AI en AVG: wat mag je als mkb met klantdata en AI?
Erwin Berkouwer
Je mag klantdata gebruiken voor AI, als je een geldige AVG-grondslag hebt en afspraken maakt met de leverancier van de AI-tool. Zodra je klantgegevens in een AI-tool invoert, verwerk je persoonsgegevens in de zin van de AVG. Dit artikel legt uit welke regels dan gelden voor het mkb, wat een verwerkersovereenkomst is en hoe je veilig begint.
Waarom is AI en AVG nu relevant voor het mkb?
Steeds meer mkb-bedrijven zetten AI in: een chatbot die klantvragen beantwoordt, software die e-mails sorteert, een tool die klantprofielen analyseert. Zodra je klantgegevens in zulke tools invoert, ben je bezig met gegevensverwerking.
De AVG (Algemene verordening gegevensbescherming) is de Nederlandse naam voor de Europese GDPR. De wet geldt voor elk bedrijf dat persoonsgegevens van mensen in de EU verwerkt. Persoonsgegevens zijn breder dan je denkt: een naam, e-mailadres, telefoonnummer of klantnummer valt er al onder.
Ook de Europese AI-verordening (AI Act) brengt verplichtingen mee, onder meer over transparantie wanneer AI klanten direct raakt. Het is dus verstandig om je AI-gebruik nu op orde te brengen.
Welke klantdata mag je gebruiken voor AI?
De AVG verbiedt het gebruik van klantdata voor AI niet, maar stelt voorwaarden. Je hebt een geldige verwerkingsgrondslag nodig. De drie meest relevante voor het mkb:
1. Toestemming van de klant
De klant geeft expliciet toestemming voor het gebruik van zijn gegevens. Vooraf aangevinkte vakjes tellen niet: toestemming moet vrij, specifiek en ondubbelzinnig zijn. Voor AI-toepassingen is dit de lastigste grondslag, omdat klanten moeten begrijpen waarvoor ze toestemming geven.
2. Uitvoering van een overeenkomst
Je gebruikt de data om een dienst te leveren waar de klant om heeft gevraagd. Een transportbedrijf dat AI inzet om de beste bezorgroute te berekenen op basis van klantadressen, mag die adressen gebruiken. Het hoort bij de afgesproken dienst.
3. Gerechtvaardigd belang
Je hebt een legitiem zakelijk belang bij de verwerking en dat belang weegt zwaarder dan het privacybelang van de klant. Dit is een veelgebruikte grondslag voor analyse en marketing, maar ook de meest risicovolle. Leg altijd vast waarom het belang gerechtvaardigd is.
Wat mag niet zomaar?
Bijzondere categorieën persoonsgegevens (gezondheid, religieuze overtuiging, ras, politieke opvattingen) mag je in principe niet verwerken, ook niet voor AI. Een zorgpraktijk die een AI wil trainen op patiëntdossiers, of een werkgever die met AI ziekteverzuim voorspelt op basis van medische achtergrond: dat kan alleen met expliciete toestemming of een andere wettelijke uitzondering, en met extra waarborgen.
Wat betekent dit voor jouw bedrijf?
Maak een AI-scan met de UnifyAI Agent voor een geprioriteerde lijst met kansen, of lees hoe wij veiligheid en beheer van AI-agents aanpakken.
Wat is een verwerkersovereenkomst bij AI-diensten?
Gebruik je een externe AI-tool, zoals ChatGPT (OpenAI), Claude (Anthropic) of Azure AI (Microsoft)? Dan stuur je klantdata naar de servers van een derde partij. Die partij is verwerker in de zin van de AVG en jij blijft verwerkingsverantwoordelijke. De verantwoordelijkheid blijft dus bij jou.
Je moet een verwerkersovereenkomst (DPA, Data Processing Agreement) sluiten met elke AI-leverancier die klantdata voor jou verwerkt. Daarin staat onder meer:
- welke persoonsgegevens worden verwerkt
- waarvoor die data worden gebruikt, en of ze ook voor modeltraining dienen
- hoe lang de data worden bewaard
- welke beveiligingsmaatregelen gelden
- of data buiten de EU worden opgeslagen, en op welke basis
Hoe zit het bij de grote AI-aanbieders?
- OpenAI (ChatGPT): bij de zakelijke API en zakelijke abonnementen kun je een DPA sluiten en wordt je data niet gebruikt voor training. Bij de gratis consumentenversie geldt die bescherming niet. Voer daar nooit klantgegevens in.
- Anthropic (Claude): biedt via de API een DPA aan. Controleer de instellingen van je account over gebruik van data voor training.
