVG.
Moet ik een DPIA doen voordat ik AI inzet? Een DPIA is verplicht als de verwerking waarschijnlijk een hoog risico voor betrokkenen oplevert (artikel 35 AVG). Denk aan gevoelige gegevens of verwerking op grote schaal. Beoordeel dit per toepassing.
Verder met AI in je bedrijf
Leer veilig met AI werken in een 1-op-1 AI training, lees meer over AI en privacy of plan een vrijblijvend gesprek over je situatie.
