Kort antwoord: zodra je persoonsgegevens in een AI-tool zet, geldt de AVG. De Autoriteit Persoonsgegevens (AP) raadt aan eerst te kijken of je AI zonder persoonsgegevens kunt gebruiken. Maak duidelijke afspraken met je team en met de aanbieder.
Dit artikel is algemene informatie en geen juridisch advies.
Wanneer is het een datalek?
De AP kreeg meerdere meldingen van datalekken doordat medewerkers persoonsgegevens van klanten of patiënten in een AI-chatbot zetten. In één geval voerde een medewerker van een huisartsenpraktijk medische gegevens in. In een ander geval zette een medewerker van een telecombedrijf een bestand met klantadressen in een chatbot.
Volgens de AP:
- Gebruikt een medewerker een chatbot tegen de afspraken in en voert hij persoonsgegevens in, dan is dat een datalek.
- Is het gebruik wel beleid, dan is het geen datalek, maar volgens de AP vaak ook niet wettelijk toegestaan.
- De meeste bedrijven achter chatbots slaan alles op wat je invoert.
- Gaat het mis, dan is een melding bij de AP en aan de betrokkenen in veel gevallen verplicht. Een datalek meld je bij de AP binnen 72 uur nadat je het ontdekt hebt.
Wat adviseert de AP?
- Maak afspraken met je medewerkers: mag AI gebruikt worden, en zo ja, welke gegevens wel en niet?
- Regel met de aanbieder dat ingevoerde gegevens niet worden opgeslagen.
- Kijk of het zonder persoonsgegevens kan. Dat is het eerste advies in het hulpmiddel van de AP.
- Zorg dat de basis op orde is voordat je AI toegang geeft tot je bestanden: een verwerkingsregister, een overzicht van welke persoonsgegevens waar staan, en toegangsrechten per rol. Een AI-systeem mag niet meer zien dan de medewerker die het gebruikt.
- Maak afspraken met betrokken partijen. Verwerkt een AI-aanbieder persoonsgegevens voor jou, dan is die volgens de AVG een verwerker en heb je een verwerkersovereenkomst nodig (artikel 28 AVG).
- Doe zo nodig een DPIA. Het hulpmiddel van de AP vervangt geen gegevensbeschermingseffectbeoordeling (DPIA). Je moet misschien toch een DPIA doen, en de verwerking moet in je verwerkingsregister.
Het hulpmiddel van de AP
De AP heeft een gratis hulpmiddel gemaakt: Hulpmiddel inzet generatieve AI & de AVG. Je loopt per stap stellingen door, van de basis op orde tot de keuze voor een systeem en het gebruik ervan. Het is bedoeld voor organisaties die AI gebruiken, niet voor bedrijven die zelf modellen ontwikkelen. Het gaat niet over de AI Act; die lees je in De EU AI Act in het kort.
Bronnen
- Autoriteit Persoonsgegevens: Let op, gebruik AI-chatbot kan leiden tot datalekken (6 augustus 2024)
- Autoriteit Persoonsgegevens: Hulpmiddel inzet generatieve AI & de AVG (pdf)
- Autoriteit Persoonsgegevens: Datalek voorkomen en voorbereid zijn
- EUR-Lex: Algemene verordening gegevensbescherming (AVG), o.a. artikel 28 en 33
Geraadpleegd op 21 oktober 2026.