- Microsoft Azure AI: heeft uitgebreide AVG-compliance, inclusief de mogelijkheid van opslag in de EU. Vaak een geschikte keuze voor mkb-bedrijven met strenge privacyeisen.
Praktische vuistregel: gebruik voor klantgevoelige data altijd een zakelijk abonnement of een zakelijke API, nooit een gratis consumentenversie. Meer over het kiezen van een abonnement lees je in ChatGPT voor bedrijven: privacy, AVG en veilig gebruik.
Welke AVG-checklist gebruik je voor AI in het mkb?
Ga je starten met AI en klantdata? Loop deze punten door:
- Grondslag vastgelegd: op welke AVG-grondslag verwerk je de data?
- Verwerkersovereenkomst: heb je een DPA met je AI-leverancier?
- Privacyverklaring bijgewerkt: staat erin dat je AI inzet?
- Dataminimalisatie: gebruik je alleen de gegevens die echt nodig zijn?
- Bewaarbeleid: weet je hoe lang data wordt bewaard en kun je het laten verwijderen?
- Medewerkers geïnformeerd: weten ze welke klantdata ze wel en niet in AI-tools mogen invoeren?
- Verwerkingsregister: staat de AI-toepassing erin?
Ook het aanstellen van een functionaris gegevensbescherming (FG) kan verplicht zijn. Dat hangt niet af van het aantal medewerkers, maar van wat je doet: bijvoorbeeld als je op grote schaal gevoelige gegevens verwerkt of mensen op grote schaal systematisch volgt.
Wat doe je als je twijfelt of iets mag?
Twijfel je of je bepaalde klantdata voor een AI-project mag gebruiken? Loop dan deze stappen door.
Stap 1: Minimaliseer de data
Hoe minder persoonsgegevens, hoe minder risico. Anonimiseer of pseudonimiseer waar het kan. Volstaat een klant-ID, gebruik dan geen naam en e-mailadres.
Stap 2: Controleer je DPA
Heeft je AI-leverancier een geldige verwerkersovereenkomst? Zo niet, stop dan of stap over naar een leverancier die dat wel biedt. Zonder DPA overtreed je de AVG.
Stap 3: Raadpleeg de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) publiceert richtlijnen over AI en privacy. Voor specifieke situaties kun je ook een voorafgaande raadpleging aanvragen.
Stap 4: Overweeg een DPIA
Een Data Protection Impact Assessment (DPIA) is verplicht als je op grote schaal klantprofielen maakt of gevoelige data verwerkt. Ook bij twijfel is een DPIA nuttig: je zet de risico's en maatregelen op papier.
Stap 5: Haal advies
Een AVG-adviseur of jurist met kennis van AI kost een paar uur en is goedkoper dan een boete. De Autoriteit Persoonsgegevens kan boetes opleggen tot 4% van de wereldwijde jaaromzet (of 20 miljoen euro, als dat meer is).
Wil je AI inzetten op je eigen bedrijfsdata en eerst de basis op orde hebben? Bekijk dan data op orde, of lees over aansprakelijkheid bij AI-agents en klantdata. Praat je liever met iemand, plan dan een kennismaking.
Veelgestelde vragen
Korte, heldere antwoorden die je helpen sneller beslissen.
Mag ik klantgegevens gebruiken om een AI te trainen?
Ja, maar alleen met een geldige AVG-grondslag (toestemming, een overeenkomst of gerechtvaardigd belang) en een verwerkersovereenkomst met de AI-leverancier. Bijzondere categorieën zoals gezondheidsdata zijn extra beschermd.
Moet ik mijn klanten vertellen dat ik AI gebruik?
Ja. Je privacyverklaring moet vermelden hoe je persoonsgegevens verwerkt, inclusief het gebruik van AI daarbij. Hebben AI-beslissingen rechtsgevolgen voor klanten, dan hebben zij recht op menselijke tussenkomst.
Is ChatGPT AVG-compliant?
Via de zakelijke API of een zakelijk abonnement, met een DPA, kan het. Via de gratis consumentenversie niet: voer daar geen klantgegevens in.
Wat is een verwerkersovereenkomst precies?
Een contract met je AI-leverancier dat vastlegt hoe zij jouw klantdata mogen gebruiken, beveiligen en bewaren. Zonder deze overeenkomst overtreed je de AVG.
Hoe weet ik of mijn AI-leverancier data buiten de EU opslaat?
Controleer de DPA en de privacyverklaring van je leverancier en vraag het na voordat je start. Veel aanbieders bieden EU-opslag voor zakelijke klanten, maar dat is niet overal de standaard.
