Moet een AI-systeem in het verwerkingsregister staan? Het korte antwoord: ja, zodra het systeem persoonsgegevens verwerkt. Daarnaast heeft u een eigen AI-register nodig om de verplichtingen uit de AI-verordening aan te tonen. Twee administraties, met een flinke overlap in wat erin staat. Wie ze los van elkaar opzet, voert dezelfde gegevens twee keer op.
Wat er in het verwerkingsregister moet staan
Artikel 30 lid 1 AVG schrijft per verwerkingsactiviteit zeven onderdelen voor:
- Naam en contactgegevens van de verwerkingsverantwoordelijke en, waar aangesteld, de functionaris voor gegevensbescherming
- De verwerkingsdoeleinden
- De categorieën van betrokkenen en van persoonsgegevens
- De categorieën van ontvangers
- Doorgiften naar landen buiten de EER, met de bijbehorende waarborgen
- De beoogde bewaartermijnen, voor zover mogelijk
- Een algemene beschrijving van de beveiligingsmaatregelen
De vorm is vrij. Schriftelijk mag ook elektronisch zijn (lid 3), dus een spreadsheet voldoet aan de letter van de wet. Op verzoek laat u het register aan de AP zien (lid 4). Verwerkt een leverancier gegevens voor u, dan houdt die als verwerker een eigen register bij (lid 2). Voor een AI-leverancier die uw prompts of documenten verwerkt, geldt dat net zo.
Geldt de uitzondering voor kleine organisaties ook bij AI?
Organisaties met minder dan 250 medewerkers zijn in beginsel vrijgesteld van de registerplicht (Artikel 30 lid 5). De uitzondering kent drie tenzij-gronden. Eén daarvan raakt vrijwel elk AI-gebruik: de vrijstelling vervalt zodra de verwerking niet incidenteel is. Een chatbot die dagelijks klantvragen beantwoordt of een HR-tool die doorlopend cv's leest, is structureel gebruik. De twee andere gronden komen bij AI ook snel in beeld: verwerkingen met een waarschijnlijk risico voor betrokkenen en verwerkingen van bijzondere categorieën gegevens. De AP vat het op haar eigen pagina's zo samen: een verwerkingsregister is bijna altijd verplicht, meestal ook voor kleine ondernemers.
Welke registratie de AI-verordening zelf vraagt
De AI-verordening kent geen algemene registerplicht voor organisaties die AI gebruiken. Wat er wel staat, is smaller en hangt aan het hoog-risicoregime. Aanbieders van hoog-risicosystemen uit Bijlage III registreren zichzelf en hun systeem in de EU-databank (Artikel 49). Overheidsinstanties die zo'n systeem gebruiken, registreren ook dat gebruik (Artikel 49 lid 3 en Artikel 26 lid 8). Voor Bijlage III-systemen gaan die verplichtingen op 2 december 2027 gelden.
Waarom dan toch een eigen AI-register? Omdat vrijwel elke andere plicht uit de verordening overzicht veronderstelt. De trainingsplicht van Artikel 4 vraagt dat u weet wie met welk systeem werkt. De transparantieplicht van Artikel 50 vraagt dat u weet welke chatbots en beeldgeneratoren er draaien. En de verantwoordingsplicht van Artikel 5 lid 2 AVG vraagt dat u dit alles kunt laten zien. Hoe u zo'n register inricht, staat in het stappenplan voor een AI-register.
Welke velden overlappen en welke apart blijven
Doel van het systeem
Staat in beide. Het verwerkingsdoel van Artikel 30 en het beoogde doel van een AI-systeem beschrijven hetzelfde, elk vanuit een eigen wet.
Categorieën gegevens en betrokkenen
Staat in beide. Wat het systeem leest en over wie, is voor de AVG een registerveld en voor de AI-verordening de basis van de risicoclassificatie.
Leverancier
Staat in beide, met een andere rol. Voor de AVG is de AI-leverancier vaak verwerker, met een verwerkersovereenkomst (Artikel 28 AVG). Voor de AI-verordening is dezelfde partij aanbieder.
Beveiligingsmaatregelen
Staat in beide. Artikel 30 vraagt een algemene beschrijving; dezelfde maatregelen dragen het bewijs onder uw AI-dossier.
Rechtsgrondslag en bewaartermijn
Alleen het verwerkingsregister. Dit blijft zuiver AVG-werk.
Risicocategorie en rol
Alleen het AI-register. De indeling verboden, hoog, beperkt of minimaal, plus de vraag of u aanbieder of gebruiksverantwoordelijke bent.
Eén invoer, twee uitkomsten
De wet verplicht u nergens om twee losse documenten bij te houden. Artikel 30 schrijft de inhoud voor, de vorm blijft vrij. U kunt een AI-systeem dus één keer vastleggen met de AVG-velden en de AI Act-velden aan hetzelfde record. Het verwerkingsregister is dan een uitsnede van die ene administratie. Dat scheelt invoerwerk. Belangrijker is dat de twee nooit uit de pas lopen: een systeem dat in het ene overzicht wordt bijgewerkt en in het andere blijft hangen, valt bij een controle direct op.
Veelgestelde vragen
Moet ChatGPT in ons verwerkingsregister staan?
Ja, zodra medewerkers er structureel persoonsgegevens mee verwerken. De verwerkingsactiviteit is dan bijvoorbeeld het opstellen en samenvatten van teksten met een AI-assistent, met daarbij de categorieën gegevens die erin omgaan en de leverancier als ontvanger. Gebruikt uw organisatie de tool aantoonbaar zonder persoonsgegevens, dan valt er niets te registreren. Dat aantonen vraagt wel beleid en instructie, want de invoer van medewerkers bepaalt wat er werkelijk wordt verwerkt.
Is een AI-register verplicht onder de AI-verordening?
Nee, een algemene registerplicht voor gebruikers van AI staat er niet in. De registratieplichten van Artikel 49 gelden bij hoog-risicosystemen: voor de aanbieder van een Bijlage III-systeem, voor overheidsinstanties ook in hun rol van gebruiksverantwoordelijke. Voor iedereen geldt dat u de overige verplichtingen, van training tot transparantie, alleen kunt aantonen met een eigen overzicht van uw AI-gebruik.
Mogen het verwerkingsregister en het AI-register één document zijn?
Ja. Artikel 30 AVG schrijft voor welke gegevens vastliggen, in schriftelijke of elektronische vorm; over de indeling zegt de wet niets. Voorwaarde is dat u het AVG-deel er op verzoek van de AP zelfstandig uit kunt leveren (Artikel 30 lid 4). Eén administratie waaruit u beide overzichten trekt, voldoet daaraan.
Geldt de vrijstelling onder 250 medewerkers bij AI-gebruik?
Nee, meestal vervalt die. De vrijstelling van Artikel 30 lid 5 stopt zodra de verwerking niet incidenteel is. Structureel AI-gebruik is per definitie doorlopend. Ook bijzondere categorieën gegevens, zoals gezondheidsgegevens in een zorgtoepassing, halen de vrijstelling onderuit. De omvang van de organisatie is daardoor zelden het beslissende criterium.
Begin met de inventarisatie die beide wetten voedt
Of u nu bij het verwerkingsregister begint of bij het AI-register, de eerste stap is dezelfde: weten welke systemen er draaien en welke gegevens ze aanraken. In AIComplianceHub registreert u elk AI-systeem één keer, met leverancier, toepassing en risicoclassificatie bij elkaar, zodat de gegevens voor beide overzichten uit dezelfde bron komen. De gratis risicoscan laat binnen vijf minuten zien welke systemen om aandacht vragen.