AI is overal. Van klantenservice-chatbots tot tools die teksten of beelden genereren. Ook in het mkb, bij verenigingen en stichtingen zien we steeds vaker dat er wordt geëxperimenteerd met kunstmatige intelligentie. Maar de grote vraag blijft: mag dat zomaar volgens de AVG?
Europese richtlijnen voor AI
Om wat orde te scheppen, heeft de EU onlangs een Code of Practice voor General Purpose AI gepubliceerd. Dit zijn richtlijnen voor bedrijven die AI gebruiken of aanbieden. Belangrijk daarbij zijn transparantie, duidelijke uitleg en een goed overzicht van de risico’s.
Voor organisaties betekent dit concreet:
- je moet kunnen uitleggen wat de AI doet,
- welke gegevens erin gaan,
- en wat de risico’s zijn voor de mensen van wie je gegevens verwerkt.
Een voorbeeld: gebruik je een AI-tool om cv’s te screenen bij sollicitaties, dan moet je inzichtelijk maken welke criteria de tool gebruikt, en of er kans is op discriminatie of vooroordelen.
Nederlandse sandbox in 2026
Naast Europese regels werkt Nederland aan een eigen AI-regulatory sandbox. Dat is een soort veilige testomgeving waar organisaties nieuwe toepassingen kunnen uitproberen, mét begeleiding van toezichthouders. De sandbox moet in 2026 beschikbaar zijn en geeft organisaties de kans om te experimenteren zonder direct risico te lopen op sancties.
Praktisch voordeel voor kleinere organisaties: je kunt straks met hulp van de toezichthouder kijken hoe je AI inzet voor bijvoorbeeld ledenadministratie of klantenservice, zonder meteen het risico te lopen dat je de AVG overtreedt.
De AVG geldt ook voor AI!
Ook al zijn de regels nog in ontwikkeling, je kunt er niet omheen: de AVG geldt óók voor AI. Gebruik je AI voor klantdata, ledeninformatie of andere persoonsgegevens? Dan gelden dezelfde verplichtingen als bij elke andere verwerking.
Dat betekent in de praktijk:
- Formuleer het doel: Bijvoorbeeld: “We gebruiken AI om supportvragen sneller te beantwoorden.”
- Beperk de data: gebruik alleen de gegevens die écht nodig zijn voor het doel dat je wilt bereiken. Dus geen volledige ledenlijsten uploaden als je alleen een vraag of voorbeeldtekst wilt testen. Controleer altijd of de tool persoonsgegevens verwerkt en of er een verwerkersovereenkomst nodig is.
- Train medewerkers: maak duidelijk dat AI fouten kan maken en dat persoonsgegevens niet zomaar in een AI-tool ingevoerd mogen worden. Laat medewerkers oefenen met scenario’s en leg vast in jullie privacybeleid hoe de organisatie AI gebruikt.
Praktijkvoorbeeld: Een sportvereniging wilde een AI-tool gebruiken om automatisch nieuwsbrieven te schrijven. Een vrijwilliger plakte per ongeluk de volledige ledenlijst in het systeem “om inspiratie te geven”. Daarmee lag ineens alle gevoelige informatie bij een externe partij, zonder afspraken of toestemming, een klassiek datalek. Door medewerkers vooraf duidelijke instructies te geven (“gebruik fictieve of geanonimiseerde gegevens”) had dit voorkomen kunnen worden.
Waar moet je op letten?
De Code of Practice en de aangekondigde sandbox laten zien dat AI niet meer vrijblijvend is. Er wordt verwacht dat organisaties keuzes onderbouwen, risico’s in kaart brengen en transparant zijn richting gebruikers.
Handig om te doen:
- Check je verwerkingsregister en voeg het gebruik van AI-toepassingen toe.
- Update je privacyverklaring: vermeld duidelijk als je AI inzet die persoonsgegevens verwerkt.
- Overweeg een DPIA (gegevensbeschermingseffectbeoordeling) als AI grote impact kan hebben op betrokkenen. Hier vind je uitleg van de Autoriteit Persoonsgegevens.
AI kan veel opleveren, maar roept ook vragen op. De nieuwe richtlijnen en de Nederlandse sandbox maken duidelijk dat je hier niet blind mee aan de slag kunt. Organisaties die nu al zorgen dat hun AI-gebruik AVG-proof is, hebben straks een voorsprong.
In AVG-support.nl vind je hulpmiddelen zoals het verwerkingsregister en de AVG-verklaring die je helpen om AI-gebruik netjes vast te leggen.
Download de gratis checklist: ben jij AVG OK?
Voldoet je organisatie aan de AVG-wetgeving? Check het eenvoudig met onze gratis checklist.
- 15 checks om gelijk uit te voeren
- Kom erachter of jij aan de AVG voldoet
- Direct inzicht in wat je nog moet regelen
Dit artikel maakt deel uit van onze serie over AI en privacy. In deze serie bespreken we hoe je AI-tools veilig en AVG-proof inzet, zonder de privacy van klanten of leden in gevaar te brengen.
