BIO2 en AI-gebruik: welke maatregelen raken ChatGPT en Copilot?
De BIO2 noemt AI nergens, maar acht overheidsmaatregelen gaan over AI-diensten die medewerkers gebruiken, van de inventaris in 5.09.01 tot de training in 6.03.02.
Lees het artikel Onderwerp
Compliance en AI
Wat de AVG, de AI Act, NIS2, ISO 27001 en sectorregels betekenen zodra je team AI gebruikt.
Kort antwoord
Compliance-kaders noemen AI zelden bij naam, maar ze gelden allemaal zodra een medewerker persoonsgegevens of vertrouwelijke informatie in een AI-tool plakt. De AVG regelt persoonsgegevens, de AI Act het systeem, NIS2 verhoogt de eisen aan governance en incidenten, en ISO 27001, de BIO en NEN 7510 vragen om organisatorische maatregelen en bewustzijn. Het gedeelde praktische antwoord is dataminimalisatie op het moment van typen.
De meeste regels waar organisaties zich aan houden zijn geschreven voor het tijdperk van alledaagse generatieve AI. Ze gelden nog steeds. Een BSN in een prompt is een persoonsgegeven onder de AVG. Een zorgdossier in een chatbot is een bijzonder persoonsgegeven onder NEN 7510. Een incident met een publieke AI-tool kan een meldplicht onder NIS2 worden.
Deze gidsen vertalen elk kader naar dezelfde praktische vraag: welke gegevens mogen je organisatie verlaten, en hoe houd je de rest uit een AI-tool. Ze behandelen de AVG, de EU AI Act, NIS2, ISO 27001, en de BIO en NEN 7510 voor overheid en zorg.
De rode draad in alle kaders is dataminimalisatie en bewustzijn op het moment dat gegevens worden gedeeld. Een signaal in het tekstveld, zodat degene die typt gevoelige gegevens kan maskeren of verwijderen voordat hij verzendt, ondersteunt de organisatorische maatregelen die deze kaders vragen, zonder de inhoud van privégesprekken te lezen.
Artikelen in dit onderwerp
Wanneer is een AI-toepassing hoog risico onder de AI Act?
Hoog risico hangt af van het doel van een AI-systeem, niet van de techniek. Welke punten uit bijlage III werkgevers raken, en wat artikel 6 lid 3 uitzondert.
Lees het artikel
Hoe toon je AI-geletterdheid aan?
Een presentielijst bewijst de trainingsdag; een auditor vraagt naar de maandag erna. Drie soorten bewijs voor AI-geletterdheid en wat elk wel en niet zegt.
Lees het artikel
AI-geletterdheid voor onderwijspersoneel: wat vraagt de AI Act van scholen?
Artikel 4 van de AI-verordening geldt ook voor scholen, zonder cursus of certificaat. Wat het wel vraagt, en wat toereikend betekent per rol in de school.
Lees het artikel NEN 7510 in 2026: de nieuwe norm, de deadlines en wat de zorg nu regelt
Wat de herziene NEN 7510:2024 van zorgaanbieders vraagt, de certificeringsdeadline van februari 2027 en hoe de Cyberbeveiligingswet daarop aansluit.
Lees het artikel Moet iedere medewerker een AI-training volgen?
Artikel 4 vraagt maatregelen per rol en context, niet één cursus voor iedereen. Wat voor elke medewerker geldt, wat per rol verschilt en wat erbij hoort.
Lees het artikel De Cyberbeveiligingswet is er: wat NIS2 vanaf 15 augustus van je vraagt
Vanaf 15 augustus 2026 gelden zorgplicht, meldplicht en registratieplicht uit de Cyberbeveiligingswet voor ruim 8.000 organisaties. Wat je nu regelt.
Lees het artikel AI-geletterdheid in 2026: wat wordt er echt van organisaties gevraagd?
Artikel 4 van de AI-verordening schrijft geen training, certificaat of uurnorm voor. Wat er wel staat, wat toereikend per rol betekent en wat je vastlegt.
Lees het artikel
AI bij financiële dienstverleners: klantgegevens beschermen onder toezicht
Een gespreksverslag vol BSN's en rekeningnummers staat zo in ChatGPT. Wat dat betekent onder AFM-toezicht, en hoe je grip houdt zonder AI te verbieden.
Lees het artikel
Is een AI-register verplicht onder de AI Act?
Nee, er is geen register dat elke organisatie moet bijhouden. Wel kennen de AI-verordening en de AVG registratie- en documentatieplichten. Welke dat zijn, en waarom je toch een register wilt.
Lees het artikel De EU AI Act voor werkgevers: wat moet je praktisch regelen?
De meeste werkgevers gebruiken AI, ze bouwen het niet. Wat de AI-verordening dan van je vraagt, wat nu al geldt, wat vanaf december 2027 geldt en waar ChatGPT onder valt.
Lees het artikel Is AI-geletterdheid verplicht?
Ja, sinds 2 februari 2025. Wat artikel 4 van de AI-verordening na de Digital Omnibus vraagt, wat per rol past en wat er niet in staat: geen certificaat of uurnorm.
