Mag ik persoonsgegevens in AI gebruiken?
Kort antwoord: ja, het mag, mits u dezelfde AVG-regels volgt als bij elke andere verwerking - een geldige grondslag, een doel, een verwerkersovereenkomst met de leverancier, en passende beveiliging. Wat niet mag: gevoelige klantgegevens zomaar in een gratis publieke AI-tool plakken zonder te weten waar die data heen gaat of of die gebruikt wordt voor training. Het verschil tussen "mag wel" en "mag niet" zit niet in de technologie, maar in hoe u die inricht. Let op: dit artikel is voorlichting, geen juridisch advies.
De kernprincipes blijven gelden
De AVG verandert niet omdat het AI is. Dezelfde basis geldt:
- Grondslag en doel. Verwerk alleen persoonsgegevens met een geldige reden en een duidelijk doel.
- Dataminimalisatie. Voer niet méér gegevens in dan nodig.
- Transparantie. Wees duidelijk naar betrokkenen over wat u doet.
- Beveiliging. Bescherm de gegevens passend. Zie [Veilige AI-systemen](/blog/veilige-ai-systemen-rbac-audit-logs-avg).
Wat AI-specifiek extra aandacht vraagt
1. Waar gaat de data heen?
Bij een AI-dienst verlaat data mogelijk uw omgeving. Weet bij welke leverancier het terechtkomt en of die de data gebruikt voor training. Voor zakelijke API's is training op uw data doorgaans uitgesloten - controleer dit.
2. Verwerkersovereenkomst
Verwerkt een AI-leverancier persoonsgegevens namens u, dan heeft u een verwerkersovereenkomst nodig, net als bij andere clouddiensten.
3. Doorgifte buiten de EU
Veel AI-leveranciers zitten buiten de EU. Regel een geldige grondslag voor doorgifte. EU-hosting of een EU-regio kan een oplossing zijn.
4. Geen onbeveiligde gratis tools voor klantdata
De grootste praktijkfout: medewerkers die klantgegevens in een gratis chatbot plakken. Maak hier beleid voor en bied een veilig alternatief.
Een werkbare aanpak
1. Bepaal welke gegevens echt nodig zijn (minimaliseer).
2. Kies een leverancier met een verwerkersovereenkomst en geen training op uw data.
3. Beperk toegang en houd logs bij (zie [RBAC en audit-logs](/blog/veilige-ai-systemen-rbac-audit-logs-avg)).
4. Stel intern beleid op en train uw mensen.
Veelgestelde vragen
Is ChatGPT of Claude AVG-proof?
Niet "vanzelf". Met de juiste zakelijke opzet, verwerkersovereenkomst en instellingen kunt u het AVG-conform inrichten. De gratis consumentenversies zijn ongeschikt voor klantdata.
Heb ik een DPIA nodig?
Bij verwerkingen met hoog risico mogelijk wel. Beoordeel dit per use case, eventueel met juridisch advies.
Mag ik AI gebruiken voor beslissingen over mensen?
Volledig geautomatiseerde besluiten met rechtsgevolgen zijn aan strikte regels gebonden. Houd een mens in de beslissing.
Aan de slag
Wilt u AI inzetten op een manier die AVG-bewust is ingericht - met de juiste afspraken en beveiliging? Bekijk [Veilige AI-systemen](/blog/veilige-ai-systemen-rbac-audit-logs-avg) of neem [contact](/contact) op met NEXTRIQ.