Als je AI gebruikt in je onderneming én persoonsgegevens verwerkt, krijg je met twee Europese wetten te maken: de GDPR (AVG) en de AI Act. Veel ondernemers vragen zich af: overlappen die? Botsen die? Of zijn ze gewoon hetzelfde onder een andere naam?
In deze blog lees je het verschil tussen beide wetten, wanneer ze tegelijk van toepassing zijn, en hoe je ervoor zorgt dat je bedrijf op beide vlakken in orde is – zonder dubbele administratie.
GDPR vs AI Act: wat regelt welke wet?
De GDPR (in Nederland bekend als de AVG) draait rond persoonsgegevens: welke gegevens je mag verzamelen, hoe je ze bewaart, waarom je ze gebruikt en hoe je mensen informeert.
De AI Act focust op AI-systemen: hoe ze werken, welke risico’s ze vormen, hoe transparant ze zijn en of er menselijk toezicht is.
Met andere woorden:
- GDPR = gaat over data
- AI Act = gaat over technologie en toepassingen
Toch is de kans groot dat ze bij jou tegelijk van toepassing zijn.
Wanneer geldt beide wetgeving?
In de praktijk werken GDPR en AI Act vaak samen. Zeker als je AI inzet op data van klanten, medewerkers of sollicitanten. Denk aan deze situaties:
- Je gebruikt een AI-chatbot op je website die klantgegevens verwerkt
- Je gebruikt ChatGPT om klantvragen te beantwoorden op basis van bestaande dossiers
- Je zet een AI-tool in om sollicitaties of klantgedrag te analyseren
In al die gevallen werk je met persoonsgegevens (GDPR) én gebruik je een AI-systeem (AI Act). Beide wetten zijn dan relevant.
Wat is het grootste verschil in verplichtingen?
De GDPR legt vooral nadruk op:
- Toestemming en doelbinding: mag je deze data gebruiken, en waarvoor?
- Dataminimalisatie: verzamel je niet meer gegevens dan nodig?
- Transparantie: weet de gebruiker wat jij met zijn/haar gegevens doet?
De AI Act focust meer op:
- Inzicht in hoe het AI-systeem werkt
- Risicobeoordeling van de AI: is er kans op fout gedrag of discriminatie?
- Menselijk toezicht en controle
- Labeling van AI-inhoud of AI-gebruik
De AI Act wil niet weten wie je data verwerkt, maar hoe je AI gebruikt om tot beslissingen of output te komen.
Hoe voldoe je aan beide wetten zonder dubbel werk?
Je hoeft geen twee aparte juridische trajecten te volgen. Met een paar slimme aanpassingen kun je beide wetten tegelijk afdekken:
- Wees transparant over data én technologie
Informeer klanten niet alleen over welke gegevens je gebruikt, maar ook of AI daarbij betrokken is. - Documenteer per AI-tool of er persoonsgegevens in zitten
Verwerk je louter generieke info (bijv. productomschrijvingen), dan geldt alleen de AI Act. Werk je met klantdata, dan ook GDPR. - Koppel je risicoanalyse aan je privacybeleid
Heb je een AI-tool die beslissingen neemt? Verwerk dat in je privacyverklaring én je AI-documentatie. - Voeg AI toe aan je verwerkingsregister (voor GDPR)
Noteer daar welke AI-tools je gebruikt, wat ze doen en welke data ze verwerken.
Waarom is dit belangrijk?
Niet alleen om boetes te vermijden, maar vooral om vertrouwen op te bouwen. Klanten en medewerkers verwachten vandaag transparantie. Als jij helder kunt uitleggen hoe je omgaat met data én technologie, ben je geloofwaardiger dan wie zich verstopt achter “het systeem beslist”.
En dat is precies wat deze twee wetten willen bereiken: technologie inzetten op een manier die menselijk, eerlijk en controleerbaar blijft.
De AI Act en de GDPR zijn geen concurrenten van elkaar, maar aanvullingen. De ene kijkt naar wat je met data doet, de andere naar hoe je AI inzet. Als kleine ondernemer is het vooral belangrijk dat je weet waar ze elkaar raken, en dat je je AI-gebruik opneemt in je bredere privacy- en communicatiebeleid.
