AI en de AVG gaan prima samen, zolang je weet welke persoonsgegevens je in een AI-tool stopt, waar die naartoe gaan en wat de aanbieder ermee doet. De AVG (Algemene verordening gegevensbescherming, in het Engels GDPR) geldt gewoon, ook als een computer het werk doet in plaats van een mens.
In dit artikel lees je wanneer de AVG een rol speelt bij AI, welke vragen je aan een aanbieder stelt en welke stappen je zet voordat je een chatbot, ChatGPT of een automatisering met klantgegevens gebruikt. Let op: dit is praktische uitleg, geen juridisch advies. Voor je eigen situatie vraag je een jurist of kijk je bij de Autoriteit Persoonsgegevens.
Wanneer speelt de AVG een rol bij AI?
De AVG gaat over persoonsgegevens: alles waarmee je iemand direct of indirect kunt herkennen. Denk aan een naam, mailadres, telefoonnummer, klantnummer, maar ook een gesprek in een chatbot of een factuur met een adres erop. Zodra zulke gegevens in een AI-tool terechtkomen, verwerk je persoonsgegevens. Dan gelden de regels.
Dat gebeurt sneller dan je denkt. Een paar voorbeelden:
- Je plakt een klantmail met naam en adres in ChatGPT om een antwoord te laten schrijven.
- Een chatbot op je website vraagt bezoekers om hun naam en telefoonnummer.
- Een tool leest facturen of cv's uit en zet de gegevens in je systeem.
- Je laat een gespreksopname met een klant samenvatten door AI.
De belangrijkste AVG-regels voor AI op een rij
Je hoeft geen jurist te zijn om de basis te snappen. Deze principes uit de AVG zijn bij AI het belangrijkst:
- Grondslag: je hebt een geldige reden nodig om gegevens te verwerken, zoals het uitvoeren van een overeenkomst of toestemming.
- Doelbinding: je gebruikt gegevens alleen voor het doel waarvoor je ze kreeg.
- Dataminimalisatie: je verwerkt niet meer gegevens dan nodig.
- Transparantie: mensen weten wat je met hun gegevens doet, bijvoorbeeld via je privacyverklaring.
- Beveiliging: je beschermt gegevens tegen lekken en misbruik.
- Rechten: mensen kunnen hun gegevens inzien, laten aanpassen of laten verwijderen.
Vooral dataminimalisatie is bij AI handig om te onthouden. Heeft de AI de naam van de klant niet nodig om een goed antwoord te schrijven? Laat de naam dan weg.
Denk ook aan de rechten van mensen. Vraagt een klant om inzage of verwijdering van zijn gegevens, dan moet je ook weten of die gegevens in een AI-tool staan, bijvoorbeeld in opgeslagen chats of geüploade bestanden. Kies dus tools waarin je gesprekken en bestanden zelf kunt terugvinden en wissen. Anders kun je zo'n verzoek niet goed afhandelen.
AVG en ChatGPT: waar gaan je gegevens heen?
Veel AI-diensten draaien op servers van grote Amerikaanse bedrijven. Gegevens kunnen dan buiten de Europese Unie terechtkomen. Dat mag niet zomaar. Je moet kunnen aantonen dat er passende afspraken zijn. Grote aanbieders bieden daarom vaak zakelijke abonnementen met contractuele afspraken, en soms de keuze om data in Europa te laten verwerken.
Een tweede vraag: gebruikt de aanbieder jouw invoer om zijn model te trainen? Bij veel gratis en persoonlijke accounts kan dat het geval zijn, tenzij je het uitzet. Bij zakelijke abonnementen geven aanbieders meestal aan dat ze dat standaard niet doen. Lees de voorwaarden goed. Meer tips voor dagelijks gebruik vind je in ons artikel ChatGPT zakelijk gebruiken.
Verwerkersovereenkomst en DPIA: wat zijn dat?
Laat je een externe partij persoonsgegevens verwerken voor jouw bedrijf, dan is die partij een verwerker. Met een verwerker sluit je een verwerkersovereenkomst. Daarin staat wat de aanbieder met de gegevens mag doen, hoe hij ze beveiligt en wat er gebeurt bij een datalek. Grote AI-aanbieders hebben vaak een standaard overeenkomst voor zakelijke klanten.
