Waar de mogelijkheden rond AI snel toenemen, blijven ook de vragen over privacy en gegevensbescherming groeien. Om organisaties daarbij te ondersteunen heeft de Autoriteit Persoonsgegevens (AP) op 13 juli 2026 twee documenten gepubliceerd. Een ‘Handreiking generatieve AI en de AVG’ én een praktisch ‘Hulpmiddel generatieve AI en de AVG+GR’. Met deze documenten geeft de AP voor het eerst uitgebreid richting aan de manier waarop ontwikkelaars én organisaties generatieve AI kunnen inzetten binnen de kaders van de AVG.
Waarom komt de AP met deze richtlijnen?
Veel generatieve AI-systemen verwerken persoonsgegevens. Denk aan persoonsgegevens die worden gebruikt voor het trainen van modellen, prompts die medewerkers invoeren of documenten die door AI worden geanalyseerd.
Volgens de AP betekent dit niet automatisch dat AI niet gebruikt mag worden. Wel moet iedere verwerking voldoen aan de fundamentele beginselen van de AVG, zoals rechtmatigheid, transparantie, doelbinding, dataminimalisatie en passende beveiliging. De nieuwe handreiking helpt organisaties om die verplichtingen concreet toe te passen bij de ontwikkeling én het gebruik van generatieve AI.
Niet alleen voor AI-ontwikkelaars
Opvallend is dat de AP zich niet uitsluitend richt op ontwikkelaars van AI-modellen. Ook organisaties die bestaande AI-oplossingen gebruiken krijgen duidelijke handvatten.
Naast de juridische handreiking heeft de AP daarom een praktisch hulpmiddel gepubliceerd. Dit hulpmiddel helpt privacyprofessionals, projectleiders en andere verantwoordelijken stap voor stap te beoordelen of een AI-toepassing persoonsgegevens verwerkt en welke privacymaatregelen daarbij nodig zijn. De AP adviseert daarbij om eerst te onderzoeken of de gewenste AI-toepassing ook zonder verwerking van persoonsgegevens kan worden ingezet.
Wat betekent dit voor organisaties?
De publicatie onderstreept dat de inzet van generatieve AI niet uitsluitend een IT- of innovatievraagstuk is. Organisaties zullen vooraf moeten beoordelen of het gebruik van AI verenigbaar is met de AVG.
Dat betekent onder meer dat aandacht moet worden besteed aan:
de rechtsgrond voor de verwerking van persoonsgegevens;
welke persoonsgegevens daadwerkelijk noodzakelijk zijn;
de kwaliteit en herkomst van trainings- of invoergegevens;
bewaartermijnen;
beveiligingsmaatregelen;
transparantie richting betrokkenen;
de rechten van betrokkenen, zoals inzage, verwijdering en bezwaar.
Daarnaast zal in bepaalde gevallen moeten worden beoordeeld of een Data Protection Impact Assessment (DPIA) noodzakelijk is.
De AVG en de AI Act vullen elkaar aan
De nieuwe richtlijnen staan niet op zichzelf. Vanaf 2 augustus 2026 gelden bovendien verschillende transparantieverplichtingen uit de Europese AI Act. Organisaties moeten onder meer duidelijk maken wanneer gebruikers met AI communiceren of wanneer content door AI is gegenereerd of gemanipuleerd.
Waar de AI Act zich richt op de veilige en transparante inzet van AI-systemen, blijft de AVG van toepassing zodra persoonsgegevens worden verwerkt. Organisaties zullen daarom beide regelgevingskaders naast elkaar moeten toepassen.
AI-governance wordt steeds belangrijker
De publicatie van de AP laat zien dat toezichthouders verwachten dat organisaties AI op een gestructureerde manier beheersen. Dat vraagt om meer dan alleen een privacyverklaring of een intern AI-beleid.
Steeds vaker zien wij dat organisaties werken aan een bredere AI-governance, waarbij onder meer aandacht wordt besteed aan een inventarisatie van gebruikte AI-systemen, duidelijke interne richtlijnen voor medewerkers, contractuele afspraken met AI-leveranciers en periodieke evaluaties van AI-toepassingen.
Juist deze organisatorische maatregelen bepalen uiteindelijk of een organisatie kan aantonen dat zij zorgvuldig met AI omgaat.
Conclusie
Met de nieuwe handreiking en het praktische hulpmiddel maakt de Autoriteit Persoonsgegevens (https://www.autoriteitpersoonsgegevens.nl/) duidelijk dat de inzet van generatieve AI niet zonder juridische beoordeling kan plaatsvinden. Organisaties die AI ontwikkelen of gebruiken doen er verstandig aan hun AI-toepassingen tijdig tegen het licht te houden en na te gaan of deze voldoen aan de eisen van de AVG.
Gebruikt of ontwikkelt uw organisatie generatieve AI?
Dan is dit een goed moment om uw AI-governance, privacyprocessen en contracten te beoordelen. Wij adviseren organisaties regelmatig over de AVG, de AI Act en de juridische implementatie van AI binnen de organisatie.
Neem vrijbljvend contact met ons op. U kunt ons team bereiken via 06-2290646 of klik op de volgende button.