Geldt de AVG ook als uw bedrijf ChatGPT of andere AI-tools gebruikt?
Ja, maar niet omdat u een AI-tool gebruikt op zich. De AVG geldt zodra u persoonsgegevens verwerkt, en dat kan net zo goed gebeuren in een tekstverwerker als in een chatbot. Het gaat er dus niet om welke tool u gebruikt, maar om wat u erin stopt en wat de tool ermee doet.
Gebruikt u AI alleen voor algemene teksten, samenvattingen van openbare informatie of programmeerhulp zonder namen, e-mailadressen of andere herleidbare gegevens, dan raakt de AVG die specifieke handeling niet. Voert u wel gegevens van klanten, sollicitanten of medewerkers in, bijvoorbeeld om een e-mail te laten opstellen op basis van een klantdossier, dan verwerkt u persoonsgegevens en gelden de gewone regels gewoon.
Waar zit het verschil precies
Het onderscheid draait om de inhoud van wat u invoert, niet om het label "AI". Een installatiebedrijf dat een offerteomschrijving laat herschrijven zonder klantnaam werkt anders dan een HR-manager die een sollicitatiebrief laat samenvatten mét naam, adres en gespreksnotities. In het eerste geval is er niets herleidbaars naar een persoon. In het tweede geval wel, en dan telt de invoer als een verwerking.
Hetzelfde geldt voor de uitkomst. Een AI-tool die op basis van ingevoerde klantgegevens een profiel of advies genereert, verwerkt die gegevens verder. Dat is relevant omdat de AVG niet alleen kijkt naar het opslaan van gegevens, maar naar elke handeling: verzamelen, invoeren, laten verwerken door een derde partij, en het gebruiken van de uitkomst.
Wie is dan de verwerker
De meeste AI-tools die bedrijven gebruiken, draaien op servers van een externe aanbieder. Voert u daar persoonsgegevens in, dan is die aanbieder in de praktijk vaak een verwerker: een partij die gegevens verwerkt in opdracht van uw bedrijf. Dat is dezelfde figuur als bij een boekhoudpakket of een CRM-systeem, alleen is het bij AI-tools minder zichtbaar omdat de invoer los tekst lijkt in plaats van een gestructureerd databestand.
De EDPB en de Autoriteit Persoonsgegevens besteden hier aandacht aan omdat het voor gebruikers vaak onduidelijk is of en hoelang ingevoerde gegevens bewaard blijven, en of ze worden gebruikt om het onderliggende model te trainen. Dat zijn vragen die u in de voorwaarden van de aanbieder terugvindt, en die bepalen of er een verwerkersovereenkomst nodig is. Twijfelt u of een overeenkomst die u al hebt ondertekend dit soort gebruik dekt, dan kunt u die in de kennisbank laten toetsen aan de hand van de AVG-tekst.
Wanneer het u niet raakt
Gebruikt uw bedrijf AI uitsluitend voor taken zonder herleidbare gegevens, zoals het genereren van algemene marketingteksten, het vertalen van openbare productinformatie of het samenvatten van eigen interne processen zonder namen, dan is er voor die specifieke toepassing geen verwerking van persoonsgegevens en dus ook geen aanvullende verplichting vanuit de AVG. Dat betekent niet dat AI-gebruik in het algemeen buiten schot blijft; het betekent dat u per toepassing moet kijken wat er feitelijk wordt ingevoerd.
Wat dit in de praktijk betekent voor uw registratie
Zodra een AI-tool persoonsgegevens verwerkt, hoort die verwerking net als elke andere in het verwerkingsregister thuis: welk doel, welke gegevens, welke bewaartermijn en welke partij de tool levert. Veel bedrijven vergeten dit omdat AI-gebruik vaak ad hoc ontstaat, via een los account van een medewerker, zonder dat het als "systeem" wordt gezien. Toch telt het net zo mee als een CRM of een salarissysteem.
Of uw bedrijf hier concreet mee te maken heeft, hangt af van hoe AI binnen uw organisatie wordt gebruikt en door wie. Een directeur die zelf af en toe een tekst laat controleren zonder klantgegevens zit anders in dit vraagstuk dan een HR-afdeling die sollicitatiegegevens laat samenvatten. Bij twijfel is het geen overbodige stap om dit met een jurist of de Autoriteit Persoonsgegevens te bespreken, zeker wanneer gevoelige gegevens zoals gezondheids- of financiële informatie in het spel zijn.
Wilt u snel scherp krijgen of het AI-gebruik binnen uw bedrijf onder de AVG valt en wat daarbij hoort? Doe de gratis quick-scan met een paar vragen en een directe indicatie, bekijk hoe de onderliggende bronnen zijn opgebouwd via een toelichting op waar de informatie vandaan komt, of lees de veelgestelde vragen als u eerst wilt zien hoe andere ondernemers hiermee omgaan.