Je medewerkers gebruiken ChatGPT, Claude of Gemini – waarschijnlijk al maanden. Ze plakken klantdata in prompts, kopiëren interne documenten voor samenvatten, of uploaden contracten om juridische vragen te stellen. Het voelt efficient en modern.
Maar wat er echt gebeurt, is dat al die data naar Amerikaanse servers gaat, mogelijk gebruikt wordt voor model training, en onder de Schrems II-problematiek valt waarbij Amerikaanse inlichtingendiensten theoretisch toegang kunnen hebben.
De GDPR vereist dat je een rechtmatige grondslag hebt voor elke verwerking, dat je een verwerkersovereenkomst afsluit met je leveranciers, en dat je data niet zomaar naar de VS stuurt zonder extra waarborgen. De meeste bedrijven hebben geen AI-gebruik policy, geen training gegeven aan medewerkers over wat wel en niet mag, en geen verwerkersovereenkomst met OpenAI, Anthropic of Google. En dan is er ook nog de AI Act die vanaf 2025 extra eisen stelt aan hoog-risico AI-systemen.
Dit is niet theoretisch: de Gegevensbeschermingsautoriteit heeft al signalen gegeven dat ze AI-gebruik gaat controleren. De vraag is niet óf dit een probleem wordt, maar wanneer. En als jij als DPO of directeur niet kunt aantonen dat je hier beleid over hebt, ben je persoonlijk aansprakelijk.
De wetgeving rond AI is complex omdat je te maken hebt met twee kaders: de bestaande GDPR en de nieuwe AI Act. Hier is wat je moet weten om compliant te zijn.
De GDPR-eisen voor AI-gebruik
Ten eerste: elke keer dat je persoonlijke data in een AI-tool stopt, ben je bezig met “verwerking” in de zin van de GDPR. Dat betekent dat je aan alle standaard eisen moet voldoen. Je hebt een rechtsgrondslag nodig – meestal gerechtvaardigd belang, maar dan moet je aantonen dat de verwerking noodzakelijk is en dat je privacy-impact hebt afgewogen. Je moet transparant zijn richting betrokkenen: In je privacy policy vermelden dat je AI gebruikt en hoe. En je moet een verwerkersovereenkomst hebben met je AI-leverancier die voldoet aan Artikel 28 eisen.
Ten tweede geldt de data minimalisatie principe. Je mag niet zomaar hele klantdatabases in AI-tools gooien “om te kijken wat eruit komt”. Je verzamelt en verwerkt alleen wat nodig is voor het specifieke doel. En als je gevoelige data hebt (gezondheid, strafrechtelijk, biometrisch), dan zijn de eisen nóg strenger.
Ten derde moet je data transfers buiten de EU goed regelen. Amerikaanse AI-bedrijven vallen onder Schrems II, wat betekent dat je een Transfer Impact Assessment moet doen waarin je beoordeelt of de waarborgen (meestal Standard Contractual Clauses) voldoende zijn. Voor veel organisaties is het eerlijkere antwoord: nee, ze zijn niet voldoende en dan moet je naar EU-alternatieven.
De AI Act
De AI Act maakt onderscheid tussen verschillende risico-niveaus. Verboden AI mag je niet gebruiken (social scoring, manipulatieve AI). Hoog-risico AI (bijvoorbeeld: CV-screening, kredietbeoordeling, medische diagnose) heeft zware eisen rond transparantie, menselijk toezicht en documentatie. Beperkt risico AI (zoals chatbots) vereist dat je transparant bent: gebruikers moeten weten dat ze met AI praten. En minimaal risico AI mag je vrij gebruiken, maar GDPR blijft natuurlijk wel gelden.
Wat betekent dit praktisch? Als je ChatGPT gebruikt voor customer service, moet je je klanten vertellen dat ze met AI communiceren. Als je AI gebruikt voor HR-beslissingen, val je onder hoog-risico en moet je veel meer documenteren. En ongeacht het risico-niveau moet je altijd checken of je GDPR-compliant bent.
Ik help je niet door te zeggen “stop met AI” – dat is wereldvreemd. AI is te waardevol om te negeren. In plaats daarvan help ik je om het op de juiste manier te implementeren zodat je de voordelen haalt zonder de risico’s.
Voor organisaties die structureel AI inzetten:
- Maandelijks overleg (1 uur): nieuwe tools checken, beleid updaten
- Onbeperkt email/chat support voor "mag dit wel?" vragen
- Kwartaal review: zijn we nog compliant met laatste regelgeving
- Training nieuwe medewerkers (op aanvraag, max 2x/jaar)
- Toegang tot template library (policies, checklists, DPA's)
Er zijn drie redenen waarom dit jaar hét moment is om dit goed te regelen – wacht niet tot de GBA aanbelt of tot je eerste datalek.
De AI Act wordt gehandhaafd
De wetgeving is er en de handhaving is gestart. Dat betekent dat toezichthouders zoals de GBA actief gaan controleren of organisaties compliant zijn met de nieuwe eisen. De eerste boetes zullen voorbeeldfunctie hebben – de EU wil laten zien dat ze het serieus neemt. Early adopters die hun zaken op orde hebben, onderscheiden zich positief. Late movers riskeren een voorbeeld te worden.
Je concurrenten weten dit ook nog niet
De markt is nog niet volwassen. De meeste bedrijven gebruiken AI wild west-style zonder beleid of controle. Als jij nu investeert in compliant AI-gebruik, kun je dit als USP inzetten: “Wij gebruiken AI zonder jouw data te verkopen aan Big Tech.” Dat is een krachtige boodschap voor privacy-bewuste klanten, vooral in B2B, zorg, finance, en legal sectors. Over twee jaar is dit standaard – nu kun je er nog voorloper in zijn.
AI wordt te waardevol om te negeren
Je kunt niet zeggen “we doen gewoon niet aan AI” en denken dat je het probleem oplost. Je concurrenten gebruiken het wel, je medewerkers gebruiken het stiekem toch (ook al verbied je het), en je loopt efficiency mis. De vraag is niet óf je AI gebruikt, maar hoe je het veilig doet. En hoe eerder je het goed regelt, hoe minder achterstand je oploopt. Investeer nu in de juiste infrastructuur en beleid, dan kun je experimenteren en innoveren zonder constant te hoeven remmen vanwege compliance zorgen.
Stuur me een bericht met het antwoord op “Welke AI-tools gebruikt jouw team?” en ik stuur je binnen 24 uur een eerste risico-inschatting (gratis, geen verplichtingen).