Zodra je AI inzet voor bedrijfsprocessen, raak je automatisch meerdere AVG-verplichtingen. Persoonsgegevens die een AI-systeem verwerkt, vallen onder dezelfde regels als alle andere gegevensverwerkingen: je hebt een rechtmatige grondslag nodig, je moet transparant zijn over wat er met data gebeurt, en je draagt verantwoordelijkheid voor de gevolgen van geautomatiseerde beslissingen. Voor IT-managers en operationeel directeuren bij organisaties van enige omvang betekent dit dat AI geen aparte categorie is buiten de bestaande compliance-structuur, maar er middenin zit. De vragen hieronder lopen de meest voorkomende knelpunten langs.
Welke AVG-verplichtingen worden geraakt zodra je AI inzet?
Bij het inzetten van AI voor bedrijven gelden alle kernverplichtingen van de AVG onverminderd: doelbinding, dataminimalisatie, transparantie, rechtmatige grondslag en beveiliging. Wat AI anders maakt, is de schaal en snelheid waarmee persoonsgegevens worden verwerkt en de mate waarin beslissingen geautomatiseerd plaatsvinden. Dat vergroot het risico op overtredingen die je bij handmatige verwerking sneller zou opmerken.
Concreet betekent dit dat je voor elke AI-toepassing die persoonsgegevens verwerkt, een verwerkingsgrondslag moet kunnen aanwijzen. Dat is toestemming, gerechtvaardigd belang, of een wettelijke verplichting, afhankelijk van de context. Toestemming klinkt eenvoudig, maar is het zelden: toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Bij een AI-systeem dat gedragsdata van medewerkers analyseert, is vrije toestemming juridisch gezien vrijwel onmogelijk te verkrijgen.
Daarnaast raakt AI direct aan het transparantiebeginsel. Betrokkenen hebben het recht te weten dat hun gegevens worden verwerkt en voor welk doel. Als een AI-systeem op de achtergrond klantdata analyseert om voorspellingen te doen, moet dat zichtbaar zijn in je privacyverklaring. Hoe een model tot een uitkomst komt, hoef je niet volledig te openbaren, maar dat er een geautomatiseerd systeem betrokken is, moet je wel melden.
Ten slotte triggert AI het register van verwerkingsactiviteiten. Elke nieuwe AI-toepassing die persoonsgegevens verwerkt, hoort daarin gedocumenteerd te zijn, inclusief de categorie gegevens, de bewaartermijn en de betrokken partijen.
Wanneer is een DPIA verplicht bij AI-toepassingen?
Een Data Protection Impact Assessment (DPIA) is verplicht wanneer een AI-toepassing waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd met verwerkingen waarvoor een DPIA altijd verplicht is. AI-toepassingen vallen hier regelmatig onder, zeker wanneer ze grootschalig persoonsgegevens verwerken of geautomatiseerde beslissingen nemen met rechtsgevolgen.
In de praktijk zijn er drie situaties waarbij je als organisatie vrijwel altijd een DPIA moet uitvoeren bij AI-gebruik:
- Grootschalige verwerking van bijzondere categorieën persoonsgegevens, zoals gezondheidsdata, etnische afkomst of politieke opvattingen
- Stelselmatige en grootschalige monitoring van medewerkers of klanten, bijvoorbeeld via gedragsanalyse of locatietracking
- Geautomatiseerde besluitvorming die rechtsgevolgen heeft of betrokkenen in aanmerkelijke mate treft
Een DPIA is geen eenmalige formaliteit. Je voert hem uit voordat je de verwerking start, documenteert de risico’s en de maatregelen die je treft, en herhaalt de beoordeling als de toepassing wezenlijk verandert. Als uit de DPIA blijkt dat het restrisico hoog blijft ondanks maatregelen, ben je verplicht de Autoriteit Persoonsgegevens te raadplegen voordat je live gaat.
Voor organisaties die meerdere AI-toepassingen tegelijk willen invoeren, is het verstandig een standaard DPIA-template te ontwikkelen dat aansluit op je bestaande verwerkingsregister. Dat maakt elke volgende beoordeling sneller en consistenter.
Hoe werkt geautomatiseerde besluitvorming onder de AVG?
Artikel 22 van de AVG geeft betrokkenen het recht om niet onderworpen te worden aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en dat rechtsgevolgen heeft of hen in aanmerkelijke mate treft. Dit geldt direct zodra een AI-systeem beslissingen neemt zonder menselijke tussenkomst die voor betrokkenen iets betekenen, zoals een kredietbeoordeling, een selectiebeslissing bij werving of een gepersonaliseerde prijsstelling.
Drie uitzonderingen maken geautomatiseerde besluitvorming toch mogelijk:
- De beslissing is noodzakelijk voor het sluiten of uitvoeren van een overeenkomst met de betrokkene
- De beslissing is toegestaan op grond van Unierecht of nationaal recht
- De betrokkene heeft uitdrukkelijke toestemming gegeven
Zelfs als een uitzondering van toepassing is, gelden aanvullende verplichtingen: je moet de betrokkene informeren over de geautomatiseerde besluitvorming, uitleggen welke logica daarbij wordt gehanteerd, en zorgen dat hij het besluit kan laten herzien door een mens. Dat laatste is in de praktijk een van de lastigere eisen. Veel AI-systemen produceren een uitkomst die medewerkers vervolgens kritiekloos overnemen. Formeel is er dan wel een mens in de loop, maar feitelijk niet.
Voor AI-agents die zelfstandig acties uitvoeren namens gebruikers, is dit vraagstuk bijzonder relevant. Een agent die een offerte verstuurt, een contract aanpast of een klant indeelt in een risicocategorie, neemt beslissingen met reële gevolgen. De vraag of daar voldoende menselijk toezicht op zit, is niet alleen een AVG-vraag, maar ook een vraag over hoe je escalatiepaden en autonomieniveaus per type beslissing hebt ingericht.
