AI en AVG: verantwoord omgaan met persoonsgegevens bij AI
AI wordt steeds vaker onderdeel van het dagelijkse werk. Medewerkers gebruiken ChatGPT, Microsoft Copilot, Gemini en andere AI-tools voor teksten, analyses, klantvragen en interne processen. Maar zodra daarbij persoonsgegevens worden verwerkt, speelt ook de AVG een belangrijke rol.
AICG helpt organisaties om AI praktisch én verantwoord in te zetten. We brengen risico's in kaart, vertalen wet- en regelgeving naar duidelijke afspraken en helpen medewerkers begrijpen wat zij met AI wel en niet kunnen doen.
Bespreek AI en AVG binnen jullie organisatie →De AVG geldt ook wanneer je AI gebruikt
De Algemene Verordening Gegevensbescherming maakt geen uitzondering voor kunstmatige intelligentie. Als een AI-toepassing persoonsgegevens verwerkt, gelden dezelfde privacyregels als bij andere systemen.
Dat betekent onder andere dat duidelijk moet zijn waarom persoonsgegevens worden verwerkt, welke grondslag daarvoor bestaat, welke gegevens daadwerkelijk nodig zijn en hoe deze gegevens worden beveiligd.
Juist bij AI is dat soms ingewikkeld. Medewerkers kunnen eenvoudig grote hoeveelheden informatie invoeren in een AI-tool zonder zich te realiseren dat daar namen, e-mailadressen, klantgegevens, personeelsinformatie of andere persoonsgegevens tussen zitten.
Wanneer verwerkt AI persoonsgegevens?
Een persoonsgegeven is alle informatie die direct of indirect kan worden gekoppeld aan een persoon. Dat is breder dan alleen een naam of e-mailadres.
Ook IP-adressen, locatiegegevens, klantprofielen, koopgedrag, personeelsinformatie en foto's kunnen persoonsgegevens zijn.
Bij AI-toepassingen is daarom niet alleen de vraag welke gegevens een organisatie bewust invoert, maar ook welke informatie uit documenten, datasets of gesprekken kan worden afgeleid.
Voorbeelden van persoonsgegevens bij AI
- Namen, e-mailadressen en telefoonnummers
- Klant- en contactgegevens
- Personeels- en HR-informatie
- IP-adressen en locatiegegevens
- Gedrags- en gebruiksgegevens
- Foto's en andere beeldgegevens
- Gezondheidsinformatie
- Informatie waarmee profielen van personen worden opgebouwd
Welke AVG-regels zijn belangrijk bij AI?
Wie AI inzet en daarbij persoonsgegevens verwerkt, krijgt te maken met een aantal belangrijke uitgangspunten uit de AVG.
Rechtmatigheid
Voor het verwerken van persoonsgegevens moet een geldige grondslag bestaan. Het gebruik van AI verandert die verplichting niet.
Doelbinding
Gegevens die voor één doel zijn verzameld, mogen niet automatisch voor een compleet ander AI-doel worden gebruikt.
Dataminimalisatie
Verwerk niet meer persoonsgegevens dan noodzakelijk. Ook niet omdat een AI-model technisch gezien meer gegevens kan verwerken.
Juistheid
Organisaties moeten rekening houden met foutieve of verouderde gegevens. Onjuiste data kan leiden tot onjuiste AI-output.
Opslagbeperking
Persoonsgegevens mogen niet onbeperkt worden bewaard wanneer daar geen noodzaak meer voor bestaat.
Beveiliging
AI-systemen die toegang hebben tot persoonsgegevens moeten technisch en organisatorisch voldoende zijn beveiligd.
Wat mag wel en niet met AI onder de AVG?
De AVG verbiedt het gebruik van AI niet. Veel toepassingen zijn prima mogelijk, zolang persoonsgegevens rechtmatig, transparant en zorgvuldig worden verwerkt.
AI kan bijvoorbeeld worden ingezet voor
- ondersteuning bij interne werkzaamheden;
- klantenservice en chatbots;
- analyse van geanonimiseerde informatie;
- fraude- of veiligheidsdetectie;
- het ontsluiten van interne kennis;
- ondersteuning bij schrijven, samenvatten en analyseren.
