AVG-verplichtingen vertalen naar een werkbare AI-uitrol, geen totaalverbod.
De AVG verbiedt AI op het werk niet, maar vraagt wel om een grondslag, dataminimalisatie en grip op waar persoonsgegevens heen gaan. Toezichthouders leggen de verantwoordelijkheid bij de werkgever. Het praktische antwoord: laat AI toe én houd persoonsgegevens uit tools die ze niet horen te hebben.
Als iemand persoonsgegevens in een AI-tool plakt, geldt de AVG gewoon. De wet maakt geen onderscheid tussen een collega en een chatbot als ontvanger. Dat roept echte vragen op: is er een grondslag, blijft het tot het minimum beperkt, is er een verwerkersovereenkomst, en waar staan de gegevens eigenlijk?
Over de verantwoordelijkheid is de toezichthouder duidelijk. De Autoriteit Persoonsgegevens wijst naar de werkgever: het is aan de organisatie om heldere regels voor AI-gebruik op te stellen en erop toe te zien dat mensen zich eraan houden, niet aan de individuele medewerker. De EU AI Act komt daar bovenop en wordt vanaf 2025 stapsgewijs van kracht, maar voor de meeste teams zit het dagelijkse risico nog in gewone persoonsgegevens die in gewone chatbots belanden.
AI verbieden slaat meestal om in stiekem gebruik op privéapparaten. Verdedigbaarder is het omgekeerde: laat AI toe, leg het vast, en zet een controle in zodat persoonsgegevens die grens niet eens overgaan.
Deze gidsen vertalen de AVG naar een praktische uitrol: wat in je beleid hoort, hoe je omgaat met AI-gebruik door medewerkers, en de maatregelen die je in lijn houden met de regels zonder mensen af te remmen.
Artikelen in dit onderwerp
De AVG verplicht een DPIA als een verwerking waarschijnlijk een hoog risico oplevert. Generatieve AI op de werkvloer raakt vaak meerdere van de criteria tegelijk. Wanneer het moet, wat erin staat, en waarom de DPIA beschrijft maar niet aantoont.
Lees het artikel
Vlak voor 2 augustus 2026 verschoof Brussel de deadlines voor hoog-risico AI naar 2027 en 2028. De transparantieregels en de boetes gaan gewoon door. De volledige tijdlijn op een rij.
Lees het artikel
Een AI-beleid dat alleen zegt welke tools mogen, vraagt overleg. Een regeling die gegevens van medewerkers verwerkt of hun gedrag kan waarnemen, vraagt instemming. Waar de grens ligt, en hoe je de OR meeneemt voordat het knelt.
Lees het artikel
De meeste AI-beleidsstukken zijn geschreven voor de prompt: geen klantnamen typen, geen rekeningnummers plakken. Bijna geen enkel beleid zegt iets over het rapport, dossier of spreadsheet dat iemand in één keer uploadt. Dat gat is niet klein.
Lees het artikel
Een dagvaarding van de wederpartij in een gratis ChatGPT-account plakken kost tien seconden. Wat er dan met die tekst gebeurt, wat een zakelijk account verandert en wat niet, en wat je eruit haalt voordat je plakt.
Lees het artikel
Wie AI-gebruik meet en meldingen toont, verwerkt daarbij mogelijk gegevens van medewerkers. Welke grondslag daarbij past, waarom toestemming het meestal niet is, en hoe de belangenafweging in drie stappen gaat.
Lees het artikel
Een AI-beleid dat gelezen wordt, past op één pagina: acht afspraken die iemand kan opvolgen zonder een tweede vraag te stellen. Dit is zo'n pagina, met per afspraak één zin over waarom hij erin staat.
Lees het artikel
AI versnelt het HR-werk, maar HR werkt dagelijks met de meest gevoelige gegevens die een organisatie heeft. Het grootste risico zit niet in de AI zelf, maar in het moment dat een cv, een verzuimdossier of een gespreksnotitie in een open AI-tool wordt geplakt. Zeven concrete regels, en wat instellingen niet oplossen.
Lees het artikel Het hangt af van je account. Op een gratis of persoonlijk account zit er geen beheerder boven je, maar de leverancier wel. Op een zakelijk of enterprise-account kan een beheerder vaak wel bij je gesprekken via compliance- en eDiscovery-tools.
Lees het artikel
De organisatie wil weten welke AI-tools in gebruik zijn. De medewerker wil niet gevolgd worden. Dat lijkt een keuze tussen twee belangen, en het is er geen: de vraag welke tools heeft geen persoon nodig.
Lees het artikel
Wat een AVG-conforme uitrol van AI op de werkvloer vraagt: doelbinding, een DPIA waar nodig, duidelijke uitleg voor medewerkers en een markering vóór verzending.
Lees het artikel Er ligt een sector-DPIA over Microsoft 365 Copilot, en die beschrijft de dienst. Jouw DPIA beschrijft jouw gebruik ervan: de rechten, de gegevens, de koppelingen, de maatregelen, en hoe je later laat zien dat die maatregelen draaien.
Lees het artikel De AI Act en de AVG gelden naast elkaar. De AVG gaat over persoonsgegevens, de AI Act over het AI-systeem zelf. Welke datums tellen, en wat de meeste organisaties nu al moeten regelen.
Lees het artikel Een werkgever mag controleren of medewerkers AI-tools gebruiken, maar niet zomaar. De AVG stelt voorwaarden aan doel, proportionaliteit en transparantie, en de ondernemingsraad praat vaak mee.
Lees het artikelJa, zolang er een grondslag is, je de persoonsgegevens tot het minimum beperkt, en ze onder de juiste afspraken verwerkt worden. De AVG regelt hoe, niet of.
Dat kan. Zonder grondslag of verwerkersovereenkomst, en met gegevens die voor training of derden zichtbaar zijn, kan de toezichthouder het als datalek zien. Persoonsgegevens uit de tool houden neemt de vraag weg.
Vooral de werkgever. Toezichthouders verwachten dat de organisatie heldere regels voor AI-gebruik opstelt en erop toeziet. Helder beleid plus een praktische maatregel is de verdedigbare positie.
Detecteer gevoelige gegevens voordat ze je team verlaten, in elke app, in real time.
Rens, BeeSensible
Ik geef je graag een rondleiding van twintig minuten. Laat je gegevens achter, dan zoek ik een moment dat jou uitkomt. Bellen of mailen mag natuurlijk ook.