AVG, AI Act, en jouw data. Wat je zelf moet weten.

Ik krijg de vraag steeds vaker. Niet van juristen, wel van ondernemers. "Moet ik me zorgen maken over AVG nu ik AI-tools gebruik?" En sinds kort: "en die AI Act dan?"

Kort antwoord: ja, een beetje. Niet paniek, wel aandacht.

Wat AVG eigenlijk zegt

AVG bestaat al sinds 2018. De kern is simpel: je mag niet zomaar persoonsgegevens van klanten, medewerkers of wie dan ook verzamelen, opslaan of doorgeven. Je hebt een grondslag nodig, je moet kunnen uitleggen wat je ermee doet, en je moet het op verzoek kunnen wissen.

Voor de meeste MKB-bedrijven is dit al lang geregeld. Je CRM bewaakt het, je boekhouding bewaakt het, je website heeft een cookie-banner. Niks nieuws onder de zon.

Wat wel nieuws is: zodra je een AI-tool inzet die data meestuurt naar een externe partij, komt daar een laag bij. Die tool leert mogelijk van jouw data. Of leert het niet. Dat moet je weten, want je hebt het je klanten of medewerkers mogelijk beloofd.

Wat AI Act toevoegt

AI Act is er sinds 2024 in Europa, en wordt stap voor stap van kracht. Het idee: hoe riskanter de AI, hoe meer regels. Een chatbot die klanten helpt met een simpele vraag valt in de lichte categorie. Een systeem dat medewerkers selecteert of kredietbeslissingen neemt, valt in de zware.

Voor de meeste MKB-bedrijven geldt: je zit in de lichte categorie. Maar "licht" betekent niet "niets". Je moet kunnen uitleggen wat je tool doet, op welke data het draait, en wie er verantwoordelijk is als het misgaat.

Wat ik zelf doe als ik bouw

Voor klanten houd ik drie regels aan.

Eerste: data blijft binnen de systemen van de klant waar het kan. Als een taak lokaal kan met een script, dan lokaal. Geen cloud "omdat het modern is". Een script op de eigen server is voorspelbaarder en juridisch rustiger.

Tweede: als er een externe AI-dienst nodig is, dan een die contractueel duidelijk maakt wat er met de data gebeurt. OpenAI, Anthropic, Google: ze hebben allemaal zero-retentie opties. Daar maak ik gebruik van waar mogelijk.

Derde: ik schrijf op wat er gebeurt. Welke data, welke tool, welke bewaartermijn. Niet in een pdf van 30 pagina's. In een kort document dat je zelf kunt lezen en aan een jurist kunt laten zien als die ernaar vraagt.

Wat je zelf in de gaten moet houden

Drie dingen.

Een: weet welke AI-tools je team gebruikt, ook de gratis. Iedereen heeft tegenwoordig een ChatGPT-tabblad open. Wat sturen ze daarin? Klantnamen, e-mails, contracten? Dat mag, maar je moet het weten.

Twee: check de instellingen. Standaard leert OpenAI van je input. Dat kun je uitzetten. Eén vinkje, en je data wordt niet meer gebruikt voor training. Veel ondernemers weten dit niet.

Drie: regel de verantwoordelijke. Wie in jouw bedrijf is aanspreekpunt als iemand vraagt "waar is mijn data gebleven?" Dat is geen IT-vraag, dat is een eigenaarsvraag. Eén naam, één mailbox, klaar.

Wanneer je een jurist nodig hebt

Eerlijk: voor de meeste MKB-situaties heb ik geen jurist nodig. De bovenstaande drie regels dekken 90% van wat ik zelf tegenkom.

Voor de overige 10% verwijs ik door. Als je een AI inzet die medewerkers beoordeelt, klanten screent, of krediet toekent, dan zit je in de zware AI Act-categorie. Dan heb je echt iemand nodig die het Europese recht kan lezen. Geen generalist, een specialist.

Dat is niet mijn vak. Ik bouw oplossingen die binnen de regels passen, maar ik schrijf het beleid niet.

Wat je eraan hebt

De meeste ondernemers zijn bang dat ze iets moeten doen en niet weten wat. Dat is begrijpelijk, en het is precies waarom tooling verkopers er een handel in zien: "wij regelen het allemaal voor je, voor 99 euro per maand".

Niet nodig. Drie dingen, dertig minuten werk, en je zit op orde. Weet welke tools je gebruikt, zet de juiste vlaggen uit, wijs iemand aan die de vraag kan beantwoorden. De rest is detail.

Schrijf een week op welke AI-tools je team gebruikt. Zet de namen op een rij. Kijk welke data erin gaat. Zet de vlaggen uit. En wijs iemand aan die het overzicht houdt. Daar hoeft geen consultancytraject van zes weken voor te worden gestart. Gewoon drie acties, deze week.