Welke verwerking is toegestaan, hangt altijd af van het doel, de gegevens, de gekozen AI-toepassing en de juridische grondslag.
Extra voorzichtigheid is nodig bij
- personeels- en HR-gegevens;
- gezondheidsgegevens;
- automatische beoordeling van mensen;
- profilering;
- sollicitaties en selectie;
- gevoelige klantinformatie;
- gebruik van persoonsgegevens voor een nieuw doel.
Bij dergelijke toepassingen kan aanvullende juridische beoordeling, menselijke controle of een DPIA nodig zijn.
Mag je persoonsgegevens invoeren in ChatGPT of andere AI-tools?
Dit is een van de vragen die wij organisaties het vaakst horen. Het antwoord is niet simpelweg 'ja' of 'nee'.
Het hangt onder andere af van de gekozen AI-dienst, de contractuele afspraken, de configuratie van de omgeving, het soort persoonsgegevens, het doel van de verwerking en de afspraken die binnen de organisatie zijn gemaakt.
Een medewerker die zonder afspraken klantgegevens, personeelsdossiers of vertrouwelijke informatie in een publieke AI-tool plakt, kan een onnodig privacy- en beveiligingsrisico veroorzaken.
Zakelijke AI-omgevingen kunnen meer mogelijkheden bieden voor controle, beveiliging en gegevensbescherming, maar ook dan moet een organisatie weten welke gegevens worden verwerkt en onder welke voorwaarden.
Medewerkers hebben praktische regels nodig
Goed AI-beleid bestaat niet alleen uit juridische documenten. Medewerkers moeten vooral weten hoe zij de regels tijdens hun dagelijkse werk toepassen.
Geen gevoelige data zomaar invoeren
Medewerkers moeten herkennen wanneer informatie persoonsgegevens of vertrouwelijke bedrijfsinformatie bevat.
Gebruik goedgekeurde tools
Maak duidelijk welke AI-tools medewerkers binnen de organisatie mogen gebruiken en voor welke toepassingen.
Menselijke controle blijft nodig
AI kan ondersteunen bij werkzaamheden en beslissingen, maar output moet kritisch worden gecontroleerd.
Test met fictieve gegevens
Bij experimenten en demonstraties is fictieve of goed geanonimiseerde data vaak een veiliger vertrekpunt.
Wees transparant
Wanneer AI een duidelijke rol speelt in dienstverlening of communicatie, kan transparantie richting betrokkenen noodzakelijk zijn.
Weet wanneer je moet overleggen
Zorg dat medewerkers weten waar zij terechtkunnen wanneer zij twijfelen over privacy, veiligheid of verantwoord AI-gebruik.
Wanneer is een DPIA nodig bij AI?
Een Data Protection Impact Assessment, of DPIA, is een analyse waarmee een organisatie vooraf privacyrisico's van een verwerking beoordeelt.
Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen.
Bij AI kan dat bijvoorbeeld spelen wanneer mensen systematisch worden beoordeeld, wanneer grote hoeveelheden bijzondere persoonsgegevens worden verwerkt of wanneer AI onderdeel is van intensieve monitoring.
Bij een AI-DPIA kijk je bijvoorbeeld naar
- welke persoonsgegevens worden gebruikt;
- waarom deze gegevens nodig zijn;
- wie toegang heeft tot de gegevens;
- hoe lang informatie wordt bewaard;
- welke AI-leverancier wordt gebruikt;
- risico's op foutieve beslissingen;
- profilering en geautomatiseerde besluitvorming;
- technische en organisatorische beveiliging.
Hoe verhouden de AVG en de AI Act zich tot elkaar?
De AVG en de Europese AI Act zijn verschillende wetten, maar bij veel AI-toepassingen komen ze samen.
De AVG richt zich op de bescherming van persoonsgegevens. De AI Act bevat specifieke regels voor het ontwikkelen, aanbieden en gebruiken van AI-systemen.
