Meer in de kennisbank over AI-automatisering
AVG en AI: privacyproof AI-gebruik voor je MKB
AI en persoonsgegevens gaan hand in hand, maar de AVG stelt strikte eisen. Leer wat je wel en niet mag, en hoe je AI-gebruik structureel in lijn brengt met de privacywetgeving.
maximale AVG-boete bij ernstige overtredingen
van wereldwijde jaaromzet: alternatieve boetegrondslag
Waarom AVG en AI een kritische combinatie vormen
AI-systemen zijn hongerig naar data. Veel van die data betreft personen: klanten, medewerkers, leveranciers. De AVG (Algemene Verordening Gegevensbescherming) stelt duidelijke grenzen aan wat je met persoonsgegevens mag doen, ook als je ze als input voor AI-tools gebruikt.
Het probleem: veel bedrijven gebruiken AI-tools zonder te weten welke data die tools opslaan, met wie ze die delen of hoe lang ze die bewaren. Wanneer je klantinformatie in ChatGPT invult, heb je nog enige controle over de output, maar welke controle heb je over de input?
De gevolgen bij een AVG-overtreding zijn ernstig: boetes, reputatieschade, maar ook verlies van klantvertrouwen. Het goede nieuws: met de juiste aanpak is AVG-conform AI-gebruik goed te realiseren zonder je productiviteitsvoordeel op te geven.
Verwerkersovereenkomst verplicht
Iedere AI-leverancier die persoonsgegevens verwerkt in jouw opdracht, vereist een verwerkersovereenkomst (DPA). Zonder DPA riskeer je een AVG-overtreding.
Internationale datatransfers
Veel AI-tools zijn Amerikaans en verwerken data in de VS. Dit vereist aanvullende waarborgen zoals Standard Contractual Clauses (SCC's).
Rechtsgrond voor verwerking
Elk gebruik van persoonsgegevens vereist een geldige rechtsgrond: toestemming, contract, wettelijke verplichting of gerechtvaardigd belang.
Transparantieplicht
Betrokkenen hebben het recht om te weten hoe hun gegevens worden gebruikt, ook als dat via AI-systemen is. Je privacy-statement moet dit vermelden.
De AVG-verplichtingen bij AI-gebruik
Deze vijf punten bepalen of je AI-gebruik AVG-conform is.
Verwerkingsregister bijhouden
Leg alle verwerkingen van persoonsgegevens vast, inclusief AI-toepassingen: welke data, welk doel, welke rechtsgrond, welke bewaartermijn.
Artikel 30 AVG Verplicht bij 250+ medewerkers
Verwerkersovereenkomsten sluiten
Met iedere AI-leverancier die persoonsgegevens verwerkt, sluit je een verwerkersovereenkomst. Controleer of je leverancier een standaard DPA aanbiedt.
Artikel 28 AVG Altijd verplicht
DPIA uitvoeren bij hoog risico
Bij AI-toepassingen die systematisch gevoelige gegevens verwerken of profilering uitvoeren, is een Data Protection Impact Assessment (DPIA) verplicht vóór implementatie.
Artikel 35 AVG Bij hoog-risico verwerking
AVG-problemen en hoe ze opgelost werden
Praktijkcases over AI en privacy, en hoe de situatie rechtgezet werd.
Marketingbureau stopt met klantdata in ChatGPT na AVG-audit
Een marketingbureau voerde klantcampagnedata in in ChatGPT voor analyses. Tijdens een privacyaudit bleek dit een AVG-overtreding: klantdata werd zonder rechtsgrond en DPA bij OpenAI verwerkt. Na de audit schakelden ze over naar een enterprise-versie met DPA en anonimiseerden ze alle prompts. Geen boete door proactieve aanpak.
AVG-overtreding gecorrigeerd | Geen boete door proactieve aanpak
Recruiter bouwt AVG-compliant AI-screener
Een wervingsbureau wilde AI inzetten voor cv-screening. Na een DPIA bleek dat geautomatiseerde besluitvorming over kandidaten extra rechten voor betrokkenen activeert (recht op menselijke review). Het systeem werd aangepast: AI doet een voorselectie, een recruiter neemt de finale beslissing. Compliant én effectief.
