AI en de AVG: wat je als MKB-ondernemer echt moet regelen
Je blijft zelf verwerkingsverantwoordelijke: de AI-leverancier is verwerker en werkt in jouw opdracht. Je hebt een verwerkersovereenkomst nodig, een grondslag voor de verwerking, en een grens waarboven een mens beslist. Dat laatste is geen beleefdheid maar artikel 22 AVG.
Gepubliceerd op · Laatst bijgewerkt op
Wie is waarvoor verantwoordelijk?
De eerste vraag die vaak verkeerd wordt beantwoord: wie is de baas over de gegevens? Het antwoord is bijna altijd jij, niet je leverancier. Jij bepaalt waarom en hoe de gegevens verwerkt worden — dat maakt je verwerkingsverantwoordelijke. De leverancier voert uit wat jij opdraagt en is daarmee verwerker.
Dat is geen formaliteit. Het bepaalt wie een datalek moet melden, wie een klant te woord staat die zijn gegevens opvraagt, en wie er wordt aangesproken als het misgaat. Bij alle drie ben jij dat.
| Wat | Wie | Wat dat praktisch betekent |
|---|---|---|
| Doel en middelen bepalen | Jij (verantwoordelijke) | Jij besluit welk werk de AI doet en met welke gegevens |
| Uitvoeren van de verwerking | Leverancier (verwerker) | Alleen binnen jouw instructie, vastgelegd in een verwerkersovereenkomst |
| Datalek melden aan de toezichthouder | Jij | Binnen 72 uur; de verwerker meldt het onverwijld aan jou |
| Verzoek van een betrokkene beantwoorden | Jij | De verwerker moet je daarbij kunnen helpen |
| Subverwerkers inschakelen | Leverancier, met jouw toestemming | Vraag welke partijen dat zijn en waar ze draaien |
De grens waarboven een mens moet beslissen
Een AI die antwoorden opstelt en afspraken inplant, doet uitvoerend werk. Zodra hij besluiten neemt die iemand raken, verandert dat. Artikel 22 van de AVG verbiedt als hoofdregel besluiten die uitsluitend op geautomatiseerde verwerking berusten en iemand in aanmerkelijke mate treffen.
De Nederlandse Uitvoeringswet maakt daarop in artikel 40 een uitzondering, maar alleen in nauw omschreven gevallen: wanneer de besluitvorming noodzakelijk is om te voldoen aan een wettelijke verplichting of voor een taak van algemeen belang, en uitdrukkelijk niet op basis van profilering. Voor de meeste MKB-toepassingen betekent dat: laat de AI het werk voorbereiden en afhandelen, en houd een mens in de lus zodra een besluit iemand echt raakt.
Praktisch valt het mee. Een bestelling annuleren, een adres wijzigen of een afspraak inplannen zijn geen besluiten in de zin van artikel 22 — dat is uitvoering van wat al is afgesproken. Een aanvraag afwijzen of iemand voorrang geven op basis van een profiel is dat wél.
Hoe lang mag je bewaren?
Twee bewaartermijnen lopen door elkaar en dat veroorzaakt de meeste verwarring. De AVG zegt: niet langer dan nodig voor het doel. De fiscale bewaarplicht zegt: sommige gegevens moet je juist jarenlang houden. Die twee spreken elkaar niet tegen, ze gaan over verschillende gegevens.
De Belastingdienst schrijft dat je voor het bepalen van de start van de bewaartermijn de actuele waarde van een gegeven gebruikt: zolang gegevens actueel blijven horen ze bij de administratie, en pas als die actualiteitswaarde vervalt begint de termijn te lopen. Een contract van vier jaar bewaar je dus vier jaar plus zeven.
Voor de berichten die een AI verwerkt geldt dat niet: dat is klantcontact, geen administratie. Die mogen — en horen — een veel kortere retentie te hebben. De factuur die uit dat contact voortkomt blijft wel gewoon in je boekhouding.
Op welke grondslag verwerk je eigenlijk?
De AVG kent zes grondslagen, en je moet er vóór de verwerking één kiezen — achteraf een grondslag zoeken bij wat je al doet, is de volgorde omdraaien. Voor klantcontact via een AI vallen er in de praktijk vier af en blijven er twee over.
| Grondslag | Bruikbaar hier? | Waarom |
|---|---|---|
| Uitvoering van een overeenkomst | Ja, meestal | Een klant die over zijn bestelling mailt, heeft een overeenkomst met je |
| Gerechtvaardigd belang | Ja, met afweging | Vereist een vastgelegde belangenafweging; niet vanzelfsprekend |
| Toestemming | Zelden | Moet vrij, specifiek en intrekbaar zijn — lastig bij inkomend contact |
| Wettelijke verplichting | Nee | Geen wet verplicht je klantcontact te automatiseren |
| Vitaal belang | Nee | Gaat over leven en dood |
| Algemeen belang | Nee | Voor overheidstaken |
Praktisch komt het bijna altijd neer op uitvoering van de overeenkomst voor bestaande klanten, en gerechtvaardigd belang voor de rest. Dat tweede is geen vrijbrief: je moet kunnen laten zien dat je jouw belang hebt afgewogen tegen de privacy van de betrokkene, en dat die afweging jouw kant op viel. Zet die afweging op papier voordat het systeem aangaat, want achteraf reconstrueren overtuigt niemand.
