Kort antwoord: je mag als mkb-bedrijf AI gebruiken met persoonsgegevens, zolang je een geldige grondslag hebt, transparant bent in je privacyverklaring, een verwerkersovereenkomst sluit met je leverancier en geen bijzondere persoonsgegevens verwerkt zonder aparte basis. Voor hoog-risicotoepassingen — werving, krediet, gezondheid — gelden zwaardere eisen.
De AVG is technologie-neutraal: hij zegt niets over AI, alleen over persoonsgegevens. Dat maakt de regels niet ingewikkeld, maar wel abstract. Hieronder staat wat het concreet betekent als je een AI-toepassing wilt laten bouwen of een bestaande tool wilt gebruiken.
1. Bepaal eerst of er persoonsgegevens in het spel zijn
Verwerk je namen, e-mailadressen, bestelgegevens, dossierinformatie of camerabeelden? Dan is de AVG van toepassing. Gaat het alleen om anonieme voorraadcijfers of om een model dat productteksten schrijft zonder klantgegevens? Dan is het vaak eenvoudiger — al blijft de vraag of je gegevens door een leverancier worden gebruikt voor training.
Praktisch: maak een lijstje van de velden die de toepassing raakt. Als daar iets in staat dat een persoon identificeert, geldt de rest van dit artikel.
2. Kies een grondslag en leg hem vast
Je hebt één van de zes grondslagen nodig. In het mkb zijn dit de gebruikelijke:
- Uitvoering van een overeenkomst — je verwerkt gegevens om een order, reservering of opdracht uit te voeren. Dit dekt veel order- en offerteprocessen.
- Gerechtvaardigd belang — bijvoorbeeld fraudepreventie of het beveiligen van je systemen. Je moet dit wel kunnen onderbouwen met een belangenafweging.
- Toestemming — nodig voor dingen die de klant zelf moet kunnen weigeren, zoals marketingmails of het gebruik van foto’s. Toestemming moet vrij, specifiek en intrekbaar zijn.
- Wettelijke verplichting — bijvoorbeeld bewaartermijnen in de boekhouding of de zorg.
Leg de grondslag vast in je verwerkingsregister. Dat register is verplicht zodra je regelmatig persoonsgegevens verwerkt, en het is het eerste dat een toezichthouder opvraagt.
3. Sluit een verwerkersovereenkomst met je leverancier
Zodra een partij persoonsgegevens voor jou verwerkt, heb je een verwerkersovereenkomst nodig (artikel 28 AVG). Dat geldt voor je AI-leverancier, je hostingpartij en je e-mailprovider. De overeenkomst regelt wat de verwerker mag doen, hoe hij beveiligt, welke subverwerkers hij gebruikt en wat er bij een datalek gebeurt.
Let op twee dingen die vaak ontbreken: een lijst met subverwerkers (in de AI-wereld zijn dat vaak Amerikaanse modelaanbieders) en de afspraak dat jouw gegevens niet worden gebruikt om modellen te trainen.
4. Doorgifte buiten de EU
De meeste taalmodel-API’s draaien in de Verenigde Staten. Doorgifte is toegestaan als er een geldige grondslag is, bijvoorbeeld het EU-VS Data Privacy Framework of standaardcontract- bepalingen met een aanvullende risicoanalyse. In de praktijk is dat voor veel mkb-bedrijven een papierwinkel die niemand leest.
Onze keuze is eenvoudiger: standaard Europese hosting en Europese modelaanbieders waar dat kan. Voor dossiers met gezondheids- of cliëntgegevens draaien we een open model binnen onze eigen omgeving, zodat er geen persoonsgegevens de EU verlaten.
5. Wanneer je een DPIA moet doen
Een gegevensbeschermingseffectbeoordeling is verplicht bij waarschijnlijk hoog risico. Denk aan systematische en uitgebreide beoordeling van persoonlijke aspecten, geautomatiseerde besluitvorming met rechtsgevolgen, grootschalige verwerking van bijzondere gegevens of systematische monitoring van een publieke ruimte.
Een assistent die offertes opstelt: nee. Een systeem dat cv’s rangschikt en kandidaten afwijst: ja. Een tool die medische consulten samenvat: meestal ja, vanwege de aard van de gegevens.
6. Wat de AI Act verandert
De Europese AI-verordening werkt met risiconiveaus:
- Verboden — sociale scoring, manipulatieve technieken, ongerichte gezichtsherkenning uit camera’s. Niet doen.
- Hoog risico — onder meer werving, kredietbeoordeling, toegang tot onderwijs, medische hulpmiddelen en kritieke infrastructuur. Hier gelden eisen aan risicobeheer, documentatie en menselijk toezicht.
- Beperkt risico — chatbots en generatieve toepassingen. Vooral transparantie: mensen moeten weten dat ze met een systeem praten en AI-gegenereerde content moet herkenbaar zijn.
- Minimaal risico — spamfilters, aanbevelingen, de meeste interne automatisering.
Voor vrijwel alle toepassingen die wij voor het mkb bouwen geldt het niveau beperkt of minimaal risico. Dat betekent niet dat er niets moet: je moet kunnen uitleggen wat het systeem doet en waar een mens meekijkt.
Een checklist voor je eerste AI-toepassing
- Welke persoonsgegevens raakt de toepassing, en waarom?
- Welke grondslag geldt per verwerking?
- Staat de verwerking in je verwerkingsregister?
- Heb je een verwerkersovereenkomst met elke partij die gegevens ziet?
- Vermeldt je privacyverklaring het gebruik van AI, in begrijpelijke taal?
- Is er een mens die controleert voordat er iets onomkeerbaars gebeurt?
- Hoe lang worden gegevens bewaard, en wie verwijdert ze?
- Wat gebeurt er bij een datalek, en wie meldt het binnen 72 uur?
Wat wij standaard regelen
Bij elke opdracht waarbij persoonsgegevens in het spel zijn, krijg je een verwerkersovereenkomst, een overzicht van de verwerkingen en een verwijzing naar de bewaartermijnen. Bij gevoelige dossiers bouwen we met een lokaal model en logs die na dertig dagen automatisch verdwijnen. Kost iets meer, maar het scheelt je een gesprek met je accountant, je verzekeraar en uiteindelijk de Autoriteit Persoonsgegevens.
Dit is geen juridisch advies. Twijfel je over je eigen situatie? Laat een jurist of je functionaris gegevensbescherming meekijken — wij leveren de technische onderbouwing aan.