NASLAG
Wat de AVG en de AI-verordening van je vragen als je AI inzet in je bedrijf. In gewone taal, met de wetsartikelen en de bron erbij, zodat je alles zelf kunt nakijken.
Je blijft zelf verwerkingsverantwoordelijke: de AI-leverancier is verwerker en werkt in jouw opdracht. Je hebt een verwerkersovereenkomst nodig, een grondslag voor de verwerking, en een grens waarboven een mens beslist. Dat laatste is geen beleefdheid maar artikel 22 AVG.
Twee dingen raken het MKB direct. Negen praktijken zijn sinds februari 2025 volledig verboden, waaronder emotieherkenning op de werkplek. En sinds augustus 2026 moet je mensen laten weten dat ze met een machine praten. De rest van de verordening gaat vooral over hoog-risicotoepassingen die het gemiddelde MKB niet inzet.
Bij een AI die jouw klantcontact afhandelt ben jij vrijwel altijd verwerkingsverantwoordelijke en is de leverancier verwerker. Dat is geen keuze die je in een contract vastlegt: de Autoriteit Persoonsgegevens kijkt naar wie feitelijk bepaalt waarvoor en hoe de gegevens verwerkt worden. Staat er iets anders in de verwerkersovereenkomst dan wat er in werkelijkheid gebeurt, dan telt de werkelijkheid.
EU-hosting betekent dat je gegevens op servers binnen de Europese Economische Ruimte staan. Dat is relevant omdat doorgifte naar landen daarbuiten alleen mag als dat land voldoende bescherming biedt. Maar hosting is niet hetzelfde als verwerking: een leverancier kan in de EU hosten en tóch gegevens buiten de EER laten verwerken via een subverwerker of een AI-model. De vraag is dus niet alleen waar de servers staan, maar waar de gegevens langskomen.