DPIA uitgevoerd | Compliant AI-screener geïmplementeerd
Webshop personaliseert AVG-proof met consent management
Een webshop wilde AI-personalisatie inzetten op basis van surfgedrag. Na AVG-advies implementeerden ze een granulaire consent-flow: klanten kiezen welke data ze delen voor welk doel. Resultaat: 71% van klanten stemde in met personalisatie. De webshop heeft een gedocumenteerde rechtsgrond voor elke verwerking.
71% consent-rate | Gedocumenteerde rechtsgrond per verwerking
Consultancy vervangt US-tools door EU-alternatieven
Een adviesbureau ontdekte dat vijf van hun AI-tools data verwerken in de VS zonder adequate SCC's. In plaats van complexe juridische constructies kozen ze voor EU-gebaseerde alternatieven voor drie tools en sloten alsnog adequate DPA's voor de twee resterende. De AP-brief bleef uit en klanten kregen een transparant privacy-statement.
5 tools getoetst | 3 vervangen door EU-alternatieven
Weet je welke persoonsgegevens je AI-tools verwerken?
In een gratis AVG-AI-scan brengen we je privacyrisico's in kaart en geven we concrete aanbevelingen.
AVG-rechten die extra spelen bij AI-gebruik
AI-gebruik activeert specifieke rechten voor de mensen van wie je data verwerkt.
Recht 01
Recht op uitleg bij geautomatiseerde beslissingen
Als AI een beslissing neemt die iemand significant beïnvloedt (krediet, selectie, pricing), heeft die persoon recht op uitleg en menselijke review. Je AI-systeem moet dit kunnen ondersteunen.
Artikel 22 AVG Hoog-risico AI
Recht 02
Recht op vergetelheid
Als iemand verzoekt hun data te verwijderen, moet je ook kunnen aantonen dat AI-modellen die op die data getraind zijn, de informatie niet meer bevatten. Dit stelt technische eisen aan je AI-architectuur.
Artikel 17 AVG Technische vereiste
Recht 03
Recht op data-portabiliteit
Klanten kunnen hun data opvragen in een machineleesbaar formaat. Als je AI-gegenereerde profielen van klanten bijhoudt, vallen die ook onder dit recht. Zorg dat je systemen dit kunnen ondersteunen.
Artikel 20 AVG Klantprofielen
Populaire AI-tools en hun AVG-status
Een overzicht van veelgebruikte AI-tools en hun compliance-status voor MKB.
| AI-tool | DPA beschikbaar? | Data in EU? | Advies |
|---|---|---|---|
| ChatGPT Enterprise | Ja | Optioneel EU | Gebruik enterprise-versie, geen klantdata in gratis versie |
| ChatGPT (gratis/Plus) | Nee | VS | Geen persoonsgegevens invoeren |
| Microsoft Copilot (M365) | Ja | EU Data Boundary | Geschikt voor zakelijk gebruik met bestaand M365-contract |
| Google Workspace AI | Ja | EU-optie | Check DPA en data-locatie instelling in Google Admin |
| Claude (Anthropic) | Ja (Enterprise) | VS (primair) | Enterprise-versie met DPA vereist; SCC's beschikbaar |
| Lokale open-source modellen | N.v.t. | Je eigen servers | Meeste controle, maar vereist technische expertise |
Do's en don'ts van AVG-conform AI-gebruik
De meeste AVG-risico's zijn eenvoudig te vermijden met de juiste gewoonten.
✓ AVG-conform handelen
Zo gebruik je AI privacyproof
- Sluit een verwerkersovereenkomst met elke AI-leverancier die data verwerkt
- Anonimiseer of pseudonimiseer data vóór gebruik in AI-prompts
- Informeer klanten in je privacy-statement over AI-gebruik
- Voer een DPIA uit vóór implementatie van hoog-risico AI
- Controleer data-locatie: verwerk EU-burgerdata bij voorkeur in de EU
- Train medewerkers over wat ze wel en niet in AI-tools mogen invoeren
✗ AVG-overtredingen
Wat je zeker moet vermijden
- Klantdata, BSN-nummers of e-mailadressen invoeren in publieke AI-tools
- AI-tools gebruiken zonder te controleren of er een DPA beschikbaar is
- Geautomatiseerde besluiten nemen over personen zonder menselijke review
- AI-gebruik niet vermelden in je privacyverklaring
- Medewerkers zonder training laten werken met gevoelige data in AI
- Verwachten dat toestemming impliciet is: toestemming moet expliciet en specifiek zijn
Zo kom je tot AVG-conform AI-gebruik
Een pragmatische aanpak die je bedrijf beschermt zonder AI-gebruik te beperken.
