AI-agent en de AVG: wat regel je voor privacy?

In het kort

De AVG verbiedt AI-agents niet. Verwerkt je agent persoonsgegevens, dan gelden dezelfde regels als voor elk ander systeem. Leg vooraf vast waarvoor je de gegevens gebruikt en op welke grondslag. Geef de agent zo min mogelijk gegevens en sluit een verwerkersovereenkomst met de aanbieder. Check of een DPIA nodig is en vertel klanten eerlijk dat je AI gebruikt. Twijfel je? Vraag een privacyjurist.

Let op: dit is algemene informatie, geen juridisch advies. Ik ben geen jurist. Regels en uitleg kunnen veranderen. Lees daarom de officiële bronnen onderaan deze pagina, en vraag bij twijfel een privacyjurist of je functionaris gegevensbescherming. Vragen of een fout gezien? Mail randall@robotxperience.com.

Mag een agent eigenlijk de mail van je klanten lezen? Die vraag komt terug zodra een AI-agent echt werk gaat doen. Het korte antwoord: ja, dat kan, maar de privacyregels gelden gewoon. Ook als software het werk doet in plaats van een collega.

Op deze pagina zet ik de vragen op een rij die je beantwoordt voordat een agent persoonsgegevens ziet. Bij elke vraag staat een link naar de Autoriteit Persoonsgegevens (AP) of naar de tekst van de AVG zelf.

Wanneer gaat de AVG over jouw agent?

De AVG geldt zodra je agent persoonsgegevens verwerkt. Dat is alle informatie over een persoon die je kunt identificeren (artikel 4 van de AVG). Een naam in een mail, een telefoonnummer in een aanvraag of een adres op een werkbon telt allemaal mee. Lezen, sorteren, samenvatten en opslaan zijn allemaal verwerken.

De AP noemt de AVG techniekneutraal. Het maakt niet uit of een mens, een spreadsheet of een algoritme de gegevens verwerkt. Lees Algoritmes, AI en de AVG bij de AP.

Situatie	Persoonsgegevens?	Waar je op let
Agent schrijft een algemene tekst over je vak	Meestal niet	De AVG speelt dan nauwelijks een rol.
Agent sorteert en vat de mail in je inbox samen	Ja: namen, adressen en inhoud	Doel, grondslag, verwerkersovereenkomst en beveiliging.
Agent beantwoordt vragen van klanten	Ja	Daarnaast: vertel eerlijk dat de klant met AI praat.
Agent werkt met gezondheidsgegevens	Ja, bijzondere persoonsgegevens	Daarvoor gelden extra strenge regels. Vraag eerst advies.
Agent besluit zelf iets wat mensen raakt	Ja	Er gelden extra regels voor geautomatiseerde besluiten (artikel 22). Laat een mens beslissen.

Elke dinsdag één agent die echt werk doet? Meld je aan voor De Agentenradar.

Vijf vragen die je vooraf beantwoordt

Waarvoor gebruik je de gegevens? Leg het doel vast. Gebruik de gegevens daarna niet zomaar voor iets anders (doelbinding).
Op welke grondslag? De AVG noemt zes grondslagen (artikel 6), zoals toestemming, een overeenkomst en een gerechtvaardigd belang. Zonder geldige grondslag mag je de gegevens niet verwerken.
Welke gegevens zijn echt nodig? Geef de agent zo min mogelijk (dataminimalisatie). Heeft hij oude mappen of bijlagen niet nodig? Houd die dan buiten zijn bereik.
Heb je een verwerkersovereenkomst? Verwerkt een aanbieder gegevens voor jou? Dan is een verwerkersovereenkomst verplicht (artikel 28). Lees de uitleg van de AP over de verwerkersovereenkomst.
Waar staan de gegevens? Gaan gegevens naar een land buiten de Europese Economische Ruimte? Dan gelden extra regels (hoofdstuk V van de AVG). Vraag het na bij je aanbieder.

DPIA: risico's vooraf in kaart brengen

Een data protection impact assessment (DPIA) is een risicoanalyse die je doet voordat je begint. De AVG verplicht een DPIA als een verwerking waarschijnlijk een hoog risico oplevert voor de mensen om wie het gaat (artikel 35).

De AP is daarover duidelijk. Op haar pagina over AI schrijft ze dat een DPIA verplicht is als je algoritmische systemen inzet en daarbij persoonsgegevens verwerkt. Kijk bij de AP over de DPIA wat dat voor jouw situatie betekent.

Grotere schaal, gevoeligere gegevens of een agent die meer zelf beslist? Dan wordt een DPIA eerder nodig. Die afweging maak je zelf, of samen met een privacy-adviseur. Schrijf in elk geval op hoe je tot je keuze kwam.

Eerlijk zijn tegen klanten en medewerkers

Mensen hebben recht op informatie over wat je met hun gegevens doet (artikelen 13 en 14). Zet in je privacyverklaring dat je AI gebruikt, waarvoor je dat doet en wat voor aanbieder je inzet. Praat een klant rechtstreeks met een agent? Zeg dat dan ook.

