AVG en AI: waar moet je als mkb op letten?

AI inzetten voor je bedrijf klinkt aantrekkelijk. Maar hoe zit het met privacy? Mag je klantgegevens door een AI-model halen? Wat als die data op een Amerikaanse server terechtkomt? De Algemene Verordening Gegevensbescherming (AVG) geldt ook voor AI-gebruik, maar de regels zijn minder ingewikkeld dan ze klinken. In dit artikel loop ik de vijf checkpunten langs die je als mkb-ondernemer moet kennen.

AVG en AI: niet ingewikkeld, wel belangrijk

De AVG beschermt persoonsgegevens van EU-burgers. Dat zijn gegevens waarmee je een persoon kunt identificeren: naam, e-mailadres, telefoonnummer, maar ook IP-adressen en klantprofielen. Als je AI inzet om deze gegevens te verwerken (bijvoorbeeld een chatbot die klantmails beantwoordt), val je onder de AVG.

De Autoriteit Persoonsgegevens (AP) heeft in 2024 ruim 1.200 meldingen ontvangen over AI-gerelateerde dataverwerkingen (Jaarverslag AP, 2024). Dat klinkt als veel, maar het merendeel ging over onduidelijke informatie, niet over bewuste overtredingen. De boodschap: wie bewust met privacy omgaat, loopt weinig risico.

Bron: Autoriteit Persoonsgegevens: jaarverslag 2024

De vijf checkpunten

1. Verwerkersovereenkomst

Dit is het fundament. Elke AI-tool die persoonsgegevens verwerkt namens jou, moet een verwerkersovereenkomst (ook wel DPA, Data Processing Agreement) hebben. De grote platforms (ChatGPT, Claude, Microsoft Copilot) bieden standaard een DPA aan in hun zakelijke abonnementen. Controleer of je die hebt getekend of geaccepteerd.

2. Dataminimalisatie

Dit is het punt waar de meeste winst zit. Stuur niet meer data naar de AI dan nodig. Als een chatbot alleen klantvragen hoeft te beantwoorden, hoeft die niet de volledige aankoophistorie van je klant te kennen. Hoe minder data je deelt, hoe minder risico.

3. Transparantie

Je privacyverklaring moet vermelden dat je AI-tools gebruikt voor het verwerken van persoonsgegevens. Dat hoeft geen juridisch document van tien pagina's te zijn. Een heldere zin als "Wij gebruiken AI-software om klantvragen te verwerken. Uw gegevens worden niet gebruikt voor het trainen van AI-modellen" volstaat voor de meeste situaties.

De EU AI Act in het kort

Naast de AVG is er sinds augustus 2024 de EU AI Act, de eerste Europese wet specifiek voor AI. Voor de meeste mkb-bedrijven verandert er weinig: de wet richt zich vooral op hoogrisico-toepassingen (medische diagnostiek, kredietbeoordeling, overheidsbeslissingen). Als je AI inzet voor klantenservice, content of administratie, val je in de categorie "beperkt risico" en hoef je alleen transparant te zijn over het gebruik.

Concreet: als je een chatbot inzet, moet de gebruiker weten dat hij of zij met AI communiceert. Dat is iets wat je waarschijnlijk al doet.

Praktijk: een uitzendbureau maakt het werkbaar

Een uitzendbureau met 200 actieve uitzendkrachten wilde AI inzetten om sollicitatiemails automatisch te screenen op ervaring en beschikbaarheid. De privacyzorg: die mails bevatten cv's met persoonlijke gegevens.

De aanpak: het bureau sloot een verwerkersovereenkomst met de AI-leverancier. De AI verwerkte alleen de naam, het ervaringsniveau en de beschikbaarheid. Volledige cv's bleven in het eigen systeem. In de privacyverklaring werd vermeld dat AI wordt ingezet bij de eerste screening. Kandidaten kregen de mogelijkheid om bezwaar te maken. Na drie maanden had geen enkele kandidaat bezwaar gemaakt en was de screeningtijd met 60% gedaald.

Bron: Autoriteit Persoonsgegevens: AI en de AVG

Zo maak je het werkbaar

1. Check of je AI-tool een verwerkersovereenkomst biedt. Bij zakelijke abonnementen is dit standaard.
2. Minimaliseer de data die je naar de AI stuurt. Minder data is minder risico.
3. Pas je privacyverklaring aan. Voeg een zin toe over AI-gebruik.
4. Stel bewaartermijnen in. Verwijder data die niet meer nodig is.
5. Maak een procedure voor klantverzoeken: inzage, correctie en verwijdering.

De rode draad: AVG-compliant AI gebruiken is geen raketwetenschap. Het vraagt vijf concrete acties. Als je die afwerkt, kun je AI inzetten met een gerust gevoel en een schone administratie.

Wil je weten of jouw data ook echt veilig blijft bij het gebruik van AI-tools? Lees blijft je bedrijfsdata veilig bij AI? en, voor de bredere regelgeving, de EU AI Act uitgelegd voor het mkb. Nog niet begonnen met AI? Bekijk waar je als mkb het beste kunt starten.