AVG en AI Act in de praktijk

Gebruik je AI in je werk, dan heb je met twee Europese wetten te maken. De AVG gaat over persoonsgegevens: alle gegevens waarmee je iemand direct of indirect kunt herkennen, zoals een naam, een e-mailadres, maar ook een IP-adres. De EU AI Act kijkt niet naar de gegevens, maar naar het AI-systeem zelf en deelt het in op risico.

Voor de AVG is de belangrijkste regel bij AI simpel: zet geen echte persoonsgegevens in een gewone AI-chat. Bij de meeste chatbots wordt alles wat je intypt opgeslagen op servers van het techbedrijf, en bij gratis persoonlijke accounts kan je invoer standaard gebruikt worden om het model te trainen. Je kunt dat uitzetten in de instellingen; bij zakelijke abonnementen en de API staat training standaard uit. Haal namen, adressen en klantnummers dus uit je tekst, of vervang ze door verzonnen waarden.

Gaat het toch mis, bijvoorbeeld doordat je per ongeluk een echte klantenlijst in een chat plakt? Dan kan dat een datalek zijn. De route is dan: stop en verwijder het bericht, meld het binnen je organisatie, leg vast wat er gebeurde, en laat beoordelen of het binnen 72 uur bij de Autoriteit Persoonsgegevens gemeld moet worden. Open zijn helpt; verzwijgen maakt het juridisch erger.

De AI Act kent vier risicoklassen: onaanvaardbaar risico (verboden), hoog risico (strenge eisen), beperkt risico (je moet open zijn dat het AI is) en minimaal risico. De meeste tools die je dagelijks gebruikt, zoals een tekstassistent, vallen onder minimaal risico. Maar één regel geldt voor iedereen: de AI-geletterdheidsplicht uit artikel 4. Organisaties die AI gebruiken, moeten sinds februari 2025 zorgen dat hun medewerkers er genoeg van begrijpen om er verantwoord mee te werken. De handhaving begint vanaf augustus 2026.

In deze module leer je beide wetten praktisch toepassen op je eigen AI-gebruik: van persoonsgegevens herkennen tot risicoklassen indelen. Aan het eind schrijf je je eigen AI-beleid op één A4, met concrete regels over persoonsgegevens, tools, datalekken en scholing.

Na afloop kun je elk van deze leerdoelen aantonen — elk behaald doel komt op je certificaat te staan.

• Je geeft aan waarvoor jij AI gebruikt, zodat de voorbeelden bij jouw werk passen.
• Je weet hoe je een tekst veilig in een AI-chat zet: eerst de persoonsgegevens eruit.
• Je herkent wat een persoonsgegeven is, ook als het er niet meteen zo uitziet.
• Je herkent de vijf AVG-beginselen in gewone werksituaties.
• Je geeft de AI alleen de gegevens die echt nodig zijn en laat de rest weg.
• Je weet wanneer een AI-tool op jouw invoer traint en waar je dat uitzet.
• Je weet welke stappen je zet als er echte gegevens in een AI-chat belanden.
• Je handelt een datalek af: stoppen, melden en vastleggen.
• Je weet in welke risicoklasse van de AI Act een gewone AI-tool valt.
• Je deelt AI-toepassingen zelf in bij de juiste risicoklasse, met een reden erbij.
• Je weet welke eisen gelden als AI meebeslist over mensen, zoals menselijk toezicht.
• Je weet wat de AI-geletterdheidsplicht (artikel 4) van jouw organisatie vraagt.
• Je gebruikt aantoonbare AI-training als argument richting klanten.
• Je schrijft je eigen AI-beleid op één A4, met regels die je meteen kunt gebruiken.
• Je test je beleid op twee praktijksituaties en vult aan waar het tekortschiet.

Ongeveer 34 minuten · 9 onderdelen

Deze cursus zit in een van onze tracks en in All-Access: kies een gerichte leerlijn of de hele bibliotheek, telkens met twaalf maanden toegang. Bekijk de tarieven.

Inclusief certificaat met behaalde leerdoelen en verificatienummer.

Deze module is voor ondernemers en medewerkers die AI gebruiken in hun werk — voor teksten, klantcontact of het ordenen van gegevens — en willen weten wat daarbij wettelijk wel en niet mag. Het is de afronding van de lijn over verantwoord AI-gebruik: je brengt de AVG en de AI Act samen in één praktisch document.

Na deze module herken je persoonsgegevens, weet je welke tool-instellingen je moet controleren, ken je de stappen na een datalek en weet je in welke risicoklasse jouw AI-gebruik valt. Je hebt een eigen AI-beleid op één A4 dat je direct in je organisatie kunt gebruiken en waarmee je de geletterdheidsplicht aantoonbaar maakt.

• Per ongeluk echte klantgegevens in een AI-chat geplakt, wat nu? — Stop en verwijder het bericht meteen, meld het binnen je organisatie en leg vast wat er gebeurde. Je organisatie beoordeelt of het lek binnen 72 uur bij de Autoriteit Persoonsgegevens gemeld moet worden. Verzwijgen maakt het erger.
• Traint ChatGPT op mijn gegevens? — Bij gratis persoonlijke accounts staat trainen op je invoer vaak standaard aan; je zet het uit bij de gegevensinstellingen (Data Controls). Let op: je gespreksgeschiedenis uitzetten is niet hetzelfde. Bij zakelijke accounts en de API staat training standaard uit.
• Is een IP-adres een persoonsgegeven? — Ja. Alles waarmee je iemand direct of indirect kunt herkennen valt onder de AVG, dus ook een IP-adres of een combinatie van gegevens die naar één persoon wijst. Alleen gegevens zonder personen erin, zoals een kaal verkoopcijfer, vallen erbuiten.
• Valt mijn AI-tool onder de AI Act? — Een gewone tekstassistent valt onder minimaal risico: geen extra producteisen. Maar de AI-geletterdheidsplicht uit artikel 4 geldt voor elke organisatie die AI gebruikt, ook bij minimaal risico. In de praktijk: zorg voor aantoonbare AI-training van je mensen.