Wat de AVG, de AI Act, NIS2, ISO 27001 en sectorregels betekenen zodra je team AI gebruikt.
Compliance-kaders noemen AI zelden bij naam, maar ze gelden allemaal zodra een medewerker persoonsgegevens of vertrouwelijke informatie in een AI-tool plakt. De AVG regelt persoonsgegevens, de AI Act het systeem, NIS2 verhoogt de eisen aan governance en incidenten, en ISO 27001, de BIO en NEN 7510 vragen om organisatorische maatregelen en bewustzijn. Het gedeelde praktische antwoord is dataminimalisatie op het moment van typen.
De meeste regels waar organisaties zich aan houden zijn geschreven voor het tijdperk van alledaagse generatieve AI. Ze gelden nog steeds. Een BSN in een prompt is een persoonsgegeven onder de AVG. Een zorgdossier in een chatbot is een bijzonder persoonsgegeven onder NEN 7510. Een incident met een publieke AI-tool kan een meldplicht onder NIS2 worden.
Deze gidsen vertalen elk kader naar dezelfde praktische vraag: welke gegevens mogen je organisatie verlaten, en hoe houd je de rest uit een AI-tool. Ze behandelen de AVG, de EU AI Act, NIS2, ISO 27001, en de BIO en NEN 7510 voor overheid en zorg.
De rode draad in alle kaders is dataminimalisatie en bewustzijn op het moment dat gegevens worden gedeeld. Een signaal in het tekstveld, zodat degene die typt gevoelige gegevens kan verwijderen, vervangen of maskeren voordat hij verzendt, ondersteunt de organisatorische maatregelen die deze kaders vragen, zonder de inhoud van privégesprekken te lezen.
Artikelen in dit onderwerp
Hoog risico hangt aan het doel waarvoor een AI-systeem is bedoeld, niet aan de techniek erin. Bijlage III noemt de doelen, en een deel daarvan raakt elke werkgever: werving, beoordeling, toegang tot diensten, onderwijs.
Lees het artikel
Een presentielijst zegt iets over de dag van de training. Een auditor vraagt naar de maandag erna. Drie soorten bewijs, wat elk wel en niet aantoont, en wat je eerlijk niet onderbouwd noemt.
Lees het artikel
Artikel 4 van de AI-verordening geldt ook voor scholen, zonder cursus, certificaat of uurnorm. Wat het wel vraagt, waarom de lat in het onderwijs op sommige plekken hoger ligt, en wat toereikend per rol betekent.
Lees het artikel De zorg zit middenin twee overgangen tegelijk: de herziene NEN 7510:2024 met een certificeringsdeadline in februari 2027, en de Cyberbeveiligingswet die op 15 augustus ingaat. Wat de norm vraagt en hoe je het aantoonbaar maakt.
Lees het artikel Artikel 4 van de AI Act vraagt om maatregelen per rol en context, niet om één cursus voor iedereen. Wat wel voor elke medewerker geldt, wat per rol verschilt, en waarom de uitleg pas werkt als het besluit ook op het werkmoment zichtbaar is.
Lees het artikel Na bijna twee jaar vertraging is NIS2 in Nederland wet. Vanaf 15 augustus 2026 gelden de zorgplicht, de meldplicht en de registratieplicht voor ruim 8.000 organisaties. De tijdlijn, de plichten en wat je nu regelt.
Lees het artikel Artikel 4 van de AI-verordening geldt sinds februari 2025, maar schrijft geen training, geen certificaat en geen uurnorm voor. Wat er wel staat, wat toereikend per rol betekent, en waarom kennis het halve werk is.
Lees het artikel
Een gespreksverslag vol BSN's en rekeningnummers staat zo in ChatGPT. Wat dat betekent voor een kantoor onder AFM-toezicht, en hoe je grip houdt zonder AI te verbieden.
Lees het artikel
Nee, niet als één universeel register voor iedere organisatie. Wel gelden er registratie- en documentatieverplichtingen die afhangen van je rol en de systemen die je inzet, en de AVG vraagt haar eigen register. Wat er staat, en waarom organisaties er toch een bijhouden.
Lees het artikel De meeste werkgevers bouwen geen AI, ze gebruiken het. De AI Act noemt je dan gebruiksverantwoordelijke, en daar hoort een kortere lijst bij dan de berichtgeving doet vermoeden. Wat nu al geldt, wat vanaf december 2027 geldt, en wat ChatGPT ermee te maken heeft.
Lees het artikel Ja, sinds 2 februari 2025. Artikel 4 van de AI Act vraagt organisaties om maatregelen voor een toereikend niveau van AI-geletterdheid bij de mensen die namens hen met AI werken. Wat er niet in staat: een certificaat, een cursus of een aantal uren.
