TL;DR:
- De AVG verbiedt AI niet. De regels gaan over persoonsgegevens, niet over de technologie zelf.
- Gebruik geen klant- of personeelsgegevens in gratis consumentenversies van AI-tools: geen verwerkersovereenkomst, vaak wel training op uw data.
- Kies bij voorkeur leveranciers met EU-hosting en leg afspraken vast in een verwerkersovereenkomst voordat u iets koppelt.
Veel MKB-bedrijven worstelen met dezelfde vraag: mogen wij AI eigenlijk wel gebruiken met onze klantdata? Het korte antwoord is ja, mits u het goed inricht. De AVG stelt geen aparte regels voor AI. Dezelfde principes die al gelden voor uw CRM, uw boekhoudpakket en uw e-mailprovider gelden ook voor een AI-tool: u moet weten welke persoonsgegevens u deelt, met wie, waarvoor en op welke grondslag. Het verschil zit vooral in de praktijk: AI-tools nodigen uit tot het vrij intypen van tekst, en juist daar gaat het mis.
Waarom de AVG relevant is zodra u AI gebruikt
De AVG draait om persoonsgegevens: alle informatie die direct of indirect naar een persoon te herleiden is. Een naam, een e-mailadres, een telefoonnummer, maar ook een adres in een offerte of een klacht van een specifieke klant. Zodra een medewerker zo'n gegeven in een AI-tool plakt, is er sprake van een verwerking. En bij een verwerking horen verplichtingen: een grondslag, een doel, beveiliging en afspraken met de partij die de data ontvangt.
Het risico voor het MKB zit zelden in kwade opzet. Het zit in gemak. Een medewerker die snel een lastige klantmail wil beantwoorden, plakt de hele mail inclusief naam, adres en dossiernummer in een gratis chatbot. Daarmee zijn persoonsgegevens gedeeld met een partij waarmee geen enkele afspraak bestaat, mogelijk buiten de EU, en mogelijk worden ze gebruikt om het model verder te trainen. Niet omdat iemand dat wilde, maar omdat niemand had afgesproken hoe het wel moet.
Welke data mag wel en niet in een AI-tool?
Een bruikbare vuistregel: hoe gevoeliger de data en hoe minder er geregeld is met de leverancier, hoe terughoudender u moet zijn. Dit overzicht helpt bij het maken van die afweging:
| Type data | Gratis consumententool | Zakelijke tool met verwerkersovereenkomst |
|---|---|---|
| Algemene teksten zonder persoonsgegevens | Prima | Prima |
| Geanonimiseerde bedrijfsdata | Mogelijk, mits echt anoniem | Prima |
| Klantgegevens (naam, e-mail, dossier) | Niet doen | Kan, met grondslag en doel |
| Personeelsgegevens | Niet doen | Kan, terughoudend en doelgebonden |
| Bijzondere gegevens (gezondheid, BSN) | Nooit | Alleen bij strikte noodzaak en extra waarborgen |
Let op bij anonimiseren: het weglaten van een naam is vaak niet genoeg. Als een omschrijving nog steeds naar één persoon te herleiden is ("de monteur die vorige week in Ede die storing had"), dan zijn het nog steeds persoonsgegevens. Echt anonimiseren betekent dat niemand, ook niet met extra informatie, de persoon kan achterhalen.
Maak het praktisch met een intern AI-beleid
Het meeste rendement haalt u niet uit juridische documenten, maar uit een korte, duidelijke werkafspraak. Eén A4 is vaak genoeg:
- Welke AI-tools zijn goedgekeurd voor zakelijk gebruik
- Welke data daar wel en niet in mag
- Dat gratis of privé-accounts niet gebruikt worden voor klantdata
- Dat AI-output altijd door een mens gecontroleerd wordt voordat die naar een klant gaat
- Bij wie medewerkers terechtkunnen met twijfelgevallen
De verwerkersovereenkomst: saai maar onmisbaar
Zodra een AI-leverancier persoonsgegevens voor u verwerkt, bent u verplicht daar een verwerkersovereenkomst mee te sluiten. Dat klinkt zwaarder dan het is: bij de meeste serieuze zakelijke AI-diensten zit zo'n overeenkomst (vaak Data Processing Agreement of DPA genoemd) standaard bij de zakelijke voorwaarden en accepteert u die bij het afsluiten van het abonnement.
Waar u op let in zo'n overeenkomst:
- Traint de leverancier op uw data?Bij zakelijke API's en enterprise-abonnementen is training op klantdata meestal standaard uitgesloten. Bij gratis versies vaak niet. Controleer dit expliciet.
- Waar staat de data? EU-hosting of in elk geval duidelijke afspraken over doorgifte buiten de EU.
