AI en GDPR: hoe blijft je AI-gebruik AVG-proof in 2026?
AI en GDPR (in Nederland: AVG) botsen sneller dan veel bedrijven denken. Eén medewerker die een klantmail in een gratis ChatGPT plakt, en je hebt al een potentieel datalek. Dit is wat de wet daadwerkelijk eist — en hoe je AI compliant inzet zonder innovatie te blokkeren.
Geldt de AVG eigenlijk op AI?
Ja, volledig. De AVG kent geen uitzondering voor AI. Zodra je persoonsgegevens (naam, e-mail, IP, klantnummer, vrije tekst over mensen) door een AI-systeem haalt, ben je verwerkingsverantwoordelijke en moet je voldoen aan alle bekende AVG-principes:
-
Rechtmatigheid en grondslag — heb je toestemming, contract of gerechtvaardigd belang?
-
Doelbinding — gebruik je de data alleen voor het oorspronkelijke doel?
-
Dataminimalisatie — stuur je niet méér naar het model dan nodig?
-
Transparantie — weten betrokkenen dat AI wordt gebruikt?
-
Beveiliging — encryptie, toegangsbeheer, logging.
Sinds 2024 komt daar de EU AI Act bovenop — zie onze gids over AI strategie en governance.
De vijf grootste GDPR-risico's bij AI
-
Klantdata in publieke modellen. Gratis ChatGPT, Gemini of Claude zonder zakelijk contract: gebruikersinput kan gebruikt worden voor training. Voor persoonsgegevens vrijwel altijd onrechtmatig.
-
Geen verwerkersovereenkomst (DPA). Werken met een AI-leverancier zonder ondertekende DPA is een directe AVG-overtreding.
-
Doorgifte buiten de EU. OpenAI, Anthropic en Google verwerken vaak buiten de EER. Je hebt een passende transfer mechanism nodig (SCC's of een EU-residency optie).
-
Geautomatiseerde besluitvorming (art. 22 AVG). AI die zelfstandig beslist over sollicitanten, kredieten of verzekeringen vraagt expliciete waarborgen en het recht op menselijke tussenkomst.
-
Bewaartermijnen en het recht op vergetelheid. Kun je data uit logs, embeddings en fine-tuned modellen verwijderen als een klant daarom vraagt?
Checklist: AI compliant inzetten
Gebruik deze checklist per AI-tool of use-case:
-
Zakelijk account met Data Processing Addendum ondertekend.
-
Leverancier garandeert dat input niet gebruikt wordt voor training (opt-out of standaard uit voor zakelijke tier).
-
EU-dataresidentie of geldige doorgifte-grondslag (SCC's).
-
Toegangsbeheer — alleen geautoriseerde medewerkers, SSO waar mogelijk.
-
Logging van wie wat heeft gevraagd (voor incident-onderzoek).
-
Pseudonimisering of dataminimalisatie vóór je naar de API stuurt.
-
Risicoanalyse / DPIA als je bijzondere persoonsgegevens of grote volumes verwerkt.
-
Transparantie richting betrokkenen — privacyverklaring vermeldt AI-gebruik.
-
Bewaartermijnen vastgelegd in je AI-register.
-
Procedure voor verwijderverzoeken die ook logs en embeddings dekt.
Veelgestelde vragen
Mag ik ChatGPT gebruiken voor klantmails? Niet met de gratis versie. Met ChatGPT Enterprise of de API (met DPA en training-opt-out) wel, mits je dataminimalisatie toepast en geen bijzondere persoonsgegevens deelt.
Heb ik een DPIA nodig voor AI? Vrijwel altijd ja zodra je AI inzet voor profilering, monitoring van medewerkers of beslissingen met juridische gevolgen. De Autoriteit Persoonsgegevens publiceert een DPIA-verplichtelijst.
Wat is het verschil tussen GDPR en de EU AI Act? De AVG beschermt persoonsgegevens; de AI Act regelt de veiligheid en risico's van AI-systemen zelf. Ze gelden naast elkaar.
Wat als mijn AI-leverancier zit in de VS? Sluit SCC's af en kies waar mogelijk een EU-residency optie. Onder het EU-US Data Privacy Framework is doorgifte naar gecertificeerde Amerikaanse partijen mogelijk, maar de juridische zekerheid blijft beperkt.
Aan de slag
KHAIROS bouwt AI-systemen die vanaf dag één AVG-proof zijn — met EU-modellen waar mogelijk, DPA's geregeld en governance ingebouwd in plaats van erbij geplakt.