Wat er in een verwerkersovereenkomst hoort te staan
De AVG schrijft in artikel 28 voor dat er een overeenkomst is en wat daarin geregeld moet zijn. Een leverancier die aankomt met twee A4'tjes zonder subverwerkerslijst, heeft die overeenkomst niet af. Dit zijn de onderdelen waarop je kunt nakijken:
- Onderwerp en duur van de verwerking — welke gegevens, hoe lang, en wat er gebeurt als het contract eindigt.
- Aard en doel — waarvoor de verwerker de gegevens mag gebruiken, en uitdrukkelijk waarvoor niet.
- Soort persoonsgegevens en categorieën betrokkenen — klanten, sollicitanten, medewerkers; die verschillen in gevoeligheid.
- Instructiegebondenheid — de verwerker handelt alleen op jouw instructie, en meldt het als een instructie volgens hem in strijd is met de wet.
- Geheimhouding voor iedereen die toegang heeft.
- Beveiligingsmaatregelen — concreet, niet "passende maatregelen" als enige zin.
- Subverwerkers — welke, waar, en hoe jij toestemming geeft of bezwaar maakt bij een nieuwe.
- Bijstand bij verzoeken van betrokkenen en bij datalekken.
- Teruggave of verwijdering na afloop, en de keuze is aan jou.
- Auditrecht — dat jij mag controleren of het klopt.
Loop die tien punten langs bij elke leverancier. Ontbreken er drie of meer, dan is de overeenkomst niet af — en dan ben jij degene die daarop wordt aangesproken, want jij bent verwerkingsverantwoordelijke.
Rechten van je klanten, en wat de AI daarmee te maken heeft
Een betrokkene kan inzage vragen, correctie, verwijdering, beperking, overdracht van zijn gegevens, en bezwaar maken. Je hebt in beginsel een maand om te antwoorden. Dat verandert niet doordat er een AI tussen zit — maar het wordt wel praktischer ingewikkeld, want de gegevens staan dan op meer plekken.
Drie vragen die je vooraf beantwoord wilt hebben. Kan de leverancier alle berichten van één persoon terugvinden en exporteren? Kan hij ze ook echt verwijderen, inclusief uit back-ups en logbestanden? En blijft het antwoord dat de AI ooit gaf traceerbaar, zodat je kunt uitleggen waarom er iets is gebeurd? Wie op die derde vraag nee zegt, kan een klacht niet beantwoorden.
Datalekken: wanneer de klok gaat lopen
Een datalek is niet alleen een hack. Een AI die een antwoord met klantgegevens naar het verkeerde adres stuurt, is er ook een. Je meldt bij de Autoriteit Persoonsgegevens binnen 72 uur nadat je ervan op de hoogte bent, tenzij het onwaarschijnlijk is dat het risico oplevert — en die afweging leg je vast, ook als je niet meldt.
Bij hoog risico moet je ook de betrokkenen zelf informeren. De verwerker meldt onverwijld aan jou; jij meldt aan de toezichthouder. Die volgorde is geen formaliteit: als je leverancier rechtstreeks aan de AP zou melden, verwart hij zijn rol met de jouwe, en dat is een signaal dat de rolverdeling in de praktijk niet klopt.
Wanneer je een DPIA nodig hebt
Een gegevensbeschermingseffectbeoordeling is verplicht wanneer een verwerking waarschijnlijk een hoog risico oplevert. Voor gewoon klantcontact via e-mail en WhatsApp is dat meestal niet zo. Het kantelt wel als er bijzondere persoonsgegevens bij komen — gezondheid bijvoorbeeld — of als je op grote schaal gaat profileren.
Het praktische advies: doe de toets, ook als de uitkomst is dat je er geen nodig hebt. Die conclusie zelf is namelijk het bewijs dat je erover hebt nagedacht, en dat is precies wat een toezichthouder vraagt.
Wat je concreet moet regelen
Vier dingen, en ze zijn geen van alle groot werk:
- Een verwerkersovereenkomst met je leverancier, waarin staat wat er verwerkt wordt, waarvoor, hoe lang en met welke subverwerkers.
- Een grondslag voor de verwerking. Bij klantcontact is dat meestal de uitvoering van een overeenkomst of een gerechtvaardigd belang — leg vast welke je gebruikt.
- Een vastgelegde grens voor wat de AI zelfstandig mag beslissen, met een mens erboven.
- Een retentietermijn voor de berichten zelf, los van je fiscale administratie.
Dit artikel is geen juridisch advies en vervangt geen toetsing van je eigen situatie. Wat het wel doet: de vragen scherp maken die je aan een leverancier hoort te stellen voordat je iets aanzet.