Kort antwoord
Ja, AI-automatisering kan binnen de AVG, maar het gaat niet vanzelf. Let op drie dingen: stuur alleen de gegevens naar de AI die echt nodig zijn, weet waar de gegevens worden opgeslagen, en leg afspraken vast in een verwerkersovereenkomst. Met die drie op orde automatiseer je met een gerust hart.
Dit artikel is praktische uitleg, geen juridisch advies. Twijfel je over jouw situatie, vraag het dan na bij een jurist of kijk op de site van de Autoriteit Persoonsgegevens.
Waar gaat het mis met AI en privacy?
Meestal niet bij de techniek, maar bij gemak. Een complete klantmail, een volledig cv of een dossier wordt in een AI-tool geplakt, terwijl maar een klein deel nodig was. Of niemand weet waar de gegevens daarna blijven. De oplossing is geen verbod op AI, maar een systeem dat vanaf het begin zuinig is ontworpen.
Welke vragen stel je bij elke automatisering?
| Vraag | Waarom het ertoe doet |
|---|---|
| Welke persoonsgegevens gaan naar de AI? | Hoe minder, hoe kleiner het risico. Stuur alleen wat nodig is voor de taak |
| Waar worden gegevens opgeslagen? | Binnen de EU is het eenvoudigst. Buiten de EU vraagt extra afspraken |
| Wie kan erbij? | Toegang alleen voor wie het nodig heeft, liefst per persoon geregeld |
| Hoe lang blijven gegevens bewaard? | Bewaar niet langer dan nodig, en ruim automatisch op |
| Is er een verwerkersovereenkomst? | Verplicht als een partij persoonsgegevens voor jou verwerkt |
| Wie beslist er uiteindelijk? | Bij besluiten over mensen hoort een mens het laatste woord te hebben |
Hoe ziet privacy-by-design eruit in de praktijk?
Alleen het nodige naar de AI. Bij recruitmentbureau CrossJob leest AI cv's uit om de beste kandidaten bij een vacature te vinden. Maar alleen de werkervaring gaat naar de AI, niet de rest van het cv. Een recruiter verstuurt de mails zelf.
Afgeschermd en vastgelegd. De AI-coach van Zacht in je Kracht werkt met persoonlijke informatie van cliënten. Daarom is hij alleen toegankelijk na inloggen, met toegang per persoon, en zijn de afspraken vastgelegd in een verwerkersovereenkomst.
Een mens beslist. Bij Almetaal zet de AI een conceptantwoord klaar, maar een medewerker verstuurt altijd zelf. Dat is goed voor de kwaliteit, en het houdt een mens verantwoordelijk.
Opslag in de EU. Mijn eigen belplatform Aicquisition CRM slaat database, hosting en opnames op in de EU, levert een verwerkersovereenkomst en laat je zelf instellen hoe lang opnames bewaard blijven.
Wat moet je zelf regelen?
- Je privacyverklaring. Vermeld dat je AI-diensten gebruikt en waarvoor.
- Verwerkersovereenkomsten. Met elke partij die persoonsgegevens voor jou verwerkt.
- Informeren bij opnames. Neem je gesprekken op, dan moet je de mensen die je belt daarover informeren.
- AI-geletterdheid. Sinds februari 2025 vraagt de Europese AI-verordening dat medewerkers die met AI werken, voldoende weten van wat ze gebruiken.
Hoe pak ik dit aan bij een nieuw project?
In het eerste gesprek kijk ik niet alleen naar wat er geautomatiseerd kan worden, maar ook welke gegevens daarvoor echt nodig zijn. Het systeem ontwerp ik zo zuinig mogelijk, en de afspraken leggen we vast. Meer over de opbouw van een project lees je in Wat kost AI-automatisering voor een mkb-bedrijf?
Veelgestelde vragen
Mag ik klantmails door AI laten lezen?
Dat kan, als je het zuinig en zorgvuldig inricht: alleen de nodige gegevens, duidelijke afspraken met de partijen die meelezen, en vermelding in je privacyverklaring.
Heb ik een verwerkersovereenkomst nodig als ik automatisering laat bouwen?
Als de partij die het systeem beheert persoonsgegevens voor jou verwerkt, ja. Bij Zacht in je Kracht is dat zo vastgelegd.
Is het veiliger om AI binnen de EU te gebruiken?
Opslag binnen de EU maakt het een stuk eenvoudiger, omdat de AVG daar overal geldt. Daarom kies ik waar mogelijk voor opslag in de EU.
Jurgen Claassens bouwt AI-automatiseringen voor ondernemers en mkb. Vijftien jaar operations bij Vattenfall, daarna mede-eigenaar van sales- en marketingbureaus. Bekijk zijn projecten.
