AI en privacy: wat je als MKB'er moet weten over AVG

AI inzetten met klantdata — mag dat eigenlijk? Ja, dat mag. Maar er zijn regels. En die regels zijn minder ingewikkeld dan je denkt, als je weet waar je op moet letten.

De basis: wat zegt de AVG?

De Algemene Verordening Gegevensbescherming (AVG) regelt hoe je persoonsgegevens mag verwerken. De kernprincipes:

1. Rechtmatigheid — Je hebt een wettelijke grondslag nodig om data te verwerken
2. Doelbinding — Je gebruikt data alleen voor het doel waarvoor je het verzameld hebt
3. Dataminimalisatie — Je verwerkt niet meer data dan nodig
4. Juistheid — De data moet kloppen
5. Opslagbeperking — Je bewaart data niet langer dan nodig
6. Integriteit en vertrouwelijkheid — Je beveiligt de data adequaat

Deze principes gelden ook als je AI inzet. AI is geen uitzondering op de wet.

Zes vragen die je moet beantwoorden

1. Welke data verwerkt de AI?

Breng in kaart welke persoonsgegevens je AI-systeem verwerkt. Denk aan:

• Klantnames en contactgegevens
• Bestelhistorie
• E-mailinhoud
• Financiële gegevens

2. Op welke grondslag?

De meest gebruikte grondslagen voor MKB:

• Uitvoering van een overeenkomst — Je verwerkt klantdata om je dienst te leveren
• Gerechtvaardigd belang — De verwerking is noodzakelijk voor je bedrijfsvoering en weegt niet zwaarder dan de privacy van de betrokkene
• Toestemming — De klant heeft expliciet toestemming gegeven

3. Waar wordt de data verwerkt?

Cruciaal bij AI: waar staan de servers? Gebruik je een Amerikaanse AI-provider, dan wordt de data mogelijk buiten de EU verwerkt. Dat kan, maar je moet extra maatregelen treffen.

Onze tip: Kies AI-providers die data binnen de EU verwerken. Dat scheelt een hoop compliance-gedoe.

4. Wie heeft toegang tot de data?

Beperk de toegang tot het noodzakelijke:

• Welke medewerkers mogen de AI-tools gebruiken?
• Heeft de AI-leverancier toegang tot je data?
• Zijn er verwerkersovereenkomsten afgesloten?

5. Hoe lang bewaar je de data?

AI-modellen leren van data. Maar dat betekent niet dat je alles voor eeuwig mag bewaren. Stel bewaartermijnen vast en handhaaf die.

6. Wat als het misgaat?

Heb je een datalekprocedure? Bij een datalek moet je binnen 72 uur melding doen bij de Autoriteit Persoonsgegevens. Zorg dat je AI-partner hier ook op is ingericht.

Praktische maatregelen

Verwerkersovereenkomst

Als een externe partij (zoals je AI-partner) persoonsgegevens verwerkt namens jou, moet je een verwerkersovereenkomst afsluiten. Dit is een juridisch document dat regelt:

• Wat de verwerker met de data mag doen
• Welke beveiligingsmaatregelen worden getroffen
• Wat er gebeurt bij beëindiging van de samenwerking

Data Protection Impact Assessment (DPIA)

Bij grootschalige of risicovolle verwerkingen ben je verplicht een DPIA uit te voeren. Dit is een risicobeoordeling die in kaart brengt wat de privacy-impact is van je AI-systeem. Voor de meeste MKB-toepassingen is een DPIA niet verplicht, maar het is wel verstandig.

Pseudonimisering en anonimisering

Waar mogelijk: verwerk geen herkenbare persoonsgegevens. Gebruik klant-ID's in plaats van namen. Aggregeer data voor analyses. Zo beperk je het risico.

Transparantie

Informeer je klanten dat je AI inzet en waarvoor. Dit kan via je privacyverklaring op de website. Geen juridisch jargon, maar heldere taal.

De AI Act: wat komt erbij?

Naast de AVG is er de Europese AI Act, die sinds 2025 gefaseerd van kracht is. De AI Act classificeert AI-systemen op risico:

• Minimaal risico: Spamfilters, aanbevelingssystemen — geen extra verplichtingen
• Beperkt risico: Chatbots — je moet aangeven dat het AI is
• Hoog risico: AI voor HR-beslissingen, kredietbeoordeling — strenge eisen
• Onaanvaardbaar risico: Sociale scoring, manipulatieve AI — verboden

Voor de meeste MKB-toepassingen val je in de categorieën minimaal of beperkt risico. Maar check het voor de zekerheid.

Geen paniek, wel actie

Privacy en AI zijn geen tegenpolen. Met de juiste maatregelen kun je AI inzetten én de privacy van je klanten respecteren. De sleutel: wees bewust van wat je doet, documenteer het, en werk met partijen die privacy serieus nemen.

Twijfel je? Vraag je AI-partner om een privacy-quickscan. In een paar uur heb je helder wat je goed doet, wat beter kan en wat je moet regelen.