Je gebruikt AI voor klantdata. Mag dat? Het korte antwoord: ja, mits. Maar die "mits" is waar de meeste ondernemers de fout in gaan.
Ik hoor het elke week in gesprekken met MKB-eigenaren: "Ik wil AI inzetten, maar mag dat eigenlijk wel van de AVG?" Het antwoord is genuanceerder dan ja of nee. En het verschilt enorm per hoe je AI inzet.
Dit artikel is geen juridisch advies. Ik ben AI architect, geen jurist. Maar ik heb inmiddels genoeg AI-systemen gebouwd om te weten waar de praktische valkuilen zitten. En ik deel hier wat ik heb geleerd.
De kern: AVG verbiedt AI niet
De AVG (Algemene Verordening Gegevensbescherming) verbiedt het gebruik van AI niet. Wat de AVG wel doet, is regels stellen aan hoe je met persoonsgegevens omgaat. Ongeacht of een mens of een machine die data verwerkt.
De belangrijkste principes blijven dezelfde:
- Doelbinding — je mag data alleen gebruiken voor het doel waarvoor je het hebt verzameld
- Dataminimalisatie — niet meer data verwerken dan nodig
- Bewaartermijn — data niet langer bewaren dan noodzakelijk
- Beveiliging — passende technische en organisatorische maatregelen
- Transparantie — mensen informeren over wat je met hun data doet
AI verandert deze principes niet. AI maakt het alleen makkelijker om ze per ongeluk te overtreden.
Artikel 22: geautomatiseerde besluitvorming
Dit is het AVG-artikel dat het meest relevant is voor AI. Artikel 22 zegt: mensen hebben het recht om niet onderworpen te worden aan een besluit dat uitsluitend is gebaseerd op geautomatiseerde verwerking, inclusief profilering, als dat besluit rechtsgevolgen heeft of hen "in aanmerkelijke mate treft."
Vertaald naar de praktijk:
Mag niet zonder expliciete toestemming:
- AI die automatisch bepaalt of iemand een lening krijgt
- AI die automatisch sollicitanten afwijst
- AI die automatisch verzekeringspremies vaststelt
Mag wel:
- AI die facturen categoriseert
- AI die e-mails sorteert
- AI die conceptantwoorden opstelt (die een mens reviewt en verstuurt)
- AI die klantdata analyseert voor rapportages
Het cruciale verschil: heeft een mens het laatste woord? Als een AI een voorstel doet en een medewerker beslist, val je buiten artikel 22. Als de AI autonoom beslist over iets dat iemands leven beinvloedt, moet je expliciete toestemming hebben.
In mijn ervaring valt 95% van wat MKB-bedrijven met AI doen in de categorie "mag wel" — zolang je een menselijke check inbouwt.
Het recht op uitleg
Wanneer je AI gebruikt voor besluiten die mensen raken, hebben die mensen recht op een uitleg. Ze mogen vragen: waarom heeft de AI dit besloten?
Dit is in de praktijk lastiger dan het klinkt. Een taalmodel kan niet precies uitleggen waarom het een bepaald antwoord geeft. Maar je kunt wel documenteren:
- Welke data de AI als input kreeg
- Welk model je gebruikte
- Welke instructies (prompts) je meegaf
- Wat de output was
- Wie de output reviewde
Ik bouw dit standaard in bij elk AI-systeem dat ik lever. Niet omdat de meeste MKB'ers het nodig hebben, maar omdat het je beschermt als er ooit vragen komen.
Waar je data naartoe gaat: dit maakt het verschil
Hier wordt het concreet. Want de AVG stelt strenge eisen aan het overdragen van persoonsgegevens naar landen buiten de Europese Economische Ruimte (EER).
ChatGPT, Claude, Gemini: data naar de VS
Als je klantgegevens typt in ChatGPT, gaat die data naar servers van OpenAI in de Verenigde Staten. Hetzelfde geldt voor Claude (Anthropic) en Gemini (Google) in hun standaard consumerversies.
Is dat verboden? Niet per se. Maar je moet dan wel een geldige overdrachtsgrond hebben. In de praktijk zijn dat de Standard Contractual Clauses (SCCs) die deze aanbieders in hun voorwaarden opnemen. Sinds het EU-US Data Privacy Framework (juli 2023) is overdracht naar gecertificeerde Amerikaanse bedrijven weer mogelijk — maar het blijft een juridisch grijs gebied.
Wat je in elk geval NIET moet doen:
- Klant-BSN's of medische gegevens in ChatGPT plakken
- Onbewerkte klantdatabases uploaden
- Gevoelige persoonsgegevens delen zonder verwerkersovereenkomst
Lokale modellen: data blijft in Nederland
De alternatieve route — en voor privacy de veiligste — is een AI-model draaien op je eigen hardware of op een Europese server. Modellen zoals Qwen, Llama en Mistral kun je lokaal draaien. Je data verlaat je kantoor niet.
Voordelen voor AVG-compliance:
- Geen datatransfer buiten de EER
- Geen verwerkersovereenkomst met een Amerikaanse techgigant nodig
- Volledige controle over opslag en verwijdering
- Je kunt exact aantonen waar de data is
Nadelen: je hebt technische kennis nodig om dit op te zetten, en de modellen zijn (nog) niet altijd zo goed als GPT-4 of Claude voor complexe taken.
