AI Act en AVG voor het MKB: wat je moet regelen bij AI-agents
Een praktisch overzicht in gewone taal, zonder juridisch jargon
Geldt de AI Act voor jouw bedrijf? Wat vraagt de AVG als een AI-agent met klantgegevens werkt? Een praktisch overzicht voor ondernemers: de vier risiconiveaus, wat er voor jou echt speelt en een lijst met wat je nu kunt regelen.
"Je hoeft geen jurist te zijn om te weten welke vier vragen je moet kunnen beantwoorden."
Veel ondernemers stellen het regelwerk rond AI uit omdat het ingewikkeld klinkt. Dat is begrijpelijk, maar voor de meeste MKB-toepassingen valt het mee. Er zijn twee kaders: de AVG voor persoonsgegevens, en de AI-verordening (AI Act) voor het gebruik van AI zelf. In dit artikel zet ik uiteen wat voor een gewoon MKB-bedrijf met een AI-agent echt van belang is.
Let op: dit is geen juridisch advies. Het is een praktisch overzicht. Bij gevoelige gegevens, of bij beslissingen die mensen direct raken, raadpleeg je een jurist.
Kort antwoord: voor de meeste MKB-toepassingen komt het neer op vier dingen. Zorg dat je team AI-geletterd is (verplicht sinds februari 2025). Wees open naar mensen die met een AI praten. Sluit een verwerkersovereenkomst met de aanbieders die persoonsgegevens verwerken. En laat bij beslissingen die mensen raken altijd een mens het laatste woord hebben.
Inhoudsopgave
- Twee kaders, twee vragen
- De AI Act in gewone taal
- Welke rol heb jij?
- De vier risiconiveaus
- Wat voor een gemiddeld MKB-bedrijf geldt
- De AVG bij AI-agents
- Beslissingen over mensen
- Een lijst om nu te regelen
Twee kaders, twee vragen
| AVG | AI Act | |
|---|---|---|
| Gaat over | Persoonsgegevens | Het gebruik en aanbieden van AI-systemen |
| Vraag | Mag ik deze gegevens zo gebruiken, en is dat veilig geregeld? | Welk risico heeft deze AI-toepassing, en wat moet ik daarom doen? |
| Geldt voor | Bijna elke organisatie | Organisaties die AI gebruiken of aanbieden in de EU |
| Tekst | Verordening (EU) 2016/679 | Verordening (EU) 2024/1689 |
Ze overlappen. Een AI-agent die klantgegevens verwerkt, valt onder allebei.
De AI Act in gewone taal
De AI-verordening is in 2024 in werking getreden en wordt in stappen van kracht. Een aantal onderdelen gelden al:
- Verboden praktijken en AI-geletterdheid gelden sinds 2 februari 2025.
- Regels voor algemene AI-modellen (de grote taalmodellen, voor hun aanbieders) volgen vanaf augustus 2025.
- De meeste andere verplichtingen, waaronder openheid richting gebruikers en de regels voor hoog-risicotoepassingen, volgen volgens het oorspronkelijke tijdschema vanaf augustus 2026.
De EU bespreekt aanpassingen in de planning van sommige onderdelen. Controleer daarom de actuele stand op de pagina van de Europese Commissie, of op artificialintelligenceact.eu, een informatieve site over de verordening.
Welke rol heb jij?
De verordening kent verschillende rollen, met verschillende plichten.
| Rol | Wat het is | Voorbeeld |
|---|---|---|
| Aanbieder | Maakt een AI-systeem of laat het maken en brengt het onder eigen naam op de markt | Een softwarebedrijf dat een AI-assistent verkoopt |
| Gebruiksverantwoordelijke | Zet een AI-systeem in voor professioneel gebruik | Jouw bedrijf dat een AI-agent gebruikt voor de inbox |
De meeste MKB-bedrijven zijn gebruiksverantwoordelijke. Bouw je een agent voor een klant? Dan kun je, afhankelijk van hoe, als aanbieder worden gezien. Bij WeAreImpact houd ik daar rekening mee in de afspraken met opdrachtgevers.
De vier risiconiveaus
De AI Act deelt toepassingen in naar risico:
| Niveau | Wat het betekent | Voorbeelden |
|---|---|---|
| Onaanvaardbaar | Verboden | Sociale scoring, bepaalde vormen van manipulatie |
| Hoog | Strenge eisen voor aanbieders en gebruikers | AI bij selecteren van sollicitanten, beoordelen van kredietwaardigheid, toegang tot onderwijs of essentiële diensten |
| Beperkt | Openheid vereist | Chatbots, AI-gegenereerde teksten en beelden |
| Minimaal | Geen specifieke verplichtingen | Spamfilters, tekstcorrectie |
De vraag die telt: raakt de AI-toepassing de kansen of rechten van mensen? Een agent die offertes voorbereidt of je inbox ordent, valt in de regel in beperkt of minimaal. Een agent die bepaalt wie een baan krijgt of wie een voorziening krijgt, valt in hoog risico. Dat is een heel andere categorie, met andere eisen.
Wat voor een gemiddeld MKB-bedrijf geldt
Voor de meeste gebruikers van AI-agents in het MKB komen er drie dingen terug.