Lees het artikel Alleen echt geanonimiseerde gegevens vallen buiten de AVG. De andere twee zijn nuttig en veranderen niets aan je verplichtingen.
Lees het artikel De zware verplichtingen van de AI Act liggen bij OpenAI als aanbieder, niet bij de medewerker die ChatGPT gebruikt. Voor jou op het werk veranderen drie dingen: je organisatie moet uitleg geven, een paar toepassingen zijn verboden of hoog risico, en bij een chatbot naar buiten moet duidelijk zijn dat het AI is.
Lees het artikel
Zes vragen, met per vraag wat een goed antwoord is en wat een ontwijkend antwoord is. Bedoeld om te gebruiken, niet om te archiveren.
Lees het artikel Onder DORA houdt een financiële onderneming een register bij van haar ICT-derden. De FG houdt een AI-register bij. Dezelfde leveranciers staan in allebei, met andere velden en een andere eigenaar. Hoe je dubbel werk voorkomt en beide lijsten voedt met wat er echt wordt gebruikt.
Lees het artikel
Verwerkt een AI-leverancier persoonsgegevens namens jou, dan is hij verwerker en is een verwerkersovereenkomst (artikel 28 AVG) meestal verplicht. Gratis accounts hebben die niet. Dit is wanneer je er een nodig hebt en wat erin moet staan.
Lees het artikel Artikel 4 van de AI Act legt de plicht bij de organisatie, niet bij een afdeling. In de praktijk draagt HR de uitleg, IT het register en het werkmoment, en de FG het advies. Wie wat doet, wie het bewijs bewaart, en waarom "de FG regelt het wel" niet werkt.
Lees het artikel
DORA vraagt financiële ondernemingen om hun ICT-risico's en hun ICT-leveranciers te beheren. De chatbot die een adviseur zelf heeft gevonden is ook een ICT-dienst van een derde. Waar die in het risicobeheer landt, en wat je erover vastlegt.
Lees het artikel Ja, en dat is geen tegenstrijdigheid. Het risico van een AI-tool hangt af van waarvoor je hem gebruikt, welke gegevens erin gaan en onder welk account. De AI Act kijkt naar het doel van een toepassing, niet naar de naam van de tool.
Lees het artikel
Artikel 4 van de AI-verordening vraagt van een gemeente maatregelen voor een toereikend niveau van AI-geletterdheid. Wat toereikend betekent voor de balie, de beleidsadviseur, de jeugdconsulent, IT en het bestuur, en hoe je het aantoont.
Lees het artikel
De AVG noemt AI niet, maar geldt zodra je persoonsgegevens in een AI-tool zet. Dit zijn de concrete maatregelen: grondslag, dataminimalisatie, verwerkersrol, doorgifte en beveiliging.
Lees het artikel De BIO noemt AI niet, en hoeft dat ook niet. Het dagelijkse gebruik van chatbots en samenvattools bij een gemeente landt in vier thema's die er al staan: classificatie, leveranciersbeheer, bewustzijn en logging.
Lees het artikel NIS2 verhoogt de eisen aan cybersecurity, governance en incidentmelding. AI-tools horen bij je aanvalsoppervlak en je toeleveringsketen. Dit is hoe NIS2 en AI-privacy samenkomen.
Lees het artikel ISO 27001 noemt AI niet, maar de standaard vraagt om beleid, classificatie, leveranciersbeheer, bewustzijn en preventie van datalekken. Zo breng je AI-gebruik onder die controls.
Lees het artikel Overheid werkt met de BIO, zorg met NEN 7510. Beide vragen om strenge omgang met gevoelige gegevens. Dit is wat dat betekent zodra medewerkers AI-tools gaan gebruiken.
Lees het artikelMeestal niet. De AVG, NIS2, ISO 27001, de BIO en NEN 7510 zijn ouder dan alledaagse generatieve AI, maar ze gelden zodra persoonsgegevens of vertrouwelijke informatie in een AI-tool belanden. De EU AI Act is het enige kader dat specifiek voor AI-systemen is geschreven.
Dataminimalisatie en bewustzijn op het moment van gebruik. Houd persoonsgegevens en vertrouwelijke informatie uit prompts, leg vast wat je doet, en maak de veilige route de makkelijke route zodat mensen die onder tijdsdruk volgen.
De infrastructuur waarop BeeSensible draait is ISO 27001-gecertificeerd. BeeSensible zelf is dat niet. BeeSensible ondersteunt je maatregelen door gevoelige gegevens zichtbaar te maken voordat ze worden verstuurd, maar vervangt je eigen compliancewerk niet.
Detecteer gevoelige gegevens voordat ze je team verlaten, in elke app, in real time.
Rens, BeeSensible
Ik geef je graag een rondleiding van twintig minuten. Laat je gegevens achter, dan zoek ik een moment dat jou uitkomt. Bellen of mailen mag natuurlijk ook.