De tussenweg: Europese cloud
Aanbieders als Microsoft Azure (regio West Europe, Amsterdam), AWS (Frankfurt), en Google Cloud (Netherlands) bieden AI-diensten aan op Europese servers. Hiermee blijft je data binnen de EER, maar heb je wel een verwerkersovereenkomst nodig met de cloudprovider.
Verwerkersovereenkomsten: niet optioneel
Als je een externe partij inschakelt om persoonsgegevens te verwerken — en dat doe je als je een AI-dienst gebruikt — dan ben je wettelijk verplicht een verwerkersovereenkomst (Data Processing Agreement, DPA) af te sluiten.
Wat erin moet staan:
- Welke data wordt verwerkt
- Het doel van de verwerking
- De duur van de verwerking
- Beveiligingsmaatregelen
- Wat er gebeurt met de data na afloop
- Of de verwerker subverwerkers inschakelt
De grote AI-aanbieders hebben standaard DPA's. OpenAI heeft er een, Anthropic ook, Google ook. Maar je moet ze wel actief accepteren of ondertekenen. Het staat niet standaard aan als je een gratis account aanmaakt.
Check dit: als je een betaald ChatGPT Team of Enterprise account hebt, is de DPA anders (en beter) dan bij een gratis of Plus account. Bij de betaalde zakelijke accounts belooft OpenAI expliciet dat je data niet wordt gebruikt om modellen te trainen. Bij gratis accounts is dat niet gegarandeerd.
Praktische checklist: AI en AVG voor het MKB
Hier is de checklist die ik gebruik bij elke AI-implementatie:
Voor je begint
- [ ] Bepaal welke persoonsgegevens je gaat verwerken met AI
- [ ] Documenteer het doel: waarom gebruik je AI voor deze data?
- [ ] Check of je een grondslag hebt (toestemming, gerechtvaardigd belang, of overeenkomst)
- [ ] Voeg AI-verwerking toe aan je privacyverklaring
- [ ] Voer een DPIA uit als je op grote schaal profileert of bijzondere persoonsgegevens verwerkt
Bij de AI-aanbieder
- [ ] Sluit een verwerkersovereenkomst af
- [ ] Check waar de data wordt opgeslagen (EU of daarbuiten)
- [ ] Controleer of je data wordt gebruikt om het model te trainen (en schakel dit uit als dat kan)
- [ ] Verifieer beveiligingsmaatregelen (encryptie, toegangscontrole)
In je werkproces
- [ ] Bouw een menselijke check in bij besluiten die mensen raken
- [ ] Anonimiseer of pseudonimiseer data waar mogelijk voordat je het naar AI stuurt
- [ ] Log wat de AI als input krijgt en als output geeft
- [ ] Stel een bewaartermijn in voor AI-verwerkte data
- [ ] Train medewerkers: wat mag wel en niet in de AI-tool
Bij incidenten
- [ ] Heb een procedure voor als er iets misgaat (datalek via AI)
- [ ] Weet wie je Functionaris Gegevensbescherming is (of benoem er een)
- [ ] Ken de meldplicht: 72 uur bij de Autoriteit Persoonsgegevens
De AI Act komt eraan: extra regels vanaf augustus 2026
Naast de AVG krijg je vanaf augustus 2026 ook te maken met de EU AI Act. Die voegt extra verplichtingen toe, vooral voor AI-systemen die als "hoog risico" worden geclassificeerd. Denk aan AI voor recruitment, kredietbeoordeling, en toegang tot essentiiele diensten.
Voor de meeste MKB-toepassingen (e-mail sorteren, facturen verwerken, klantvragen beantwoorden) verandert de AI Act weinig. Maar het is goed om te weten dat er meer regulering aankomt.
Mijn advies: begin pragmatisch
De AVG is niet bedoeld om innovatie te stoppen. Het is bedoeld om mensen te beschermen. En in de praktijk kun je heel veel doen met AI zonder in de problemen te komen, als je een paar basisregels volgt:
- Gebruik geen gevoelige persoonsgegevens in gratis AI-tools. Punt.
- Sluit altijd een verwerkersovereenkomst af. Kost niets, beschermt alles.
- Bouw een menselijke check in. Laat AI voorstellen doen, niet beslissen.
- Documenteer wat je doet. Niet voor de bureaucratie, maar zodat je het kunt uitleggen als er vragen komen.
- Overweeg lokale modellen voor de meest gevoelige data. De technologie is er klaar voor.
De gezichtsherkenning-casus bij retailers laat zien wat er gebeurt als je AI inzet zonder na te denken over privacy. Dat wil je voorkomen. Maar laat angst voor de AVG je niet tegenhouden om AI in te zetten voor taken waar het veilig en waardevol is.
Begin met het automatiseren van je eerste processen. Doe het met je ogen open. En als je twijfelt over een specifieke toepassing: vraag het aan een privacyjurist. Die paar honderd euro zijn het waard.
Lees ook: De AI Act in 2026: wat betekent het voor het MKB? -- de nieuwe EU-wetgeving die vanaf augustus 2026 van kracht wordt.
Lees ook: Gezichtsherkenning in je winkel: mag dat? -- een concreet voorbeeld van AI en privacy dat fout kan gaan.
Bronnen: AVG / GDPR volledige tekst, Autoriteit Persoonsgegevens - AI en algoritmes, EU-US Data Privacy Framework, EU AI Act, OpenAI Data Processing Addendum