AI en de AVG: het probleem
De meeste populaire AI-tools verwerken data buiten de EU. ChatGPT draait op servers van OpenAI in de VS. Google Gemini verwerkt data op Google-servers wereldwijd. Als je klantgegevens, personeelsdata of gevoelige bedrijfsinformatie in deze tools invoert, verlaat die data de Europese Unie.
Dat is een probleem. De AVG (Algemene Verordening Gegevensbescherming) stelt strenge eisen aan de verwerking van persoonsgegevens. Bedrijven die de regels overtreden riskeren boetes tot 4% van de jaaromzet of 20 miljoen euro.
Wat de AVG eist bij AI-gebruik
De AVG is niet tegen AI. De wet stelt eisen aan hoe je data verwerkt, ongeacht de technologie. Dit zijn de relevante punten voor AI:
Grondslag voor verwerking Je hebt een wettelijke grondslag nodig om persoonsgegevens te verwerken. Bij AI-gebruik is dat meestal "gerechtvaardigd belang" of "toestemming". Je moet kunnen uitleggen waarom je AI inzet en welke data je verwerkt.
Dataminimalisatie Verwerk niet meer data dan nodig. Als je AI-agent klantvragen beantwoordt, hoeft die agent niet de volledige klanthistorie te kennen. Geef alleen de context die nodig is voor de taak.
Transparantie Informeer klanten en medewerkers dat ze met een AI communiceren. Dit is geen optie, het is een verplichting. De EU AI Act (van kracht sinds 2025) verplicht dit expliciet.
Dataverwerking binnen de EU Persoonsgegevens mogen alleen buiten de EU worden verwerkt als er adequate bescherming is. De VS heeft via het EU-US Data Privacy Framework weer een adequaatheidsbesluit, maar de juridische status blijft onzeker (Schrems I en II hebben eerdere afspraken ongeldig verklaard).
Recht op inzage en verwijdering Personen hebben het recht om te weten welke data je over hen hebt en om verwijdering te vragen. Als je AI-agent klantdata verwerkt, moet je deze rechten kunnen uitvoeren.
Verwerkersovereenkomst Als je een externe partij inschakelt die data verwerkt (zoals een AI-platform), heb je een verwerkersovereenkomst nodig. Veel gratis AI-tools bieden die niet.
Waar het misgaat bij bedrijven
Scenario 1: klantdata in ChatGPT Een medewerker plakt een klantenlijst in ChatGPT om een mailing te schrijven. Die data gaat naar OpenAI-servers in de VS. OpenAI kan die data gebruiken voor modeltraining (tenzij je de opt-out activeert). Resultaat: AVG-overtreding.
Scenario 2: HR-data in een AI-tool De HR-afdeling gebruikt een gratis AI-tool om sollicitatiebrieven te analyseren. Die tool heeft geen verwerkersovereenkomst. De sollicitanten zijn niet geïnformeerd. Resultaat: dubbele AVG-overtreding.
Scenario 3: chatbot zonder disclosure Een bedrijf plaatst een AI-chatbot op de website zonder te vermelden dat het een AI is. Een klant deelt persoonlijke informatie in de chat. Resultaat: overtreding van de transparantieverplichting.
Hoe je AI wel AVG-proof inzet
1. Kies EU-hosting
De eenvoudigste manier om dataverwerkingsproblemen te voorkomen: zorg dat je AI-infrastructuur in de EU staat. Geen data die de grens over gaat, geen discussie over adequaatheidsbesluiten.
Bij aiagent.nl draait elke AI-agent op een dedicated server in een Duits datacenter (Hetzner, Frankfurt). De server is alleen voor jou. Geen gedeelde infrastructuur met andere klanten.
2. Gebruik een open-source framework
Met open-source software als OpenClaw kun je precies verifiëren wat er met je data gebeurt. De broncode is openbaar. Je kunt laten auditen welke data wordt verstuurd en naar wie.
Gesloten platforms vragen je om ze op hun woord te geloven. Open source geeft je bewijs.
