Met je AI-leverancier leg je in een verwerkersovereenkomst vast wat er met de persoonsgegevens gebeurt die je invoert: waar ze worden verwerkt, of je invoer wordt bewaard, hoe ze zijn beveiligd en wie verantwoordelijk is bij een lek. De AVG verplicht je die gegevens goed te beschermen — en alles wat je in een AI-tool typt, komt op een server te staan, soms in een land zonder Nederlandse privacybescherming.
Zodra je klant-, personeels- of andere persoonsgegevens in een AI-tool verwerkt, doet de leverancier dat feitelijk namens jou. In Nederland bepaalt de AVG hoe je met persoonsgegevens omgaat, en die verantwoordelijkheid blijft bij jou als bedrijf liggen — ook als de verwerking bij een externe partij gebeurt. Een verwerkersovereenkomst is het document waarin je vastlegt wát de leverancier met die gegevens mag doen en wat niet.
Gebruik je een AI-tool puur voor iets zonder persoonsgegevens, bijvoorbeeld een blog laten schrijven zonder namen of klantdetails, dan speelt dit minder. Maar de praktijk is dat medewerkers al snel e-mails, offertes of klantvragen plakken. Gratis en consumentenversies bieden zelden goede afspraken; zakelijke abonnementen doen dat vaker. Kijk daarom naar de zakelijke variant van je AI-tool voordat je met echte gegevens aan de slag gaat.
De kern van de afspraken draait om vier vragen. Eén: waar worden je gegevens verwerkt? Alles wat je invoert, slaat de AI-tool op een server, en die staat mogelijk in een land waar de Nederlandse privacywetgeving niet geldt. Vraag dus in welk land of welke regio de verwerking plaatsvindt. Twee: wat gebeurt er met je invoer? Wordt die alleen gebruikt om jouw vraag te beantwoorden, of ook bewaard en hergebruikt? Leg vast dat je gegevens niet zonder jouw toestemming voor andere doelen worden ingezet.
Drie: hoe zijn de gegevens beveiligd en wie mag erbij? Denk aan versleuteling, toegangsbeperking en het inschakelen van andere partijen door de leverancier. Vier: wie is verantwoordelijk als het misgaat? Spreek af hoe en hoe snel de leverancier je informeert bij een beveiligingsincident, zodat je zelf kunt beoordelen of je een datalek moet melden bij de AP. Leg daarnaast intern vast welke gegevens medewerkers überhaupt in een AI-tool mogen zetten — dat voorkomt dat er data weglekt die er nooit in had gemogen.
De reden dat deze afspraken tellen, zit in hoe AI-tools werken. Voer je persoonsgegevens of gevoelige bedrijfsinformatie in, dan is die informatie mogelijk niet beschermd. Je typt iets in, het komt op een server terecht, en zonder afspraken heb je geen grip op wat daarna gebeurt. Voor een creatieve tekst zonder namen is dat geen probleem, maar voor een klantenbestand of medisch dossier wel. Vraag daarom altijd door voordat je een nieuwe tool met echte gegevens vult: hoe lang worden gegevens bewaard, en kun je ze op verzoek laten verwijderen?
Daarbovenop komt de EU-AI-verordening (Verordening (EU) 2024/1689): het eerste alomvattende rechtskader voor AI, met risicogebaseerde regels voor ontwikkelaars en gebruikers. Hoe gevoeliger de toepassing, hoe zwaarder de eisen. Wil je weten waar jouw gebruik onder valt, lees dan de EU AI Act uitgelegd. En omdat het juist bij klantdata vaak misgaat, is onze gids over AI, AVG en privacy een logische volgende stap.
Kun je met een leverancier geen goede afspraken maken, behandel de tool dan alsof alles wat je invoert openbaar kan worden, en houd persoonsgegevens eruit. Leg die regel vast in een AI-beleid. Zo'n beleid is niet verplicht, maar het geeft duidelijke regels, voorkomt risico's en biedt een juridisch handvat als er tóch iets misgaat door verkeerd gebruik. Je bepaalt erin welke tools medewerkers mogen gebruiken en welke gegevens er wel en niet in mogen. Zet daar ook in wie beslist welke nieuwe tools erbij mogen komen, zodat er niet stiekem allerlei losse AI-diensten in gebruik raken.
De Autoriteit Persoonsgegevens werkt bovendien aan nieuwe AVG-richtlijnen voor generatieve AI, en sinds 2 augustus 2026 wordt duidelijker of iets AI is of echt. De regels rond AI en persoonsgegevens worden dus strenger, niet losser. Wie nu al vastlegt waar zijn data heen gaat en wat medewerkers mogen invoeren, staat straks sterker — en loopt minder risico op een boete of een datalek.
Feiten en prijzen gecontroleerd op de vermelde bronnen. AI verandert snel; kom je iets tegen dat niet meer klopt? Laat het ons weten.
Functioneringsgesprekken voorbereiden met AI: wat leg je wel en niet vast?
AI kan je helpen bij het voorbereiden van functioneringsgesprekken, maar let op privacy.
Welke AI-tools zijn AVG-vriendelijk: waar let je op bij de leverancierskeuze?
Zo kies je een AVG-vriendelijke AI-tool voor je bedrijf. Let op serverlocatie, trainingsdata, verwerkersovereenkomst en de AI-verordening.
Een AI-chatbot voor klantenservice: waar begin je en wat zijn de valkuilen?
Begin niet met de techniek maar met scope: wat mag de bot zelf afhandelen, welke klantdata mag erin en hoe voldoe je aan de AVG en de AI Act.