AVG
De Europese privacywet die sinds 2018 vastlegt hoe bedrijven persoonsgegevens mogen verzamelen, opslaan en verwerken. In het Engels bekend als GDPR.
Laatst bijgewerkt op · Toegevoegd: regels over doorgifte van persoonsgegevens buiten de EU, relevant bij AI-tools op niet-EU servers.
De Algemene Verordening Gegevensbescherming (AVG) is de Nederlandse term voor wat internationaal de GDPR heet: General Data Protection Regulation. De wet is sinds 25 mei 2018 van toepassing in alle EU-lidstaten en legt vast wat bedrijven en overheden moeten doen als ze persoonsgegevens verwerken.
Kern-principes:
- Rechtmatigheid, behoorlijkheid en transparantie
- Doelbinding (verwerking alleen voor het vooraf vastgelegde doel)
- Minimale gegevensverwerking
- Juistheid en bewaartermijn
- Integriteit en vertrouwelijkheid
- Verantwoordingsplicht (je moet aantonen dat je voldoet)
Voor AI-toepassingen is vooral artikel 22 relevant: mensen hebben recht op een menselijke tussenkomst bij geautomatiseerde besluitvorming met juridische gevolgen. De Nederlandse Autoriteit Persoonsgegevens houdt toezicht en kan boetes opleggen tot 20 miljoen euro of 4 procent wereldwijde omzet.
Extra belangrijk bij AI-tools die niet in de EU draaien: de AVG staat het versturen van persoonsgegevens naar landen buiten de EU alleen toe als er voldoende juridische waarborgen zijn, bijvoorbeeld een officiële goedkeuring van de Europese Commissie voor dat land. China heeft zo'n goedkeuring niet. Stuur je klant- of bedrijfsgegevens naar een gratis chatbot die op Chinese servers draait, dan overtreed je al snel de AVG, ook als de aanbieder zelf niets verkeerds met de data doet.
AVG en AI Act zijn complementair: de AVG gaat over persoonsgegevens, de AI Act over het AI-systeem als geheel. Voor Annex III-AI met persoonsgegevens gelden beide regimes tegelijk.