3. Scheid AI-verwerking van dataopslag
De API-calls naar het taalmodel (Anthropic, OpenAI) bevatten alleen de inhoud van het gesprek. Geen metadata, geen klantidentificatie, geen bedrijfsgeheimen die niet in het gesprek horen.
Het geheugen van de agent en de bedrijfscontext blijven op de lokale server. Die data verlaat de EU niet.
4. Stel een AI-beleid op
Documenteer hoe je organisatie AI gebruikt:
- Welke tools zijn goedgekeurd?
- Welke data mag in AI-tools worden ingevoerd?
- Wie is verantwoordelijk voor AI-compliance?
- Hoe worden medewerkers getraind?
- Hoe informeer je klanten?
Dit document is niet alleen voor de Autoriteit Persoonsgegevens. Het beschermt je ook tegen onbewuste overtredingen door medewerkers.
5. Informeer je klanten
Als je een AI-agent inzet voor klantenservice, vermeld dit duidelijk:
- Op je website: "Onze klantenservice wordt ondersteund door AI"
- Bij het eerste contact: "Je spreekt met onze AI-assistent [naam]"
- In je privacyverklaring: beschrijf hoe de AI data verwerkt
Klanten waarderen transparantie. En het is wettelijk verplicht.
6. Geen training op jouw data
Veel AI-aanbieders gebruiken jouw input om hun modellen te verbeteren. Bij OpenAI kun je dit uitschakelen via de instellingen, maar de standaardinstelling is opt-in voor training.
Met een BYOK-model (Bring Your Own Key) op aiagent.nl heb je een directe relatie met de model-aanbieder. Anthropic (Claude) gebruikt geen klantdata voor training. Dit staat zwart op wit in hun voorwaarden.
Checklist: is jouw AI-gebruik AVG-proof?
- [ ] Data wordt verwerkt binnen de EU
- [ ] Je hebt een verwerkersovereenkomst met je AI-aanbieder
- [ ] Klanten worden geïnformeerd over AI-gebruik
- [ ] Je hebt een interne AI-policy
- [ ] Je kunt voldoen aan inzage- en verwijderingsverzoeken
- [ ] De AI-aanbieder traint niet op jouw data
- [ ] Je verwerkt niet meer data dan noodzakelijk
- [ ] Medewerkers zijn getraind in veilig AI-gebruik
- [ ] Je hebt een grondslag voor de dataverwerking gedocumenteerd
- [ ] Je privacyverklaring vermeldt AI-gebruik
Score je 10/10? Dan zit je goed. Minder dan 7? Tijd om actie te ondernemen.
De EU AI Act: wat komt erbij
Naast de AVG is er sinds 2025 de EU AI Act. Deze wet classificeert AI-systemen op risico:
- Onaanvaardbaar risico - Verboden (social scoring, manipulatie)
- Hoog risico - Strenge eisen (HR-selectie, kredietbeoordeling)
- Beperkt risico - Transparantieverplichting (chatbots, AI-gegenereerde content)
- Minimaal risico - Geen extra eisen (de meeste zakelijke AI-toepassingen)
De meeste AI-agents voor zakelijk gebruik vallen onder "beperkt risico". De hoofdverplichting: informeer gebruikers dat ze met een AI communiceren.
AVG-proof AI is geen belemmering
AVG-compliance hoeft geen barriere te zijn voor AI-adoptie. De juiste keuzes maken het eenvoudig:
- EU-hosting op dedicated servers
- Open-source framework voor transparantie
- BYOK-model voor directe controle
- Duidelijke communicatie naar klanten
Op aiagent.nl is AVG-compliance standaard ingebouwd. Dedicated EU-servers, open-source OpenClaw framework, geen training op je data. Je kunt je richten op wat de agent voor je bedrijf kan doen, zonder je zorgen te maken over compliance.
Meer weten? Bekijk aiagent.nl of neem contact op voor persoonlijk advies.
