Een klantvraag kopiëren in ChatGPT om een antwoord te formuleren voelt onschuldig — tot je je afvraagt waar die tekst daarna naartoe gaat. Wat de AVG concreet van je vraagt zodra AI in het spel komt, zonder de juridische taal die niemand verder helpt.
Geen juridisch advies. Deze pagina legt de grote lijnen uit zoals wij ze toepassen bij het bouwen van AI-oplossingen. Voor een sluitende juridische beoordeling van jouw specifieke situatie raadpleeg je een advocaat of je functionaris gegevensbescherming.
Het korte antwoord
De AVG zelf is niet veranderd door AI. Wat wel verandert: AI-tools laten makkelijk gegevens buiten je eigen omgeving vloeien zonder dat je dat meteen doorhebt. Persoonsgegevens in een gratis, publieke AI-tool plakken is daarom het grootste risico — een zakelijke versie met een verwerkersovereenkomst is het veiligere alternatief.
Bij een klassiek softwarepakket weet je meestal wel waar je gegevens staan: in je eigen CRM, op je eigen server, bij een leverancier met wie je een contract hebt. Bij AI-tools is dat minder duidelijk — een medewerker die snel een klantmail laat herformuleren door een gratis chatbot, weet vaak niet welke voorwaarden daarbij gelden of wat er met die tekst gebeurt.
Dat maakt AI geen uitzondering op de AVG, wel een plek waar de basisregels makkelijker over het hoofd gezien worden. Niet omdat de wet anders is, maar omdat het gedrag minder zichtbaar is dan bij software die je bewust hebt aangeschaft.
Een gratis, publieke AI-tool biedt meestal geen verwerkersovereenkomst. Een zakelijke versie wel — dat is vaak het verschil dat over het hoofd gezien wordt.
Ook voor AI-verwerking geldt: er moet een geldige reden zijn om persoonsgegevens te verwerken, net als bij elke andere verwerking.
Medewerkers gebruiken vaak al AI-tools zonder dat de eigenaar het weet. Dat overzicht is de eerste stap, niet de laatste.
Beslissingen met gevolgen voor een persoon — een aanvraag afwijzen, een profiel beoordelen — horen niet zonder menselijke controle door een AI-systeem genomen te worden.
Bij elk automatiseringsproject dat persoonsgegevens raakt, kiezen we bewust voor zakelijke AI-diensten met een verwerkersovereenkomst in plaats van gratis consumentenversies, en houden we een mens in de lus voor alles wat gevolgen heeft voor een klant. Dat is dezelfde discipline die op bedrijfsprocessen automatiseren staat beschreven: automatisering bereidt voor, jij beslist.
De vier niveaus, met mens in de lus voor wat gevolgen heeft. Naar de hoofdpagina.
Vertel kort welke AI-tools je team gebruikt en of er klantgegevens doorheen gaan. Wij denken mee over hoe dat veiliger kan, zonder juridisch advies te vervangen.
Niet zomaar. Persoonsgegevens — een naam, een e-mailadres, een adres — die je in een publieke AI-tool plakt, verlaten je eigen systeem en komen bij een derde partij terecht. Dat kan enkel als er een geldige rechtsgrond is en de verwerker de juiste garanties biedt. In de praktijk is het veiligste antwoord: geen echte klantgegevens in een gratis, publieke AI-tool, wel in een zakelijke versie met een verwerkersovereenkomst.
De AVG zelf niet — die bestond al voor AI een gangbaar hulpmiddel werd, en de basisregels blijven gelden: een rechtsgrond hebben, niet meer verzamelen dan nodig, weten waar gegevens naartoe gaan. Wat wel verandert, is dat AI-tools makkelijk gegevens buiten je eigen omgeving laten vloeien zonder dat je dat meteen doorhebt, en dat maakt oplettendheid belangrijker dan voorheen.
Ja, zodra die leverancier persoonsgegevens namens jou verwerkt. De grote zakelijke aanbieders (Microsoft, Google, OpenAI's zakelijke tier) bieden die standaard aan; bij een gratis consumentenversie ontbreekt die doorgaans, en dat is precies het verschil dat vaak over het hoofd gezien wordt.
In kaart brengen welke AI-tools nu al gebruikt worden binnen het bedrijf, vaak zonder dat de eigenaar het weet. Pas als dat overzicht er is, kan je per tool beoordelen of er persoonsgegevens doorheen gaan en of dat volgens de regels gebeurt.