Lees het artikel Anonimiseren, pseudonimiseren, maskeren: drie woorden, drie gevolgen
Alleen echt geanonimiseerde gegevens vallen buiten de AVG. De andere twee zijn nuttig en veranderen niets aan je verplichtingen.
Lees het artikel ChatGPT en de AI Act: wat verandert er voor gebruikers op het werk?
De zware plichten liggen bij OpenAI, niet bij jou. Wat de AI-verordening wel verandert voor wie ChatGPT op het werk gebruikt, en wat je organisatie moet regelen.
Lees het artikel
Een AI-tool goedkeuren: welke vragen stel je de leverancier?
Zes vragen, met per vraag wat een goed antwoord is en wat een ontwijkend antwoord is. Bedoeld om te gebruiken, niet om te archiveren.
Lees het artikel AI-register en het register van ICT-derden: hoe houd je ze op één lijn?
Het DORA-register van ICT-derden en het AI-register noemen dezelfde leveranciers. Hoe je dubbel werk voorkomt en beide voedt met wat er gebruikt wordt.
Lees het artikel
Heb je een verwerkersovereenkomst nodig voor een AI-tool?
Verwerkt een AI-leverancier persoonsgegevens namens jou, dan is een verwerkersovereenkomst meestal verplicht. Wanneer dat zo is en wat erin moet.
Lees het artikel Wie is verantwoordelijk voor AI-geletterdheid: HR, IT of de FG?
De plicht ligt bij de organisatie, niet bij een afdeling. Waar HR, IT en de FG elk voor staan, wie het bewijs bewaart en waarom "de FG regelt het wel" niet werkt.
Lees het artikel
AI en DORA: waar AI-tools in je ICT-risicobeheer horen
Onder DORA is ook de chatbot die een adviseur zelf vond een ICT-dienst van een derde. Waar AI-tools in je ICT-risicobeheer thuishoren en wat je vastlegt.
Lees het artikel Kan één AI-tool zowel laag als hoog risico zijn?
Ja. Het risico hangt af van waarvoor je de tool gebruikt, welke gegevens erin gaan en onder welk account. De AI-verordening kijkt naar het doel, niet naar de naam.
Lees het artikel
AI-geletterdheid binnen gemeenten: wie moet wat kunnen?
Toereikende AI-geletterdheid verschilt per rol. Wat balie, beleidsadviseur, jeugdconsulent, IT en bestuur moeten weten, en hoe een gemeente het aantoont.
Lees het artikel AVG en AI: welke maatregelen vraagt de wet bij AI-gebruik?
De AVG noemt AI niet, maar geldt zodra je persoonsgegevens in een AI-tool zet. De zeven maatregelen op een rij, van grondslag en dataminimalisatie tot DPIA.
Lees het artikel AI-governance en de BIO: waar AI-gebruik in de baseline past
De BIO noemt AI niet. Dagelijks AI-gebruik bij een gemeente valt onder vier thema's die er al in staan: classificatie, leveranciers, bewustwording en logging.
Lees het artikel NIS2 en AI: wat betekent de richtlijn voor je AI-gebruik?
NIS2 verhoogt de eisen aan cybersecurity, governance en incidentmelding. Waarom AI-tools bij je aanvalsoppervlak en je toeleveringsketen horen.
Lees het artikel ISO 27001 en AI: hoe past AI-gebruik in je ISMS?
ISO 27001 noemt AI niet, maar vraagt wel om beleid, classificatie, leveranciersbeheer, bewustwording en datalekpreventie. Zo breng je AI-gebruik daaronder.
Lees het artikel BIO en NEN 7510: AI en privacy in overheid en zorg
De overheid werkt met de BIO, de zorg met NEN 7510. Beide vragen om een strikte omgang met gevoelige gegevens. Wat dat betekent zodra medewerkers AI-tools gebruiken.
Lees het artikel FAQ
Veelgestelde vragen
Noemen deze kaders AI rechtstreeks?
Meestal niet. De AVG, NIS2, ISO 27001, de BIO en NEN 7510 zijn ouder dan alledaagse generatieve AI, maar ze gelden zodra persoonsgegevens of vertrouwelijke informatie in een AI-tool belanden. De EU AI Act is het enige kader dat specifiek voor AI-systemen is geschreven.
Wat is de gedeelde praktische maatregel?
Dataminimalisatie en bewustzijn op het moment van gebruik. Houd persoonsgegevens en vertrouwelijke informatie uit prompts, leg vast wat je doet, en maak de veilige route de makkelijke route zodat mensen die onder tijdsdruk volgen.
Is BeeSensible zelf gecertificeerd?
De infrastructuur waarop BeeSensible draait is ISO 27001-gecertificeerd. BeeSensible zelf is dat niet. BeeSensible ondersteunt je maatregelen door gevoelige gegevens zichtbaar te maken voordat ze worden verstuurd, maar vervangt je eigen compliancewerk niet.
Bekijk hoe BeeSensible werkt
Gevoelige gegevens krijgen een markering terwijl je typt, in de tools waarin je team al werkt. Jij bepaalt wat ermee gebeurt voordat je verstuurt.