- 01
1. Data-inventarisatie
Breng in kaart welke persoonsgegevens je AI-systemen verwerken: klantdata, medewerkerdata, leveranciersdata, en van welke leveranciers.
- 02
2. Rechtsgrond en DPA's
Bepaal voor elke verwerking de rechtsgeldige grondslag en sluit verwerkersovereenkomsten met alle AI-leveranciers die persoonsgegevens verwerken.
- 03
3. DPIA en privacybeleid, training en monitoring
Voer waar nodig een DPIA uit, actualiseer je privacyverklaring met AI-gebruik en stel interne procedures op voor medewerkers.
Train medewerkers over AVG-conform AI-gebruik, stel meldingsprocedures op voor datalekken en plan jaarlijkse compliance-reviews.
Privacy by design: AI inbouwen met privacy als uitgangspunt
Wij helpen MKB-bedrijven om AVG-compliance te zien als fundament voor vertrouwenwaardig AI-gebruik. Door privacy by design toe te passen bij elke AI-implementatie bouwen we een systeem dat beschermt én de productiviteitsvoordelen van AI volledig benut.
Complete AI-compliance voor je MKB
AVG is één onderdeel van een breder compliance-landschap. Bekijk ook de andere thema's.
AI Governance MKB
Hoe richt je intern toezicht en beleid in voor verantwoord AI-gebruik? Een governance-raamwerk legt de basis voor alle compliance.
AI Risicobeoordeling
Een systematische risicobeoordeling voor elk AI-systeem dat je gebruikt, conform de EU AI Act en aansluitend bij je AVG-beleid.
AI Ethiek op de werkvloer
Naast juridische vereisten ook ethisch handelen: hoe bouw je een cultuur van verantwoord AI-gebruik bij je medewerkers?
Veelgestelde vragen over AVG en AI
Heb je een specifieke vraag over je situatie? Onze privacy- en AI-specialisten helpen je graag.
Mag ik klantdata gebruiken om AI mee te trainen?
Dat hangt af van de rechtsgrond en het doel waarvoor je de data oorspronkelijk hebt verzameld. Als je klantdata hebt verzameld voor service-doeleinden, mag je die doorgaans niet zonder toestemming gebruiken voor AI-training. Controleer altijd je privacy-statement en informeer klanten transparant over AI-gebruik.
Is het gebruik van ChatGPT AVG-conform?
ChatGPT en vergelijkbare tools kunnen AVG-problemen geven als je er persoonsgegevens in invoert. OpenAI verwerkt data in de VS, wat extra vereisten stelt. Gebruik nooit namen, BSN-nummers, e-mailadressen of andere identificeerbare informatie in AI-prompts zonder verwerkersovereenkomst. De Enterprise-versie biedt betere AVG-waarborgen.
Heb ik een verwerkersovereenkomst nodig met mijn AI-leverancier?
Ja, als je AI-leverancier persoonsgegevens verwerkt in jouw opdracht, is een verwerkersovereenkomst (DPA) verplicht onder de AVG. Controleer altijd of je AI-leverancier een standaard DPA aanbiedt en of deze voldoet aan de AVG-vereisten, inclusief bepalingen voor internationale datatransfers.
Wat zijn de boetes bij AVG-overtredingen met AI?
De AP kan boetes opleggen tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. In de praktijk kijkt de AP naar factoren als bewuste overtreding, schade voor betrokkenen en medewerking. Proactieve compliance vermindert het risico aanzienlijk. De AP beloont bedrijven die proactief handelen.
Moet ik klanten informeren dat ik AI gebruik?
Bij gebruik van chatbots of andere AI-interfaces die direct contact hebben met klanten, vereist de EU AI Act transparantie: je moet duidelijk maken dat iemand met een AI-systeem communiceert. In je privacy-statement moet AI-gebruik worden opgenomen als dit persoonsgegevens verwerkt. Dit geldt ook voor geautomatiseerde e-mails of gepersonaliseerde aanbevelingen.
Opgesteld met AI-ondersteuning door de redactie van Prometheus21, laatst bijgewerkt op . Hoe wij content maken
Gebruik AI veilig, privacyproof en compliant
Klaar voor de volgende stap?
In een gratis AVG-AI-scan analyseren we je huidige AI-gebruik, identificeren we de risico's en geven we concrete aanbevelingen voor een privacyproof aanpak.