- Hoe lang wordt data bewaard? Veel aanbieders bieden instelbare of nul-retentie voor zakelijke klanten.
- Subverwerkers: welke andere partijen krijgen uw data te zien, en wordt u geïnformeerd bij wijzigingen?
- Beveiliging en meldplicht: welke maatregelen neemt de leverancier en hoe snel hoort u het bij een datalek?
Vergeet daarnaast uw eigen administratie niet: neem de AI-tool op in uw verwerkingsregister en vermeld het gebruik waar relevant in uw privacyverklaring. Bouwt u AI in een proces waarin beslissingen over personen worden genomen, bijvoorbeeld het beoordelen van sollicitaties of aanvragen, wees dan extra voorzichtig: volledig geautomatiseerde besluitvorming met rechtsgevolgen is onder de AVG in beginsel niet toegestaan zonder menselijke tussenkomst.
Leveranciers kiezen: data in de EU als praktisch uitgangspunt
De AVG verplicht niet dat data in de EU blijft. Doorgifte naar landen buiten de EU mag, maar alleen met extra waarborgen: een adequaatheidsbesluit van de Europese Commissie (zoals het Data Privacy Framework voor gecertificeerde Amerikaanse bedrijven) of standaardcontractbepalingen. Dat kan prima, maar het maakt uw beoordeling ingewikkelder en afhankelijker van juridische constructies die in het verleden vaker ter discussie hebben gestaan.
Voor de meeste MKB-bedrijven is EU-hosting daarom simpelweg de makkelijkste route. Steeds meer grote AI-aanbieders bieden inmiddels EU-regio's aan, en via Europese cloudplatformen zijn de bekende taalmodellen ook met EU-dataresidentie af te nemen. Vragen die u een leverancier stelt voordat u tekent:
- In welke regio worden mijn prompts en data verwerkt en opgeslagen?
- Is er een verwerkersovereenkomst en waar vind ik die?
- Wordt mijn data gebruikt voor het trainen van modellen?
- Welke bewaartermijn geldt en kan ik die zelf instellen?
- Welke certificeringen zijn er, bijvoorbeeld ISO 27001 of SOC 2?
Een leverancier die deze vragen niet vlot en concreet kan beantwoorden, is voor zakelijk gebruik met klantdata geen goede keuze. Een leverancier die dat wel kan, maakt uw eigen verantwoording een stuk eenvoudiger.
Nuchter samengevat
AI en de AVG gaan prima samen, zolang u drie dingen regelt: weet welke data uw organisatie in AI-tools stopt, sluit met elke leverancier die persoonsgegevens verwerkt een verwerkersovereenkomst, en kies waar mogelijk voor verwerking binnen de EU. Dat is geen project van maanden. Voor de meeste MKB-bedrijven is het een kwestie van één keer goed inrichten: een kort intern beleid, een check op de bestaande tools en bewuste keuzes bij nieuwe.
Wilt u AI inzetten in uw processen, bijvoorbeeld voor het verwerken van aanvragen of het opvolgen van leads, en wilt u dat vanaf het begin AVG-proof inrichten? Ascentive bouwt AI-workflow-automatisering waarbij databeheer en leverancierskeuze onderdeel zijn van het ontwerp, niet een correctie achteraf. Liever eerst even sparren over uw situatie? Plan een vrijblijvende afspraak in.
Veelgestelde vragen over AI en de AVG
Mag ik ChatGPT of vergelijkbare AI-tools gebruiken onder de AVG?
Ja, zolang u geen persoonsgegevens invoert zonder grondslag en passende afspraken. Voor zakelijk gebruik met klantdata heeft u een zakelijke licentie met verwerkersovereenkomst nodig; consumentenversies bieden die garanties meestal niet.
Heb ik altijd een verwerkersovereenkomst nodig met een AI-leverancier?
Zodra de leverancier persoonsgegevens voor u verwerkt wel. Verwerkt u alleen geanonimiseerde of niet-persoonsgebonden data, dan is een verwerkersovereenkomst niet verplicht, maar in de praktijk komt er bijna altijd ergens een naam, e-mailadres of klantcontext mee.
Moet mijn data verplicht in de EU blijven?
Niet verplicht, maar doorgifte buiten de EU vraagt om extra waarborgen zoals een adequaatheidsbesluit of standaardcontractbepalingen. EU-hosting maakt de beoordeling eenvoudiger en is voor veel MKB-bedrijven de praktische keuze.
Wordt mijn bedrijfsdata gebruikt om AI-modellen te trainen?
Dat verschilt per leverancier en per abonnement. Bij de meeste zakelijke API's en enterprise-abonnementen wordt data standaard niet voor training gebruikt; bij gratis consumentenversies vaak wel. Controleer dit expliciet in de voorwaarden voordat u klantdata invoert.