Is je bedrijfsdata veilig als je AI gaat gebruiken? Niet automatisch — het hangt af van welke tool je kiest en wat je erin stopt. Dat is het eerlijke antwoord, en het goede nieuws is dat je het grootste risico met een paar concrete keuzes wegneemt.
De meeste ondernemers stellen deze vraag te laat: pas nadat het hele team al maanden bedrijfsgegevens in een gratis chatbot plakt. Dit artikel loopt de twee dingen langs die je moet regelen — de AVG en de EU AI Act — en vertaalt ze naar concrete mkb-toepassingen, zodat je weet wat voor jóuw situatie geldt. Let op: dit is uitleg, geen juridisch advies. Voor je eigen situatie linken we naar de officiële bronnen.
Het grootste risico zit in gratis accounts
Zet nooit klant- of personeelsgegevens in een gratis of persoonlijk AI-account. Bij die versies kan je invoer gebruikt worden om het model te trainen, en dan ben je de controle over die gegevens kwijt. De Autoriteit Persoonsgegevens waarschuwde hier expliciet voor nadat er meerdere datalekken werden gemeld door medewerkers die chatbots op het werk gebruikten.
Dit is meteen de goedkoopste maatregel die je kunt nemen. Een zakelijke versie van ChatGPT of Microsoft Copilot kost een paar tientjes per gebruiker per maand en biedt wél de garanties die je nodig hebt. Het verschil tussen veilig en onveilig is hier vaak simpelweg het verschil tussen een gratis en een betaald account.
Spreek daarom binnen je bedrijf één regel af: bedrijfsgegevens alleen in goedgekeurde, zakelijke tools. Dat voorkomt het merendeel van de problemen voordat ze ontstaan.
De AVG: drie dingen die je regelt
De AVG geldt nu al en verandert niet door AI — maar AI maakt de naleving urgenter. Als je persoonsgegevens door een AI-tool laat verwerken, gelden dezelfde regels als bij elke andere leverancier. Drie dingen zet je op orde.
Sluit een verwerkersovereenkomst. Voor elke AI-leverancier die persoonsgegevens voor je verwerkt, heb je een verwerkersovereenkomst nodig (artikel 28 AVG). Die krijg je alleen bij de zakelijke versies, niet bij gratis accounts. Zonder dat contract mag je er strikt genomen geen klantgegevens in verwerken.
Check waar je data staat en of hij bewaard wordt. Kijk in welke regio de leverancier host, of je invoer contractueel wordt uitgesloten van training, en hoe lang gegevens bewaard blijven. Deze punten staan in de voorwaarden van de zakelijke versie; als je ze niet kunt vinden, is dat op zichzelf een antwoord.
Doe een DPIA bij risicovolle verwerking. Ga je op grote schaal of met gevoelige gegevens werken, dan is een data protection impact assessment verplicht (artikel 35 AVG). Voor een eenvoudige tekst-assistent is dat meestal niet nodig; voor een systeem dat beslissingen over mensen ondersteunt wel. De Autoriteit Persoonsgegevens beschrijft de regels waaraan je toetst.
De EU AI Act: wat er speelt en wanneer
De EU AI Act is nieuw en kent een tijdlijn die je moet kennen. Twee dingen zijn nu al relevant voor het MKB.
AI-geletterdheid is al verplicht. Sinds 2 februari 2025 moet je zorgen dat medewerkers die met AI werken, weten wat ze doen (artikel 4 AI Act). Dat klinkt zwaar, maar voor een mkb-bedrijf betekent het in de praktijk: breng in kaart welke tools je gebruikt, geef mensen per rol een basisuitleg, en leg vast dat je dit hebt gedaan. De Europese Commissie legt uit wat AI-geletterdheid inhoudt.
Handhaving begint 2 augustus 2026. Vanaf die datum wordt er actief gehandhaafd op de verplichtingen rond algemene AI. Zorg dat je transparant bent: laat klanten weten wanneer ze met een AI-chatbot praten of AI-gegenereerde communicatie ontvangen. Uit onderzoek van de KVK blijkt dat de meeste ondernemers hier nog nauwelijks stappen in hebben gezet — wie het nu regelt, loopt dus voor.
Toezichthouder in Nederland is de Autoriteit Persoonsgegevens. Een AI-register en een kort AI-beleid van een paar pagina's volstaan voor de meeste mkb-bedrijven; de KVK heeft daar een stappenplan voor.
