AI en de AVG: wat je als MKB-ondernemer echt moet regelen

Wie is waarvoor verantwoordelijk?

De eerste vraag die vaak verkeerd wordt beantwoord: wie is de baas over de gegevens? Het antwoord is bijna altijd jij, niet je leverancier. Jij bepaalt waarom en hoe de gegevens verwerkt worden — dat maakt je verwerkingsverantwoordelijke. De leverancier voert uit wat jij opdraagt en is daarmee verwerker.

Dat is geen formaliteit. Het bepaalt wie een datalek moet melden, wie een klant te woord staat die zijn gegevens opvraagt, en wie er wordt aangesproken als het misgaat. Bij alle drie ben jij dat.

Rolverdeling tussen jou en je AI-leverancier onder de AVG

Wat	Wie	Wat dat praktisch betekent
Doel en middelen bepalen	Jij (verantwoordelijke)	Jij besluit welk werk de AI doet en met welke gegevens
Uitvoeren van de verwerking	Leverancier (verwerker)	Alleen binnen jouw instructie, vastgelegd in een verwerkersovereenkomst
Datalek melden aan de toezichthouder	Jij	Binnen 72 uur; de verwerker meldt het onverwijld aan jou
Verzoek van een betrokkene beantwoorden	Jij	De verwerker moet je daarbij kunnen helpen
Subverwerkers inschakelen	Leverancier, met jouw toestemming	Vraag welke partijen dat zijn en waar ze draaien

De grens waarboven een mens moet beslissen

Een AI die antwoorden opstelt en afspraken inplant, doet uitvoerend werk. Zodra hij besluiten neemt die iemand raken, verandert dat. Artikel 22 van de AVG verbiedt als hoofdregel besluiten die uitsluitend op geautomatiseerde verwerking berusten en iemand in aanmerkelijke mate treffen.

De Nederlandse Uitvoeringswet maakt daarop in artikel 40 een uitzondering, maar alleen in nauw omschreven gevallen: wanneer de besluitvorming noodzakelijk is om te voldoen aan een wettelijke verplichting of voor een taak van algemeen belang, en uitdrukkelijk niet op basis van profilering. Voor de meeste MKB-toepassingen betekent dat: laat de AI het werk voorbereiden en afhandelen, en houd een mens in de lus zodra een besluit iemand echt raakt.

Praktisch valt het mee. Een bestelling annuleren, een adres wijzigen of een afspraak inplannen zijn geen besluiten in de zin van artikel 22 — dat is uitvoering van wat al is afgesproken. Een aanvraag afwijzen of iemand voorrang geven op basis van een profiel is dat wél.

Hoe lang mag je bewaren?

Twee bewaartermijnen lopen door elkaar en dat veroorzaakt de meeste verwarring. De AVG zegt: niet langer dan nodig voor het doel. De fiscale bewaarplicht zegt: sommige gegevens moet je juist jarenlang houden. Die twee spreken elkaar niet tegen, ze gaan over verschillende gegevens.

De Belastingdienst schrijft dat je voor het bepalen van de start van de bewaartermijn de actuele waarde van een gegeven gebruikt: zolang gegevens actueel blijven horen ze bij de administratie, en pas als die actualiteitswaarde vervalt begint de termijn te lopen. Een contract van vier jaar bewaar je dus vier jaar plus zeven.

Voor de berichten die een AI verwerkt geldt dat niet: dat is klantcontact, geen administratie. Die mogen — en horen — een veel kortere retentie te hebben. De factuur die uit dat contact voortkomt blijft wel gewoon in je boekhouding.

Wat je concreet moet regelen

Vier dingen, en ze zijn geen van alle groot werk:

1. Een verwerkersovereenkomst met je leverancier, waarin staat wat er verwerkt wordt, waarvoor, hoe lang en met welke subverwerkers.
2. Een grondslag voor de verwerking. Bij klantcontact is dat meestal de uitvoering van een overeenkomst of een gerechtvaardigd belang — leg vast welke je gebruikt.
3. Een vastgelegde grens voor wat de AI zelfstandig mag beslissen, met een mens erboven.
4. Een retentietermijn voor de berichten zelf, los van je fiscale administratie.

Dit artikel is geen juridisch advies en vervangt geen toetsing van je eigen situatie. Wat het wel doet: de vragen scherp maken die je aan een leverancier hoort te stellen voordat je iets aanzet.