Ja, de AVG geldt, zodra er persoonsgegevens in gaan. Een cv-screener, een klantchatbot of een Copilot met toegang tot uw mailbox verwerkt gegevens over mensen. Dan staat naast de AI Act een tweede wet klaar, met eigen vragen per systeem. Vier komen bij vrijwel elk systeem terug. Daarna blijft er één over: wie erover gaat.
De AI Act vraagt per systeem wat het doet en in welke risicocategorie dat valt. De AVG vraagt wat erin gaat. Die tweede set is korter dan de meeste organisaties denken. Vier vragen. Het antwoord op de eerste bepaalt of de andere drie nog aan de orde zijn.
Verwerkt dit systeem persoonsgegevens?
Zo nee, dan is de AVG hier niet aan zet en blijft alleen de AI Act over. Zo ja, dan volgen de drie vragen hieronder. Een leeg antwoord telt als nog te beantwoorden: het systeem krijgt dan geen DPIA-signaal en verschijnt nog niet in het AI-deel van het register.
Gaat het om bijzondere categorieën of strafrechtelijke gegevens?
Ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, vakbondslidmaatschap, genetische gegevens, biometrie met het oog op unieke identificatie, gezondheid, seksueel gedrag of seksuele gerichtheid (Artikel 9 lid 1 AVG), plus strafrechtelijke gegevens (Artikel 10 AVG). Op grote schaal verwerkt is dit een van de gronden waarop een DPIA verplicht wordt.
Hoe lang blijven de gegevens staan?
De bewaartermijn hoort in het verwerkingsregister (Artikel 30 lid 1 onder f AVG). Bij een AI-tool is het antwoord vaak verrassend: een chatgeschiedenis of het geheugen van een agent bewaart meer en langer dan het doel vraagt.
Gaan er gegevens buiten de EER?
Veel AI-leveranciers verwerken ook in de Verenigde Staten. Dan is er een doorgiftegrondslag nodig (Hoofdstuk V AVG, Artikel 44 tot en met 49) en hoort de doorgifte in het register (Artikel 30 lid 1 onder e AVG).
In het AI-register staan deze vier op dezelfde regel als de AI Act-classificatie van het systeem. Eén invoer, en de FG en de compliance-verantwoordelijke kijken naar hetzelfde scherm.
Artikel 35 lid 1 AVG is een open norm. Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van mensen. De wet noemt nieuwe technologieën daarbij met naam. Lid 3 geeft drie gevallen waarin dat in elk geval zo is. Twee daarvan komen bij AI vaak voor.
Het eerste is een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering (lid 3 onder a). De voorwaarde is dat daar besluiten op worden gebaseerd met rechtsgevolgen, of die mensen op vergelijkbare wijze wezenlijk treffen. Een systeem dat kandidaten rangschikt, een kredietaanvraag scoort of een fraudekans berekent, valt daar snel onder. Het tweede is grootschalige verwerking van bijzondere categorieën of strafrechtelijke gegevens (lid 3 onder b). Daarnaast houdt de Autoriteit Persoonsgegevens een lijst bij van verwerkingen waarvoor een DPIA altijd verplicht is (lid 4).
Bent u gebruiksverantwoordelijke van een hoog-risico AI-systeem, dan grijpen de twee wetten in elkaar. De AI Act draagt u op de informatie van de aanbieder te gebruiken voor uw DPIA (Artikel 26 lid 9). De grondrechtentoets die de AI Act van sommige gebruiksverantwoordelijken vraagt (Artikel 27 lid 1), mag naar de relevante delen van die DPIA verwijzen (Artikel 27 lid 4). Het blijven twee beoordelingen met elk een eigen grondslag.
Verder lezen: wanneer een DPIA verplicht is bij een AI-systeem en hoe de FRIA werkt.
Het gebruik van elk AI-systeem dat persoonsgegevens verwerkt, is een verwerkingsactiviteit en hoort dus in het register van Artikel 30 AVG. Lid 1 somt zeven onderdelen op:
Een verwerkingsgrondslag staat er niet bij. Vrijwel elk sjabloon op internet heeft er een kolom voor; in de wettekst ontbreekt hij. Aantonen moet u hem wel, op grond van Artikel 5 lid 2 en Artikel 6.
De uitzondering voor organisaties onder de 250 personen (lid 5) vervalt zodra de verwerking een risico inhoudt, bijzondere categorieën of strafrechtelijke gegevens raakt, of méér dan incidenteel is. Een tool die dagelijks draait, is structureel. Wat een AI-register daaraan toevoegt en waar het verschilt, staat in moet een AI-systeem in het verwerkingsregister staan.