Wat zijn de risico’s van AI-tools van derde partijen voor AVG-naleving?
Wanneer je een AI-tool van een externe leverancier inzet die persoonsgegevens verwerkt, ben je als organisatie verwerkingsverantwoordelijke. De leverancier is verwerker. Dat betekent dat je verplicht bent een verwerkersovereenkomst te sluiten, en dat je verantwoordelijk blijft voor de naleving van de AVG, ook als de leverancier iets fout doet. De AVG kent geen escape via uitbesteding.
In de praktijk levert dit een aantal concrete risico’s op:
- Gegevens worden opgeslagen of verwerkt buiten de Europese Economische Ruimte, zonder dat de vereiste doorgifte-mechanismen aanwezig zijn
- De leverancier gebruikt klantdata om zijn eigen modellen te trainen, waardoor persoonsgegevens buiten het overeengekomen doel worden gebruikt
- De verwerkersovereenkomst dekt niet alle verwerkingen die de tool feitelijk uitvoert, omdat de functionaliteit na ondertekening is uitgebreid
- Bij een datalek bij de leverancier ben je als verwerkingsverantwoordelijke meldingsplichtig, ook als je het incident zelf niet hebt veroorzaakt
Veel standaard SaaS-contracten van grote AI-aanbieders zijn niet zomaar AVG-compliant, ook al claimt de leverancier dat wel. Lees de verwerkersovereenkomst, de subverwerkers-lijst en de data processing addendum nauwkeurig door. Controleer specifiek waar data wordt opgeslagen, of modeltraining op jouw data kan worden uitgeschakeld, en welke subverwerkers worden ingeschakeld.
Dit is geen theoretisch risico. Toezichthouders in Europa hebben in de afgelopen jaren meerdere boetes opgelegd aan organisaties die onvoldoende toezicht hielden op hun verwerkers. De verantwoordelijkheid ligt bij jou als opdrachtgever, niet bij de tool.
Hoe borg je AVG-compliance structureel in je AI-gebruik?
AVG-compliance bij AI borgen doe je niet met een eenmalige juridische check, maar door compliance te verankeren in de processen rondom AI-ontwikkeling en -gebruik. Dat begint bij datagovernance: vastleggen wie welke data mag zien, aanpassen en gebruiken, en hoe toegang wordt gecontroleerd en gelogd. Zonder die basis ontbreekt de aantoonbare zorgvuldigheid die de AVG vereist.
Structurele borging vraagt om een aantal samenhangende maatregelen:
- Documenteer elke AI-toepassing die persoonsgegevens verwerkt in je verwerkingsregister, inclusief grondslag, bewaartermijn en betrokken partijen
- Voer een DPIA uit voordat je een nieuwe toepassing live brengt, en herhaal deze bij wezenlijke wijzigingen
- Sluit verwerkersovereenkomsten met alle externe AI-leveranciers en controleer periodiek of de feitelijke verwerkingen nog overeenkomen met wat is overeengekomen
- Richt audit trails in zodat je achteraf kunt aantonen welke data een AI-systeem heeft geraadpleegd en welke beslissingen het heeft genomen
- Zorg voor heldere escalatiepaden: bij welke beslissingen is menselijk toezicht verplicht, en wie is daarvoor verantwoordelijk
- Train medewerkers die met AI-tools werken op de basisprincipes van de AVG en de grenzen van het systeem
Een aandachtspunt dat organisaties regelmatig onderschatten, is de semantische laag. Als een AI-systeem werkt met begrippen als “klant”, “actief” of “risicocategorie”, maar die begrippen intern inconsistent worden gedefinieerd, ontstaan fouten in beslissingen die vervolgens moeilijk te corrigeren of te verantwoorden zijn. Eenduidige definities zijn geen luxe, ze zijn een voorwaarde voor aantoonbare naleving.
Houd er ook rekening mee dat de EU AI Act, die in 2026 verder in werking treedt, aanvullende eisen stelt bovenop de AVG, met name voor hoog-risico AI-toepassingen. AVG en AI Act overlappen op punten als transparantie, menselijk toezicht en documentatie, maar vullen elkaar ook aan. Stem je compliance-aanpak af met een eigen juridisch adviseur die beide kaders overziet.
Hoe wij helpen met AVG-compliant AI-gebruik
AVG-compliance bij AI is geen juridisch vraagstuk dat je los kunt oplossen van de technische en organisatorische inrichting. Het vraagt om aandacht voor datagovernance, procesvolwassenheid, toegangsbeheer, audit trails en menselijk toezicht tegelijk. Precies die samenhang is waar organisaties vastlopen.
Wij helpen MKB+ en midcap organisaties om die samenhang te realiseren via een gestructureerde aanpak voor AVG-compliant AI:
- Een Foundation Scan die de volwassenheid van je organisatie op alle relevante fundamenten in kaart brengt, inclusief datagovernance, compliance-inrichting en observability
- Toegang tot specialty partners die elk sterk zijn in hun eigen domein: van data-engineering en security tot change management en AI-literacy
- Eén aanspreekpunt dat de regie voert over de samenhang tussen vakgebieden, zodat je niet zelf vijf leveranciers hoeft te coördineren
- Een aanpak gebaseerd op parallelle volwassenheid binnen het AI Foundationsmodel: je bouwt fundamenten op terwijl je al begint, in plaats van jaren te wachten tot alles perfect is
Wil je weten waar je organisatie nu staat op het gebied van AVG-gereedheid voor AI? Neem contact op voor een vrijblijvend gesprek over de Foundation Scan.