Een DPIA (gegevensbeschermingseffectbeoordeling) is een risicoanalyse die je vooraf maakt als een verwerking een hoog risico kan hebben voor mensen. Bij AI kan dat bijvoorbeeld spelen als je gevoelige gegevens verwerkt, zoals gezondheid, of als AI beslissingen neemt over mensen. Of een DPIA verplicht is in jouw geval, laat je het beste toetsen door een specialist.
Checklist: AI veilig gebruiken met persoonsgegevens
Wil je AI inzetten in je bedrijf? Loop deze lijst door voordat je begint:
- Schrijf op welke gegevens de AI-tool krijgt en waarom die nodig zijn.
- Haal namen en andere herkenbare gegevens weg waar dat kan.
- Kies een zakelijk abonnement met een verwerkersovereenkomst.
- Controleer waar de gegevens worden opgeslagen en of ze voor training worden gebruikt.
- Stel in hoe lang gesprekken en bestanden bewaard blijven.
- Vermeld het gebruik van AI in je privacyverklaring.
- Laat AI geen belangrijke beslissingen over mensen nemen zonder menselijke controle.
- Spreek met je team af welke gegevens nooit in een AI-tool mogen.
Gebruik je een chatbot op je website? Zorg dan dat bezoekers zien dat ze met een bot praten en wat er met hun gegevens gebeurt. Lees ook ons stuk over een chatbot op je website.
Veelgemaakte fouten met AI en privacy
- Medewerkers gebruiken hun eigen gratis account voor werk, zonder dat iemand het weet.
- Er wordt een hele klantenlijst in een AI-tool geplakt om 'even te analyseren'.
- De privacyverklaring is jaren oud en noemt geen enkele AI-tool.
- Niemand weet hoe lang de gegevens bij de aanbieder blijven staan.
- Een tool wordt gekoppeld aan je mailbox of CRM zonder dat je weet welke rechten hij krijgt.
Naast de AVG is er sinds 2024 ook de Europese AI-verordening. Die gaat niet over privacy, maar over de risico's van AI zelf. Beide wetten gelden naast elkaar. In ons artikel over de EU AI Act voor het mkb lees je wat die voor jou betekent.
Zo pakken we AI en privacy aan bij Violexa
Als we bij Violexa een AI-oplossing bouwen, beginnen we bij de vraag welke gegevens echt nodig zijn. Vaak kan het met minder dan je denkt. We kiezen tools die zakelijke afspraken bieden, beperken wat de AI te zien krijgt en zorgen dat een mens meekijkt bij belangrijke stappen. Juridisch advies geven we niet, maar we denken mee over een opzet die je makkelijk kunt laten toetsen. Meer over onze aanpak lees je bij AI & automatisering. Een maatwerk oplossing start vanaf €1.799 excl. btw (€2.177 incl. btw), eenmalig.
Wil je weten of jouw idee voor AI ook privacyvriendelijk kan? Plan een gratis quickscan. In 30 minuten, online of op locatie, bespreken we je plan. Daarna krijg je kort schriftelijk advies met een prijsindicatie, zonder verplichtingen.
Veelgestelde vragen
Mag je persoonsgegevens in ChatGPT invoeren volgens de AVG?
Dat kan alleen als je een geldige grondslag hebt, de gegevens goed beschermd zijn en je passende afspraken hebt met de aanbieder. In de praktijk is het veiliger om gegevens eerst te anonimiseren. Laat je bij twijfel adviseren door een jurist.
Heb ik een verwerkersovereenkomst nodig met een AI-aanbieder?
Als de aanbieder persoonsgegevens voor jou verwerkt, meestal wel. Veel zakelijke AI-abonnementen bieden een standaard verwerkersovereenkomst. Bij gratis accounts is die er vaak niet.
Moet ik in mijn privacyverklaring zetten dat ik AI gebruik?
Als je persoonsgegevens met AI-tools verwerkt, hoort dat in je privacyverklaring. Vermeld welke gegevens, waarvoor en welke partijen daarbij betrokken zijn.
Is AI gebruiken in strijd met de GDPR?
Nee, AI gebruiken is niet verboden onder de GDPR. Je moet wel dezelfde regels volgen als bij elke andere verwerking van persoonsgegevens, zoals een grondslag, beveiliging en transparantie.
