De AVG is van toepassing op AI zodra een AI-systeem persoonsgegevens verwerkt, of u nu een model traint, finetunet of uw team simpelweg klantgegevens in een assistent laat plakken. U hebt een gedocumenteerd doel nodig, een rechtmatige grondslag voor elke fase, een gegevensbeschermingseffectbeoordeling (DPIA) waar het risico hoog is, en een manier voor mensen om een menselijke beslissing te krijgen wanneer een geautomatiseerde beslissing hen raakt. De EU AI Act komt daar bovenop en voegt eigen verplichtingen toe, waaronder transparantie. Deze gids legt uit hoe beide samenhangen voor een B2B SaaS-bedrijf en wat u als eerste moet doen.

Dit is algemene informatie, geen juridisch advies. Uw functionaris voor gegevensbescherming of juridisch adviseur moet bevestigen hoe dit op uw bedrijf van toepassing is.

Kort samengevat

Inhoudsopgave

Hoe de AVG van toepassing is op AI

De AVG reguleert persoonsgegevens, geen technologie. Een analyse van de wet merkt op dat AI niet expliciet wordt genoemd en dat artikel 22 over geautomatiseerde besluitvorming werkt als een indirecte controle op AI. Al het overige volgt uit de algemene beginselen: rechtmatigheid, behoorlijkheid, transparantie, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking, beveiliging en verantwoordingsplicht.

Voor een SaaS-bedrijf is de praktische vraag eenvoudig. Ziet de AI namen, e-mailadressen, gebruikslogs gekoppeld aan een gebruiker, supporttickets, facturen of iets anders waarmee een persoon identificeerbaar is? Zo ja, dan is de AVG van toepassing, ook als de AI een tool is die u hebt gekocht en niet zelf hebt gebouwd.

Doel en rechtmatige grondslag, fase voor fase

De richtsnoeren van de Britse toezichthouder voor gegevensbescherming stellen dat u voor elke afzonderlijke verwerking bij de ontwikkeling en inzet van AI het doel en een passende rechtmatige grondslag moet vaststellen en documenteren voordat u iets verwerkt. Ook staat erin dat voor bijzondere categorieën persoonsgegevens een aparte voorwaarde nodig is. Die richtsnoeren gaan over de UK GDPR, die de EU-regels nauw volgt, en zijn een nuttig referentiepunt voor de logica.

Dezelfde richtsnoeren stellen dat training en inzet verschillende fasen zijn die op verschillende rechtmatige grondslagen kunnen berusten. Een grondslag die werkt voor het bouwen van een model, dekt niet automatisch het gebruik ervan op actuele klantgegevens.

Schrijf in de praktijk één regel per AI-toepassing:

  1. Wat is het doel (bijvoorbeeld het samenvatten van supporttickets)?
  2. Welke persoonsgegevens leest de AI?
  3. Wat is de rechtmatige grondslag (overeenkomst, gerechtvaardigd belang, toestemming, wettelijke verplichting)?
  4. Wie is de verwerkingsverantwoordelijke en wie is de verwerker?
  5. Waar worden de gegevens opgeslagen en verwerkt?

Wilt u in begrijpelijke taal zien hoe u een rechtmatige grondslag kiest en documenteert en de kernbeginselen toepast, dan laat dit artikel over de kernbeginselen van gegevensbescherming onder de AVG dezelfde redenering zien, toegepast op een boekingssysteem. De logica geldt ook voor AI-projecten.

Doelbinding, minimale gegevensverwerking en juistheid

De Nederlandse toezichthouder voor gegevensbescherming noemt doelbinding, minimale gegevensverwerking en juistheid als kernvereisten van de AVG voor AI. Elk daarvan heeft direct effect op hoe u bouwt.

Dezelfde Nederlandse richtsnoeren verwijzen naar artikel 32: u hebt passende technische en organisatorische maatregelen nodig, rekening houdend met de stand van de techniek, de context van de verwerking en de risico's voor personen.

Wat het EDPB zei over AI-modellen

In december 2024 publiceerde de Europese Raad voor gegevensbescherming (EDPB) Advies 28/2024 over AI-modellen. Een wetenschappelijk overzicht van het advies legt uit dat modellen die op persoonsgegevens zijn getraind, informatie over identificeerbare personen kunnen bewaren of afleiden, en dus niet zomaar als anoniem mogen worden beschouwd. Het behandelt ook hoe gerechtvaardigd belang kan worden onderbouwd nadat de training is afgerond. De les voor kopers: accepteer van een leverancier niet zomaar dat "het model anoniem is" zonder te vragen hoe dat is beoordeeld.

