AI en de AVG: wat mag wel en wat niet?
14 juni 2026 · 6 min lezen
Je mag AI zakelijk gebruiken, ook met de AVG in je achterhoofd. De kern: zet geen persoonsgegevens of gevoelige bedrijfsdata in een publiek model zonder afspraken. Werk met verwerkersafspraken, kies een lokaal model waar het moet en laat een mens de eindbeslissing nemen.
De AVG verbiedt AI niet. Hij stelt eisen aan hoe je met persoonsgegevens omgaat. Een tool als ChatGPT of Claude is gewoon software die data verwerkt. De vraag is dus niet of je AI mag gebruiken, maar welke data je erin stopt en met wie je afspraken hebt gemaakt.
Welke data mag wel in een publiek model?
Algemene vragen, concepten en data zonder persoonsgegevens kun je rustig aan een publiek model voorleggen. Denk aan een tekst herschrijven, een samenvatting maken van een openbaar rapport of een idee uitwerken. Zolang er geen klantnaam, BSN, medisch gegeven of vertrouwelijk contract in zit, loop je weinig risico.
Welke data houd je eruit?
- Persoonsgegevens van cliënten, klanten of medewerkers, zoals namen gekoppeld aan adres, e-mail of telefoonnummer.
- Gevoelige gegevens, zoals gezondheid, geloof of strafrechtelijke informatie.
- Bedrijfsgeheimen en vertrouwelijke contracten.
- Inloggegevens, API-sleutels en wachtwoorden.
Moet je met dit soort data werken, breng dan eerst doel, grondslag, gegevensstroom, leverancier, beveiliging en toegang in kaart. Een verwerkersovereenkomst of eigen modelomgeving kan onderdeel van de oplossing zijn, maar is op zichzelf geen bewijs dat de verwerking juridisch voldoet.
Lokale modellen voor gevoelige data
Een lokaal model draait op hardware of een server die jouw organisatie beheert. Dat kan meer controle geven over opslag en toegang. Controleer ook logging, beheer, back-ups, leveranciers en verbindingen. Een lokale omgeving geeft geen automatische juridische goedkeuring.
Verwerkersafspraken op orde
Werk je met een zakelijke AI-dienst, leg dan vast wat de aanbieder met je data doet. Wordt je input gebruikt om het model te trainen? Waar staan de servers? Hoe lang wordt data bewaard? Een verwerkersovereenkomst regelt dit. Veel zakelijke pakketten bieden de optie om training op jouw data uit te zetten. Zet die aan.
Dit is geen juridisch advies. Het is de praktische lijn die ik bij zorgorganisaties en andere klanten aanhoud. Twijfel je over een specifieke situatie, leg die voor aan een privacyjurist.
De mens blijft aan het stuur
AI bereidt voor, jij beslist. Laat een model nooit zelfstandig besluiten nemen over mensen, zoals een sollicitatie afwijzen of een besluit over de zorg voor een cliënt. Gebruik het om voor te bereiden en te ordenen, en laat een collega de uitkomst controleren. Zo blijf je verantwoordelijk en uitlegbaar, precies wat de AVG van je vraagt.