AI voor het mkb
AI en de AVG: wat mag wel met klantdata?
Kort antwoord
U mag persoonsgegevens met AI verwerken, maar alleen als de gewone AVG-regels kloppen: een grondslag, niet meer gegevens dan nodig, passende beveiliging en, als een aanbieder de gegevens voor u verwerkt, een verwerkersovereenkomst. Klantgegevens plakken in een gratis chatbot waar u geen afspraken mee hebt, voldoet daar meestal niet aan. De Autoriteit Persoonsgegevens (AP) heeft gewaarschuwd dat dit tot datalekken leidt en raadt organisaties aan duidelijke afspraken te maken over welke gegevens medewerkers wel en niet mogen invoeren. Daarnaast geldt de AI-verordening: de plicht rond AI-geletterdheid geldt sinds februari 2025, transparantieplichten sinds augustus 2026, en de strengste eisen voor hoog-risico-AI zijn uitgesteld tot december 2027.
Het grootste risico: medewerkers die zelf experimenteren
De AP heeft meerdere meldingen ontvangen van datalekken doordat medewerkers persoonsgegevens, bijvoorbeeld van patiënten of klanten, invoerden in AI-chatbots. Vaak gebeurt dat op eigen initiatief, met gratis accounts. Het probleem: de aanbieder van de chatbot kan zo toegang krijgen tot gegevens waarvoor u als organisatie verantwoordelijk bent. Verbieden werkt in de praktijk slecht; duidelijke regels en een goed alternatief werken beter.
Wat de AVG van u vraagt bij AI
| AVG-eis | Wat het betekent voor AI |
|---|---|
| Grondslag en doelbinding | Gebruik klantgegevens alleen voor het doel waarvoor u ze hebt gekregen. Een klantmail laten samenvatten om die klant te helpen is iets anders dan alle klantdata gebruiken om een model te trainen. |
| Dataminimalisatie | Voer niet meer in dan nodig. Vaak kan het zonder namen, BSN's of andere identificerende gegevens. |
| Verwerkersovereenkomst | Verwerkt een AI-aanbieder gegevens in uw opdracht, dan hebt u een verwerkersovereenkomst nodig. Zakelijke abonnementen bieden die meestal; gratis consumentenaccounts vaak niet. |
| Doorgifte buiten de EU | Kijk waar de gegevens worden verwerkt en op welke basis ze de EU verlaten. EU-verwerking of een lokaal model maakt dit eenvoudiger. |
| DPIA | Bij grootschalige verwerking, gevoelige gegevens of nieuwe technologie met hoog risico is een gegevensbeschermingseffectbeoordeling (DPIA) verplicht. |
| Beveiliging en datalekken | Passende maatregelen, en een datalek binnen 72 uur melden bij de AP als er risico is voor betrokkenen. |
De AI-verordening: wat geldt nu?
Naast de AVG geldt de Europese AI-verordening (AI Act). Op 27 juli 2026 is de Digital Omnibus voor AI in werking getreden. Die heeft de tijdlijn aangepast:
- Verboden AI-praktijken gelden sinds 2 februari 2025.
- AI-geletterdheid (artikel 4): sinds 2 februari 2025 moet u maatregelen nemen zodat medewerkers die met AI werken voldoende kennis hebben. De Omnibus heeft de formulering verzacht, maar de plicht is niet verdwenen.
- Transparantie (artikel 50): sinds 2 augustus 2026 moeten mensen bijvoorbeeld weten dat ze met een AI-systeem praten. Voor het markeren van bestaande AI-gegenereerde content geldt een kort uitstel.
- Hoog-risico-AI, zoals AI voor personeelsselectie of kredietbeoordeling: de kernverplichtingen gelden voor de meeste systemen vanaf 2 december 2027.
Voor de meeste mkb-toepassingen, zoals facturen verwerken, e-mail sorteren of interne documenten doorzoeken, zijn vooral de AVG, AI-geletterdheid en transparantie relevant.
Checklist: zo gebruikt u AI veilig met klantdata
- Maak een kort AI-beleid: welke tools zijn toegestaan, welke gegevens mogen erin en welke niet.
- Bied een goedgekeurd alternatief met een zakelijk account, verwerkersovereenkomst en uitgeschakelde training op uw gegevens, of een lokaal model.
- Leg vast wat de AI doet in uw verwerkingsregister en beoordeel of een DPIA nodig is.
- Minimaliseer: laat de AI waar mogelijk met geanonimiseerde of gepseudonimiseerde gegevens werken.
- Geef agents beperkte rechten en laat een mens beslissingen met gevolgen voor klanten controleren.
- Train uw team: wat kan AI wel en niet, en hoe herkent u fouten? Dat is meteen uw invulling van AI-geletterdheid.
- Neem AI op in uw datalekprocedure.
Wilt u gevoelige gegevens helemaal niet naar een externe dienst sturen? Lees dan wanneer lokale AI de moeite waard is.
Dit artikel is algemene informatie en geen juridisch advies. Laatst bijgewerkt: 7 november 2026.
Veelgestelde vragen
Mag ik klantgegevens in ChatGPT invoeren?
Alleen als de AVG-regels kloppen: een grondslag, niet meer gegevens dan nodig en afspraken met de aanbieder, zoals een verwerkersovereenkomst bij een zakelijk account. Met een gratis consumentenaccount zonder afspraken is dat meestal niet het geval.
Heb ik een verwerkersovereenkomst nodig met een AI-aanbieder?
Ja, als de aanbieder persoonsgegevens in uw opdracht verwerkt. Zakelijke abonnementen van AI-aanbieders bieden meestal een verwerkersovereenkomst.
Is een DPIA verplicht bij het gebruik van AI?
Een DPIA is verplicht bij verwerkingen met een hoog risico, bijvoorbeeld grootschalige verwerking, gevoelige gegevens of nieuwe technologie. Bij AI-toepassingen met persoonsgegevens is het verstandig dit altijd te beoordelen.
Is de AI-verordening uitgesteld?
Alleen deels. De Digital Omnibus heeft de verplichtingen voor de meeste hoog-risico-AI uitgesteld tot 2 december 2027. Verboden praktijken en AI-geletterdheid gelden sinds februari 2025, transparantieplichten sinds augustus 2026.
Wat is AI-geletterdheid?
De verplichting uit artikel 4 van de AI-verordening om maatregelen te nemen zodat medewerkers die met AI werken voldoende kennis hebben van de mogelijkheden, risico's en beperkingen.