Waar de EU AI Act aanvult op de AVG

De twee wetten hebben verschillende wortels. Volgens een studie van het Europees Parlement is de AI Act gebaseerd op een productveiligheidsmodel, terwijl de AVG persoonsgegevens beschermt via rechten en beginselen. Dezelfde studie merkt op dat verplichtingen kunnen overlappen: een effectbeoordeling grondrechten (FRIA) en een gegevensbeschermingseffectbeoordeling (DPIA) kunnen elkaar dupliceren, en transparantie- en logboekverplichtingen kunnen overbodig zijn.

Ook de rollen verschillen. De AVG kent verwerkingsverantwoordelijken en verwerkers. De AI Act kent aanbieder, importeur, distributeur en gebruiksverantwoordelijke. Een SaaS-bedrijf kan tegelijk aanbieder zijn van de eigen AI-functies en gebruiksverantwoordelijke van het model van iemand anders, en verwerkingsverantwoordelijke of verwerker voor de betrokken persoonsgegevens. Breng per toepassing elke rol in kaart.

GDPR EU AI Act
Vertrekpunt Persoonsgegevens en de rechten van mensen Het AI-systeem en het risiconiveau
Sleutelrollen Verwerkingsverantwoordelijke, verwerker Aanbieder, gebruiksverantwoordelijke, importeur, distributeur
Typische documenten Verwerkingsregister, DPIA Technische documentatie, logs, FRIA voor bepaalde toepassingen met een hoog risico
Menselijke betrokkenheid Recht om niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen Menselijk toezicht voor systemen met een hoog risico

Enkele nationale autoriteiten hebben erop gewezen dat een systeem aan de ene wet kan voldoen en toch de andere kan schenden. Daarom is een benadering per geval nodig. De Belgische autoriteit voegt eraan toe dat de AI Act voortbouwt op de verantwoordingsplicht uit de AVG, met formele incidentmelding en human-in-the-loop-governance.

NIS2 is een derde onderdeel en gaat over cyberbeveiliging en risicobeheer voor entiteiten die binnen de reikwijdte vallen, niet specifiek over AI. Als uw bedrijf binnen de reikwijdte valt, horen de beveiligingsmaatregelen die u rond AI-systemen treft in hetzelfde risicoproces thuis. Of u binnen de reikwijdte valt, is een vraag voor uw juridisch adviseur.

Transparantieverplichtingen wanneer AI met mensen in aanraking komt

Transparantie komt in beide wetten voor, en mensen verwarren die twee vaak.

Timing is belangrijk. De AI Act Service Desk van de Commissie stelt dat de verplichtingen van artikel 50 per 2 augustus 2026 afdwingbaar werden, en dat aanbieders van systemen die vóór die datum op de markt zijn gebracht tot 2 december 2026 de tijd hebben om aan bepaalde markerings- en detectievereisten te voldoen.

Voor een SaaS-bedrijf zijn de gangbare gevallen een chatbot in uw product of supportwidget, en gegenereerde tekst of beelden die u publiceert. Geef de chatbot duidelijk aan als AI en controleer hoe uw tools gegenereerde content markeren. Voor een diepere uitleg over artikel 4 en 50 leest u onze gids over artikel 4 en 50 van de EU AI Act voor SaaS.

Supportmedewerker test een chatbot in een product

DPIA's, menselijk toezicht en geautomatiseerde besluitvorming

Drie waarborgen komen het vaakst aan bod.

DPIA. De Belgische autoriteit legt uit dat een DPIA in bepaalde gevallen verplicht is, waaronder bij verwerking met een hoog risico en bij het gebruik van nieuwe technologieën. De Nederlandse autoriteit zegt op vergelijkbare wijze dat een DPIA nodig is wanneer algoritmische systemen persoonsgegevens verwerken en de privacyrisico’s hoog zijn. Twijfelt u, voer er dan een uit. Dat is goedkoper dan achteraf uitleggen waarom u het niet deed.

Menselijk toezicht. De AI Act vereist menselijk toezicht voor systemen met een hoog risico tijdens ontwikkeling, uitrol en gebruik, en dezelfde Belgische bron zegt dat naast de FRIA-verplichting.