Neemt een agent besluiten die mensen echt raken, zoals een aanvraag afwijzen? Dan gelden er extra regels voor geautomatiseerde besluiten (artikel 22). Op deze site hanteer ik daarom één vuistregel: de agent bereidt voor, een mens beslist.

Naast de AVG is er de Europese AI-verordening (AI Act) met eigen regels voor AI-systemen. Die vervangt de AVG niet, maar komt erbovenop. De officiële tekst staat op EUR-Lex.

Als het misgaat: datalekken

De AP kreeg meldingen van datalekken doordat medewerkers persoonsgegevens van klanten of patiënten in een AI-chatbot zetten. In één geval voerde een medewerker van een huisartsenpraktijk tegen de afspraken in medische gegevens van patiënten in. Lees het bericht van de AP: gebruik AI-chatbot kan leiden tot datalekken.

Is er toch een datalek? Dan moet je het in veel gevallen binnen 72 uur na ontdekking melden bij de AP (artikel 33). Spreek vooraf af wie in je bedrijf dat doet. Lees zo meldt u een datalek.

Een voorbeeld van deze site

Ook deze site verwerkt persoonsgegevens, namelijk je e-mailadres als je je aanmeldt voor De Agentenradar. Daarom werkt de aanmelding met een bevestigingsmail (double opt-in). Je adres wordt niet verkocht of gedeeld met adverteerders, en onder elke editie staat een afmeldlink. Hoe dat precies zit, lees je in de privacyverklaring.

Klein beginnen kan dus. Weet wat je verzamelt en waarom, en zorg dat iemand er weer uit kan.

Officiële bronnen

Zo begin je, stap voor stap

Schrijf op welke gegevens je agent gaat zien en waarvoor. Eén A4 is genoeg.
Kies een zakelijke versie van de tool. Vraag de aanbieder om de verwerkersovereenkomst en vraag waar de gegevens worden opgeslagen.
Check met de uitleg van de AP of een DPIA nodig is, en schrijf je afweging op.
Pas je privacyverklaring aan. Vertel je team welke gegevens wel en niet in AI-tools mogen.
Laat de agent eerst alleen voorbereiden. Versturen, beslissen en betalen houd je bij een mens.

Veelgestelde vragen

Mag een AI-agent persoonsgegevens verwerken volgens de AVG?

De AVG verbiedt AI niet. Verwerkt je agent persoonsgegevens, dan gelden dezelfde regels als voor elk ander systeem: een doel, een grondslag, zo min mogelijk gegevens, goede beveiliging en eerlijke informatie. Of jouw toepassing aan de AVG voldoet, hangt af van je situatie. Twijfel je? Laat je adviseren.

Heb ik een verwerkersovereenkomst nodig met de aanbieder van mijn AI-tool?

Verwerkt de aanbieder persoonsgegevens voor jou? Dan schrijft de AVG een verwerkersovereenkomst voor (artikel 28). Controleer dat voordat je begint, ook bij een gratis tool.

Moet ik klanten vertellen dat ik een AI-agent gebruik?

Mensen hebben recht op informatie over wat je met hun gegevens doet (artikelen 13 en 14 van de AVG). Zet het gebruik van AI daarom in je privacyverklaring. Praat een klant rechtstreeks met een agent? Zeg dat dan ook. De AI-verordening heeft daarnaast eigen regels over transparantie.

Mag ik klantgegevens in een AI-chatbot plakken?

De AP waarschuwt dat dit tot een datalek kan leiden, zeker als medewerkers het tegen de afspraken in doen. Maak daarom duidelijke afspraken over welke gegevens wel en niet in AI-tools mogen. Werk met een zakelijke tool en goede afspraken met de aanbieder.

Is een DPIA verplicht voor een AI-agent?

De AVG verplicht een DPIA bij een waarschijnlijk hoog risico (artikel 35). De AP schrijft dat een DPIA verplicht is als je algoritmische systemen met persoonsgegevens inzet. Lees de uitleg van de AP en schrijf je afweging op.

Waar vind ik de officiële regels?

De tekst van de AVG staat op EUR-Lex, de officiële website met Europese wetgeving. Uitleg in gewone taal vind je bij de Autoriteit Persoonsgegevens. De links staan onder het kopje Officiële bronnen.

Dit met je team oefenen of op het podium horen? Ik geef workshops voor teams en organisaties en keynotes over AI.

Voorbeelden die hierbij passen

USE CASE 01

Je inbox op orde met een AI-agent

Een agent die je mail sorteert, samenvat en antwoorden klaarzet, terwijl jij beslist wat er de deur uitgaat.

USE CASE 03

Een klantenservice-agent voor je webshop

Vragen over bestelstatus, retouren en levertijden direct beantwoord, dag en nacht, met een mens als vangnet.

USE CASE 06

Bereikbaar terwijl je buiten werkt: een telefoonagent voor vakmensen

Een AI-telefoonassistent die opneemt als jij met je handen in de grond of op het dak staat, en de klant netjes doorzet naar je agenda.

Meer gidsen: Een AI-agent voor je mkb-bedrijf: zo begin je · Een AI-agent laten maken: waar let je op? · AI-agents voor accountants- en administratiekantoren

Terug naar de basis: Wat is een AI-agent?