GDPR en AI: wat moet u weten in 2025
7 min leestijd
De nieuwste richtlijnen voor GDPR-compliant AI-gebruik en hoe IntraGPT hieraan voldoet.
GDPR en AI: wat moet u weten in 2025
De combinatie van kunstmatige intelligentie en de Algemene Verordening Gegevensbescherming (AVG/GDPR) is een van de meest complexe compliance-uitdagingen voor Europese bedrijven. Nu AI steeds dieper in bedrijfsprocessen integreert, worden de privacy-implicaties groter, en de risico's bij non-compliance navenant.
In dit artikel geven we een praktisch overzicht van de GDPR-vereisten voor AI-toepassingen in 2025 en hoe u compliant blijft.
De basis: GDPR en persoonsgegevens in AI
De GDPR is van toepassing zodra er persoonsgegevens worden verwerkt. Bij AI-toepassingen is dat vrijwel altijd het geval:
- Input: Gebruikers stellen vragen die persoonsgegevens kunnen bevatten (namen, BSN-nummers, medische gegevens)
- Training: Modellen die zijn getraind op datasets met persoonsgegevens
- Output: AI-gegenereerde antwoorden die persoonsgegevens reproduceren of afleiden
Volgens de Autoriteit Persoonsgegevens (AP) is het gebruik van AI-systemen die persoonsgegevens verwerken onderworpen aan alle GDPR-vereisten, inclusief doelbinding, dataminimalisatie en het recht op vergetelheid.
De 6 GDPR-principes toegepast op AI
1. Rechtmatigheid, behoorlijkheid en transparantie
U moet een geldige rechtsgrond hebben voor de verwerking. Bij AI-toepassingen is gerechtvaardigd belang (artikel 6, lid 1, sub f) de meest gebruikte grondslag, maar deze vereist een zorgvuldige belangenafweging.
Transparantie is extra complex bij AI: u moet gebruikers informeren dat er AI wordt gebruikt, hoe de AI werkt en welke data wordt verwerkt. De Autoriteit Persoonsgegevens benadrukt dat "het gebruik van AI geen excuus is voor een gebrek aan transparantie."
2. Doelbinding
Persoonsgegevens mogen alleen worden verwerkt voor het specifieke doel waarvoor ze zijn verzameld. Dit is problematisch wanneer:
- Data die voor klantenservice is verzameld, wordt gebruikt voor AI-training
- Chatgesprekken worden geanalyseerd voor productverbetering zonder expliciete toestemming
- AI-outputs worden hergebruikt voor andere doeleinden
3. Dataminimalisatie
Verwerk alleen de persoonsgegevens die strikt noodzakelijk zijn. Bij AI betekent dit:
- Strip persoonsgegevens uit prompts waar mogelijk
- Gebruik anonimiseringstechnieken voor trainingsdata
- Sla geen gespreksgeschiedenis op langer dan noodzakelijk
4. Juistheid
AI-modellen hallucineren, ze genereren soms informatie die feitelijk onjuist is. Als die hallucinatie persoonsgegevens bevat, is dat een GDPR-issue. U bent verplicht om onjuiste persoonsgegevens te corrigeren, ook als ze door AI zijn gegenereerd.
5. Opslagbeperking
Bewaar persoonsgegevens niet langer dan nodig. Dit geldt voor:
- Gespreksgeschiedenis met AI-assistenten
- Trainingsdata die persoonsgegevens bevat
- Logs van AI-interacties
6. Integriteit en vertrouwelijkheid
Beveilig persoonsgegevens met passende technische en organisatorische maatregelen:
- Encryptie (AES-256 at rest, TLS 1.3 in transit)
- Toegangsbeheer (wie mag welke data via AI opvragen?)
- Audit logging (wie heeft welke persoonsgegevens opgevraagd via AI?)
De DPIA-verplichting
Bij AI-toepassingen die systematisch persoonsgegevens verwerken is een Data Protection Impact Assessment (DPIA) verplicht. De AP heeft richtlijnen gepubliceerd die specifiek ingaan op AI:
- Beoordeel de noodzaak en proportionaliteit van de verwerking
- Identificeer risico's voor betrokkenen
- Beschrijf de maatregelen om die risico's te mitigeren
- Raadpleeg de Functionaris Gegevensbescherming (FG)
De EU AI Act en GDPR: dubbele compliance
Sinds 2025 treedt de EU AI Act gefaseerd in werking. Deze verordening legt aanvullende eisen op bovenop de GDPR:
- Risicoclassificatie: AI-systemen worden ingedeeld in risicocategorieën (minimaal, beperkt, hoog, onaanvaardbaar)
- Hoog-risico AI: Systemen voor HR-selectie, kredietbeoordeling of medische diagnostiek krijgen strenge eisen
- Transparantieverplichtingen: Gebruikers moeten weten dat ze met AI communiceren
- Documentatieverplichting: Technische documentatie over modelarchitectuur, trainingsdata en evaluatieresultaten
Praktische stappen voor GDPR-compliant AI
1. Kies voor lokale hosting
De eenvoudigste manier om GDPR-compliance te vereenvoudigen is om data binnen de EU te houden. Met IntraGPT draait uw AI op Nederlandse servers, geen datatransfer naar derde landen, geen afhankelijkheid van adequaatheidsbesluiten.
2. Implementeer data-anonimisering
Strip persoonsgegevens uit prompts voordat ze naar het model gaan. IntraGPT biedt hiervoor automatische PII-detectie en -anonimisering.
3. Stel retentiebeleid in
Definieer hoelang gespreksgeschiedenis wordt bewaard. Bij IntraGPT kunt u retentiebeleid instellen per afdeling of per use case.
4. Voer een DPIA uit
Gebruik de DPIA-template van de AP als startpunt. Documenteer uw verwerkingsactiviteiten, risico's en mitigatiemaatregelen.
5. Stel een verwerkersovereenkomst op
Als u een AI-platform als IntraGPT gebruikt, is een verwerkersovereenkomst verplicht. Wij bieden standaard een verwerkersovereenkomst die voldoet aan artikel 28 GDPR.
De risico's van non-compliance
De boetes voor GDPR-overtredingen zijn aanzienlijk:
- Tot €20 miljoen of 4% van de jaaromzet
- De AP heeft in 2024 meerdere boetes opgelegd aan organisaties die AI inzetten zonder adequate privacywaarborgen
- Reputatieschade kan groter zijn dan de boete zelf
Wilt u weten of uw AI-inzet GDPR-compliant is? Neem contact op voor een privacy-assessment of bekijk onze GDPR-pagina voor meer informatie.