Geautomatiseerde besluiten. Onder de AVG hebben mensen het recht om niet te worden onderworpen aan besluiten die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen voor hen hebben. Als een AI-agent zou kunnen bepalen wie een contract, een kredietlimiet of toegang tot een dienst krijgt, ontwerp dan een stap voor menselijke goedkeuring in het proces.

Een AI Act-checklist voor SaaS-teams

Het overzicht van de AI Act door de Commissie stelt dat systemen met een hoog risico risicobeoordeling en risicobeperking, datasetkwaliteit, logging, technische documentatie, informatie voor gebruiksverantwoordelijken, menselijk toezicht, robuustheid, cyberbeveiliging en nauwkeurigheid moeten dekken. De meeste SaaS-producten hebben geen hoog risico, maar de lijst is een goede standaard voor elke AI die met gegevens van mensen werkt.

De deadlines voor systemen met een hoog risico liggen later dan velen verwachten. Volgens de FAQ van de Service Desk moeten systemen in gevoelige domeinen zoals werkgelegenheid (bijlage III) uiterlijk 2 december 2027 voldoen, en systemen die zijn ingebouwd in gereguleerde producten (bijlage I) uiterlijk 2 augustus 2028. Raadpleeg de officiële pagina voor de actuele stand van zaken, want termijnen kunnen veranderen.

Een werkbare checklist:

  1. Maak een inventaris van elk AI-gebruik. Neem ook tools mee die medewerkers op eigen initiatief zijn gaan gebruiken.
  2. Classificeer elk gebruik. Is het een chatbot, interne assistent, scoringsmodel of iets wat beslissingen over mensen neemt? Vraag uw juridisch adviseur of een toepassing een hoog risico heeft.
  3. Breng de rollen in kaart. Aanbieder, gebruiksverantwoordelijke, verwerkingsverantwoordelijke, verwerker.
  4. Leg doel en rechtsgrond vast voor elke fase.
  5. Voer een DPIA uit waar het risico hoog is.
  6. Stel rechten in. De AI mag alleen lezen en wijzigen wat de gebruiker zelf zou mogen.
  7. Voeg goedkeuringsstappen toe voor acties met echte gevolgen.
  8. Bewaar logs van wat de AI heeft gelezen, geschreven en in gang gezet.
  9. Label AI-interacties en gegenereerde content.
  10. Train mensen. Artikel 4 vraagt om AI-geletterdheid.
  11. Controleer leveranciers. Waar worden gegevens verwerkt, en worden ze gebruikt om hun modellen te trainen?
  12. Wijs een eigenaar aan. Eén met naam genoemde persoon moet verantwoordelijk zijn.

Ons AI-governanceframework voor B2B SaaS-bedrijven maakt hier een werkende structuur van.

Waar AI niet thuishoort

Goede compliance omvat ook beslissen wat AI niet mag doen. Wij zouden AI buiten deze plekken houden:

Begin met de datafundering

De meeste AVG-problemen met AI beginnen in de data, niet in het model. Als u niet kunt zeggen waar de gegevens van een klant staan, welk systeem correct is en wie ze kan lezen, kunt u geen inzage- of verwijderverzoeken honoreren en kunt u niet controleren wat een AI leest.

Daarom werken wij in een vaste volgorde:

  1. Datafundament. Uw CRM- en financiële data worden de enige bron van waarheid, waarbij de omliggende systemen worden afgestemd tot één overeengekomen versie.
  2. AI-laag. De assistent die uw team al gebruikt, wordt via MCP en binnen de rechten met die data verbonden.
  3. Afdelingsagents. Speciaal gebouwde agents voor Finance, Sales en Customer Success, zodat mensen over systemen heen kunnen vragen, rapporteren en opzoeken, en records kunnen bijwerken of processen kunnen starten, waar nodig met goedkeuring en met een audittrail.

Bouw, pilot en testen draaien op zelf gehoste Europese infrastructuur in Duitsland, en de AVG, NIS2 en de EU AI Act worden vanaf het begin als ontwerpeisen behandeld. Geen enkel ontwerp garandeert compliance, en dat oordeel blijft bij u en uw juridisch adviseur. Maar een systeem met rechten, goedkeuringen en logs maakt de vragen van toezichthouders een stuk eenvoudiger te beantwoorden. Hoe dit in de praktijk werkt, ziet u op onze pagina over AI-agents voor Finance, Sales en Customer Success, en de Admin Portal laat zien hoe toegang en goedkeuringen op één plek worden beheerd.