Een agent in Copilot Studio, n8n of eigen code verschilt van een chatbot op drie punten die de AVG raken. Hij onthoudt: het geheugen is een verwerking met een eigen bewaartermijn. Hij heeft toegang tot bedrijfsdata. De leverancier van het model verwerkt die data dan meestal als verwerker. Dan hoort er een verwerkersovereenkomst te liggen (Artikel 28 lid 3 AVG). En hij handelt soms zelfstandig, ook op gegevens van mensen. Zodra daar zonder menselijke tussenkomst een besluit uit volgt met rechtsgevolgen, of dat iemand anderszins in aanmerkelijke mate treft, geldt Artikel 22 AVG.
Verder lezen: mag een AI-agent persoonsgegevens onthouden en een externe AI toegang geven tot uw bedrijfsdata. Hoe u agents registreert en aan uw eigen regels toetst, staat op de agentpagina.
De AVG kent de functionaris gegevensbescherming, die bij een DPIA om advies wordt gevraagd (Artikel 35 lid 2). De AI Act kent geen equivalent en wijst niemand aan: de verplichtingen liggen bij de organisatie als aanbieder of gebruiksverantwoordelijke. In de praktijk landt de AI Act daardoor vaak op het bureau van de FG, terwijl de classificatie van een systeem een andere vraag is dan de bescherming van gegevens. Wat er dan bij komt, en wat juist niet, staat op de AI Act voor de functionaris gegevensbescherming.
De vier vragen hierboven staan in het AI-register op dezelfde regel als de AI Act-classificatie. Uit de antwoorden volgt een DPIA-signaal met het onderdeel van Artikel 35 lid 3 erbij. Elk systeem met persoonsgegevens verschijnt als regel in het AI-deel van uw verwerkingsregister, langs de zeven onderdelen van Artikel 30, te downloaden als CSV. De AVG-vragen, het signaal en de CSV werken op elk pakket, ook op Gratis. De FRIA-wizard (vanaf Core) vraagt of er al een DPIA ligt en neemt uw verwijzing op.
Verwerkingen zonder AI, zoals de salarisadministratie, blijven in uw eigen register. De DPIA zelf en de afhandeling van datalekken blijven bij uw privacytool of uw FG. Het platform signaleert en verwijst; het oordeel blijft van mensen.
Bekijk de AVG-lens op de platformpaginaKlik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Ja, zodra een medewerker er persoonsgegevens in zet: een klantmail samenvatten, een cv laten beoordelen, notulen met namen laten uitwerken. De leverancier is dan verwerker of zelfstandige verwerkingsverantwoordelijke, afhankelijk van de voorwaarden. Uw organisatie blijft in beide gevallen verantwoordelijk voor de eigen verwerking. Een verwerkersovereenkomst zodra de leverancier verwerker is (Artikel 28 lid 3 AVG), plus een afspraak over wat er wel en niet in mag: dat zijn de eerste twee stappen.
Nee. De AVG kijkt naar de verwerking van persoonsgegevens, de AI Act naar wat het systeem doet. Een chatbot die klantvragen beantwoordt verwerkt persoonsgegevens en valt toch onder de transparantieplicht van Artikel 50, niet onder hoog-risico. Een cv-screener valt onder Bijlage III punt 4 onder a én verwerkt persoonsgegevens. De twee assen kruisen elkaar, maar ze vallen niet samen.
Nee. Het signaal zegt of een DPIA waarschijnlijk verplicht is, met het onderdeel van Artikel 35 lid 3 AVG erbij waar dat op rust. De DPIA zelf maakt u met uw functionaris gegevensbescherming of privacyverantwoordelijke, want die weegt de risico's en de maatregelen. Wel kan de FRIA in het platform naar die DPIA verwijzen (Artikel 27 lid 4 AI Act).
Meestal wel. Artikel 30 lid 5 AVG zondert organisaties met minder dan 250 personen in dienst uit, maar niet als de verwerking een risico inhoudt, bijzondere categorieën of strafrechtelijke gegevens raakt, of méér dan incidenteel is. AI-gebruik is zelden incidenteel: een tool die elke dag mails samenvat, verwerkt structureel.
De gratis risicoscan brengt in vijf minuten in kaart welke AI er draait en wat er per systeem geldt. Zonder account en zonder creditcard.
De drie wettelijke gevallen, de AP-lijst en de negen EDPB-criteria
Lees meerWat waar hoort, welke velden overlappen en wanneer de MKB-vrijstelling vervalt
Lees meerWat er bovenop uw AVG-werk komt, en wat niet
Lees meer