Een AI-toepassing kan daarom tegelijkertijd onder verschillende verplichtingen vallen. Voldoen aan de AI Act betekent niet automatisch dat een organisatie ook aan de AVG voldoet, en andersom.
Daarom kijken wij bij AICG niet alleen naar één wet, maar naar het complete kader rond verantwoord AI-gebruik: privacy, AI Act, informatiebeveiliging, governance, beleid en AI-geletterdheid.
Lees ook meer over ons AI-beleid en AI-strategie en onze aanpak rondom AI-geletterdheid.
Hoe helpt AICG organisaties met AI en AVG?
Onze aanpak begint niet bij een dik juridisch rapport, maar bij de praktijk. Welke AI-tools worden gebruikt? Welke gegevens gaan erin? Welke processen raken medewerkers, klanten of andere betrokkenen? En waar ontbreken nog duidelijke afspraken?
Inventariseren
We brengen AI-toepassingen, gebruik en mogelijke privacyrisico's binnen de organisatie in kaart.
Beoordelen
We kijken naar persoonsgegevens, leveranciers, processen, verantwoordelijkheden en relevante wetgeving.
Afspraken maken
We vertalen dit naar praktisch AI-beleid, richtlijnen en duidelijke afspraken voor medewerkers.
Medewerkers meenemen
Met AI-geletterdheid en training zorgen we dat medewerkers niet alleen weten wat de regels zijn, maar ook begrijpen hoe ze die toepassen.
Veelgestelde vragen over AI en AVG
Geldt de AVG ook voor AI?
Ja. Wanneer een AI-systeem persoonsgegevens verwerkt, is de AVG van toepassing. AI vormt geen uitzondering op bestaande privacywetgeving.
Mag ik persoonsgegevens invoeren in ChatGPT?
Dat hangt af van de gebruikte omgeving, contractuele afspraken, configuratie, soort gegevens, rechtsgrond en het doel van de verwerking. Zonder duidelijke organisatorische afspraken is het verstandig om geen persoonsgegevens of vertrouwelijke informatie in publieke AI-tools te plaatsen.
Hebben we een verwerkersovereenkomst nodig met een AI-leverancier?
Wanneer een leverancier namens jullie organisatie persoonsgegevens verwerkt, kunnen afspraken over gegevensverwerking noodzakelijk zijn. Controleer daarom altijd de rol van de leverancier en de contractuele voorwaarden.
Wanneer is een DPIA nodig bij AI?
Een DPIA is nodig wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert. Dat kan bijvoorbeeld spelen bij systematische beoordeling van personen, grootschalige verwerking van bijzondere persoonsgegevens of intensieve monitoring.
Mag AI worden gebruikt bij HR en sollicitaties?
AI kan HR-processen ondersteunen, maar toepassingen waarbij mensen worden beoordeeld of beslissingen grote gevolgen hebben, vragen extra zorgvuldigheid. Menselijke controle, transparantie en privacybescherming zijn daarbij belangrijke aandachtspunten.
Wat moet er in een AI-beleid staan over privacy?
Een praktisch AI-beleid beschrijft onder andere welke tools zijn toegestaan, welke gegevens medewerkers wel en niet mogen invoeren, hoe met vertrouwelijke informatie wordt omgegaan, wanneer overleg nodig is en wie verantwoordelijk is voor toezicht en escalatie.
Wat is het verschil tussen AVG en AI Act?
De AVG richt zich primair op persoonsgegevens en privacy. De AI Act stelt eisen aan AI-systemen en het gebruik daarvan. Bij veel toepassingen gelden beide kaders naast elkaar.
Weet wat binnen jullie organisatie wel en niet kan met AI.
Gebruiken medewerkers ChatGPT, Copilot, Gemini of andere AI-tools en wil je weten of de afspraken rondom privacy, AVG en verantwoord AI-gebruik goed zijn ingericht? AICG helpt je om van losse vragen naar een duidelijke en praktische aanpak te komen.
We kunnen helpen met een AI-inventarisatie, AI-beleid, AI-geletterdheid, advies rond AI en privacy en het verantwoord implementeren van AI binnen jullie organisatie.
Plan een vrijblijvend gesprek →