Onze visie

Wij zien hetzelfde patroon bij groeiende SaaS-bedrijven. Mensen gebruiken al AI, in de CRM, in support, in finance, en niemand is er eigenaar van. Niemand heeft bepaald welke data het mag lezen, niemand houdt bij wat het deed, en de privacyverklaring is geschreven voordat dit alles bestond.

Wij zijn van mening dat compliance vooral een operationeel vraagstuk is. Een privacybeleid weerhoudt een assistent er niet van een record te lezen dat hij niet mag lezen. Rechten, goedkeuringen en logs doen dat wel. Daarom beginnen wij met het datafundament, verbinden we daarna de AI-laag en bouwen we vervolgens afdelingsagents, en daarom voeren we AI proces voor proces in, te beginnen met het duurste.

Het helpt ook als één persoon zowel bepaalt waar AI rendeert als het bouwt, zodat strategie en werkend systeem niet uit elkaar groeien. Dat is het idee achter een Fractional Chief AI Officer met 25 jaar ervaring in het leiden van operaties. Wij ontwerpen vanaf de eerste dag volgens de AVG, NIS2 en de EU AI Act, en bij de overdracht bent u eigenaar van de broncode, documentatie en infrastructuur.

Wij geven geen juridisch advies, en niets wat wij bouwen garandeert compliance. Wij maken systemen beter te besturen en werken samen met uw juridisch adviseur.

Claus Nielsen

Waar te beginnen

Als AI al in gebruik is en niemand er eigenaar van is, is de eerste stap een eerlijk beeld van wat u heeft. Onze AI Readiness Assessment start vanaf €4,500 en kijkt naar uw data, uw processen en uw regelgevingsrisico, zodat u weet waar AI rendeert en waar niet. Voor doorlopend eigenaarschap kent de Fractional Chief AI Officer-retainer drie niveaus: Advisor vanaf €3,000 per maand, Operating vanaf €6,500 per maand en Embedded vanaf €11,000 per maand.

Bouwtrajecten worden geprijsd op 30% van de besparing in het eerste jaar, zodra die is gemeten en bewezen, of tegen een vaste prijs die vóór de start van het werk is afgesproken. U kunt ook een gratis kennismakingsgesprek van 30 minuten boeken via onze hoofdsite.

FAQ

Is de AVG van toepassing als wij alleen een AI-tool van een derde gebruiken?

Ja, als er persoonsgegevens in gaan. U bent meestal de verwerkingsverantwoordelijke en de toolleverancier een verwerker, dus u heeft een overeenkomst, een doel en een rechtsgrond nodig, en u moet weten waar de data wordt verwerkt. Controleer of de leverancier uw invoer gebruikt om zijn modellen te trainen.

Vervangt de EU AI Act de AVG?

Nee. Ze gelden naast elkaar. De AVG beschermt persoonsgegevens, terwijl de AI Act AI-systemen reguleert naar risiconiveau. Eén AI-use case kan verplichtingen onder beide wetten oproepen, en sommige documenten, zoals effectbeoordelingen, kunnen overlappen.

Hebben wij voor elk AI-project een DPIA nodig?

Niet per se. Een DPIA is in sommige gevallen verplicht, waaronder bij hoogrisicoverwerking en nieuwe technologieën, volgens de Belgische autoriteit. Als een AI-systeem persoonsgegevens verwerkt op een manier die mensen ernstig kan raken, voer er dan een uit. Vraag uw functionaris voor gegevensbescherming om advies als het onduidelijk is.

Wat moeten wij gebruikers vertellen over AI?

Leg onder de AVG uit welke persoonsgegevens u verwerkt en waarom. Onder artikel 50 van de AI Act, dat sinds 2 augustus 2026 afdwingbaar is, moeten mensen worden geïnformeerd wanneer zij rechtstreeks met een AI-systeem communiceren, en moet door AI gegenereerde content in machineleesbare vorm worden gemarkeerd. Uw juridisch adviseur kan bevestigen welke onderdelen op uw producten van toepassing zijn.

Kan een AI-agent zelfstandig beslissingen over klanten nemen?

Voor routinematige taken met weinig impact: ja, binnen de rechten en met logs. Voor beslissingen met rechtsgevolgen of vergelijkbaar significante gevolgen voor een persoon geeft de AVG mensen het recht om niet te worden onderworpen aan uitsluitend geautomatiseerde besluitvorming. Bouw hiervoor menselijke beoordeling in.

Bronnen