Wat dit betekent per toepassing
De regels klinken abstract, dus hier zijn ze vertaald naar drie veelvoorkomende mkb-toepassingen.
Een klantenservice-chatbot op je website. Hier verwerk je persoonsgegevens (de vragen van klanten) en is transparantie verplicht: de bezoeker moet weten dat hij met AI praat. Regel een verwerkersovereenkomst met je chatbot-leverancier, kies EU-hosting, en zet een duidelijke melding in de chat. Het risiconiveau is doorgaans beperkt, mits de bot geen beslissingen over mensen neemt.
Een AI die concept-offertes of mails opstelt. Deze draait op je eigen bedrijfsdata en soms op klantgegevens. Gebruik een zakelijke versie met verwerkersovereenkomst, en laat de AI voorstellen doen die een mens controleert in plaats van automatisch verstuurt. Zolang er een mens tussen zit, blijf je weg bij de zwaardere verplichtingen.
Een AI-assistent die je mailbox doorzoekt. Dit raakt potentieel veel persoonsgegevens van derden. Hier is de keuze van de leverancier en de hostingregio het belangrijkst, en is een DPIA sneller aan de orde. Begin klein, met één afgebakend gebruik, en breid pas uit als de basis staat.
Zo begin je zonder het groot te maken
Compliance klinkt als een project, maar de eerste stappen kosten een middag. Breng in kaart welke AI-tools er in je bedrijf gebruikt worden, vervang gratis accounts door zakelijke versies met een verwerkersovereenkomst, en schrijf één A4 met de afspraken: welke tools mogen, welke data erin mag, en wie het aanspreekpunt is. Daarmee dek je het grootste deel van het risico af.
De rest — een AI-register, een uitgebreider beleid, eventueel een DPIA — bouw je daarna rustig op. Belangrijker dan volledigheid is dat je begint, want het echte risico zit in de maanden dat niemand het overzicht heeft.
Wil je hulp bij het veilig inrichten van AI in je bedrijf, of een chatbot die van begin af aan AVG-proof draait? Neem contact op. We schreven eerder over wanneer je géén maatwerk AI moet laten bouwen en over praten met je eigen data.
Veelgestelde vragen
Mag ik ChatGPT gebruiken met klantgegevens?
Alleen met een zakelijke versie en een verwerkersovereenkomst. In gratis en persoonlijke accounts kan je invoer gebruikt worden voor training, en dan mag je er geen persoonsgegevens in verwerken. Met ChatGPT Business, Enterprise of de API sluit je een verwerkersovereenkomst en kun je training uitsluiten, waardoor het wel is toegestaan mits je de overige AVG-regels naleeft.
Wat is AI-geletterdheid en moet mijn bedrijf daaraan voldoen?
AI-geletterdheid is de verplichting uit artikel 4 van de EU AI Act dat medewerkers die met AI werken begrijpen wat de tool doet en wat de risico's zijn. Ja, dit geldt sinds 2 februari 2025 ook voor het MKB. In de praktijk voldoe je eraan door je tools in kaart te brengen, mensen per rol een basisuitleg te geven en dit vast te leggen.
Wat verandert er op 2 augustus 2026?
Vanaf 2 augustus 2026 begint de actieve handhaving van de verplichtingen rond algemene AI in de EU AI Act. Zorg dat je transparant bent over AI-gebruik richting klanten en dat je een AI-register en kort AI-beleid op orde hebt. Wie nu begint, heeft ruim de tijd, want de basis is voor een mkb-bedrijf in enkele dagen te regelen.
Heb ik een DPIA nodig voor een AI-chatbot?
Voor een eenvoudige klantenservice-chatbot meestal niet, voor een AI die beslissingen over mensen ondersteunt of op grote schaal gevoelige gegevens verwerkt wel. Een DPIA (artikel 35 AVG) weegt de privacyrisico's van de verwerking. Twijfel je, ga dan uit van de zwaardere kant en leg je afweging schriftelijk vast.
Bronnen: Autoriteit Persoonsgegevens — waarschuwing chatbots, Autoriteit Persoonsgegevens — regels voor AI, Europese Commissie — AI-geletterdheid, KVK — AI-beleid maken
Klaar om dit in jouw bedrijf toe te passen?
Plan een gratis adviesgesprek en ontdek hoe wij jouw organisatie slimmer maken met AI op maat.
Plan gratis adviesgesprek
