AI en de AVG voor het mkb: tien vragen en antwoorden

1. Geldt de AVG voor AI?

Ja, als er persoonsgegevens in zitten. Persoonsgegevens zijn alle gegevens over een identificeerbare persoon, zoals namen, e-mailadressen en klantdossiers (AVG, artikel 4). Het maakt niet uit of een mens of een AI ze verwerkt. Staat er niets over personen in, zoals bij een productprijslijst, dan geldt de AVG niet.

2. Welke grondslag heb je nodig?

Artikel 6 noemt zes grondslagen, waaronder toestemming, uitvoering van een overeenkomst, een wettelijke verplichting en gerechtvaardigd belang. Kies per verwerking de grondslag die past en leg die vast. Gebruik je AI om bestaande klantvragen te beantwoorden, dan is dat doorgaans een voortzetting van het doel waarvoor je de gegevens al had; toets dat per situatie.

3. Heb je een verwerkersovereenkomst nodig?

Ja, als een leverancier namens jou persoonsgegevens verwerkt. Artikel 28 verplicht een schriftelijke overeenkomst met afspraken over doel, beveiliging, subverwerkers en teruggave of verwijdering. Match-AI biedt een verwerkersovereenkomst aan.

Bekijk de verwerkersovereenkomst van Match-AI

4. Wanneer is een DPIA nodig?

Een gegevensbeschermingseffectbeoordeling (DPIA, artikel 35) is verplicht als een verwerking waarschijnlijk een hoog risico meebrengt, bijvoorbeeld bij grootschalige verwerking van bijzondere persoonsgegevens, systematische monitoring of geautomatiseerde besluiten met grote gevolgen. De Autoriteit Persoonsgegevens publiceert een lijst met verwerkingen waarvoor een DPIA verplicht is. Controleer die lijst voor jouw toepassing.

5. Mag je gegevens buiten de EU laten verwerken?

Alleen onder voorwaarden. Hoofdstuk V van de AVG (artikelen 44 tot en met 49) regelt doorgifte naar landen buiten de EU, bijvoorbeeld met een adequaatheidsbesluit of standaardcontractbepalingen. Verwerking binnen de EU voorkomt veel vragen. Vraag je leverancier waar de gegevens en de modellen draaien.

6. Wat als er bijzondere persoonsgegevens in zitten?

Gezondheid, afkomst, geloof en dergelijke vallen onder artikel 9 en mogen alleen worden verwerkt als er een uitzondering geldt. Zet zulke gegevens niet zomaar in een AI-tool; regel eerst grondslag, beveiliging en eventueel een DPIA.

7. Mag AI beslissingen over mensen nemen?

Artikel 22 geeft mensen het recht om niet te worden onderworpen aan een uitsluitend geautomatiseerde beslissing met rechtsgevolgen of vergelijkbaar grote gevolgen, met uitzonderingen. Een AI die voorbereidt terwijl een mens beslist, past hier beter bij. Dat is ook hoe een AI-collega van Match-AI werkt.

8. Wat moet je klanten en medewerkers vertellen?

Artikelen 13 en 14 vragen om duidelijke informatie over wat je met gegevens doet, ook als daar AI bij komt. Pas je privacyverklaring aan als je AI inzet voor een nieuw doel. Praten klanten met een AI-systeem, dan vraagt ook de AI-verordening om duidelijkheid.

9. Wat doe je bij een datalek?

Een datalek met risico voor betrokkenen meld je binnen 72 uur bij de Autoriteit Persoonsgegevens (artikel 33). Leg datalekken vast en neem AI-tools mee in je verwerkingsregister (artikel 30).

10. Wat zijn de boetes?

Artikel 83 noemt boetes tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet voor de zwaarste overtredingen, afhankelijk van welk bedrag hoger is.

Hoe stel je een AI-beleid op?

• Toegestane tools: welke AI-tools mag je team gebruiken?
• Gegevens: welke gegevens mogen wel en niet in AI?
• Controle: wie controleert uitkomsten voordat ze naar klanten gaan?
• Aanspreekpunt: wie beantwoordt vragen en meldt incidenten?
• Training: hoe houd je medewerkers bij?

Wat is private AI?

Met private AI bedoelen aanbieders meestal AI die in een afgeschermde omgeving draait, bijvoorbeeld op Europese infrastructuur, zodat je gegevens niet worden gedeeld of voor training worden gebruikt. Vraag altijd na wat dat concreet inhoudt. Match-AI werkt met Europese dataverwerking en biedt daarnaast een EU-only variant, volledig op EU-infrastructuur met EU-modelroute, tegen een meerprijs.

Wat kost een AI-collega met Europese dataverwerking?

De indicatieve prijs bij Match-AI:

• AI-collega van Match-AI: vanaf €999 excl. btw per 4 weken (tot 3 personen), €1.499 voor 410 personen.
• Inwerkperiode: €999 excl. btw. We brengen samen je werk in kaart, koppelen de AI-collega aan je eigen systemen en werken hem in op echt werk van je team.
• Wat het tarief bepaalt: je organisatie, de taken en de koppelingen. We stemmen dat vooraf met je af.

Bekijk wat is inbegrepen op de prijspagina

Veelgestelde vragen over AI en de AVG