1. AI-geletterdheid. Artikel 4 vraagt dat wie AI gebruikt, ervoor zorgt dat medewerkers daar voldoende kennis van hebben, passend bij hun rol. Er is geen certificaat voor, maar je moet kunnen laten zien dat je het hebt geregeld: een korte training, een afspraak over wat wel en niet mag, en iemand die vragen beantwoordt. Zie AI-geletterdheid in je team en de AI-workshops.
2. Openheid. Praten mensen rechtstreeks met een AI, zoals een chatbot of een AI-telefoniste, dan moeten ze dat in de regel weten. Dat is ook gewoon goede klantbehandeling. Zie AI-telefoniste voor je bedrijf.
3. Een beleid. Een korte pagina met wat je team wel en niet met AI doet, helpt je alles te kunnen verantwoorden. Zie AI-beleid voor je bedrijf in een pagina.
Werk je in een sector met gevoelige beslissingen, zoals zorg, onderwijs, werving of financiële diensten? Dan is de kans groter dat je in hoog risico valt. Begin dan bij de AI Act en AVG in een AI-project.
De AVG bij AI-agents
Zodra een agent persoonsgegevens verwerkt, gelden de gewone AVG-regels. Daar komt voor agents het volgende bij kijken.
| Onderwerp | Wat het betekent bij een agent |
|---|---|
| Grondslag | Je moet een reden hebben om de gegevens te gebruiken, bijvoorbeeld de uitvoering van een overeenkomst. |
| Dataminimalisatie | Geef de agent alleen de gegevens die hij nodig heeft. |
| Verwerkersovereenkomst | Met elke partij die namens jou gegevens verwerkt, ook de aanbieder van het taalmodel. |
| Doorgifte buiten de EU | Als gegevens naar een aanbieder buiten de EU gaan, moet daar een geldig mechanisme onder zitten. Dat staat in de voorwaarden. |
| Informatieplicht | Je privacyverklaring moet kloppen met wat je doet. |
| Beveiliging | Passende maatregelen, zie AI-agents beveiligen. |
| Datalekken | Een lek moet je in veel gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens. |
Een paar praktische keuzes:
- Zakelijk account, geen privéaccount. Met een zakelijk abonnement kun je een verwerkersovereenkomst sluiten. Met een gratis privéaccount niet.
- Kijk of de aanbieder op jouw gegevens traint. Dat kun je bij de meeste zakelijke abonnementen uitzetten, en het hoort in de voorwaarden te staan.
- Anonimiseer waar het kan. Voor veel taken is de naam niet nodig.
Meer over de keuze van aanbieders vind je in Claude, ChatGPT of Copilot voor je bedrijf. De Rijksoverheid verzamelt informatie over privacy en persoonsgegevens. Werk je in zorg of welzijn? Lees dan ook de privacychecklist voor AI in de zorg.
Beslissingen over mensen
Artikel 22 van de AVG geeft mensen het recht om niet te worden onderworpen aan een beslissing die uitsluitend op geautomatiseerde verwerking is gebaseerd, als die beslissing rechtsgevolgen heeft of hen op andere wijze in aanmerkelijke mate treft. Een afwijzing voor een dienst, een uitkering of een baan zijn daar voorbeelden van.
De praktische vertaling: een agent bereidt voor, een mens beslist. Een mens die meer doet dan afvinken, met de ruimte en kennis om af te wijken. Zo bouw ik ook mijn eigen systeem; zie human-in-the-loop.
Een lijst om nu te regelen
- Je weet welke AI-tools in je bedrijf worden gebruikt, ook door medewerkers op eigen initiatief.
- Voor elke tool die persoonsgegevens ziet, is er een verwerkersovereenkomst.
- Je team heeft een korte uitleg gehad over wat wel en niet mag met AI.
- Je hebt een korte AI-beleidspagina.
- Klanten weten wanneer ze met een AI praten.
- Je privacyverklaring noemt het gebruik van AI als dat persoonsgegevens betreft.
- Beslissingen die mensen raken, worden door een mens genomen.
- Je weet wie in je bedrijf aanspreekpunt is voor vragen hierover.
Hulp nodig?
Wil je dit praktisch laten inrichten voor jouw bedrijf: beleid, training en een agent die er vanaf het begin aan voldoet? Bekijk de AI-workshops of plan een gesprek via contact.
Gerelateerde artikelen
- AI-agents voor het MKB: de complete gids
- AI-agents beveiligen: prompt injection, rechten en logboeken
- De AI Act en AVG in een AI-project
- Privacy en AI in de zorg: wat mag wel en wat niet?
- AI-agents en privacy: wat ondernemers moeten regelen
- AI-beleid voor je bedrijf in een pagina
Bronnen en verder lezen
- EUR-Lex, Verordening (EU) 2024/1689 (AI-verordening)
- EUR-Lex, Verordening (EU) 2016/679 (AVG)
- Europese Commissie, Regelgevend kader voor AI
- Artificial Intelligence Act, informatieve site
- Rijksoverheid, Privacy en persoonsgegevens
Dit artikel is geschreven door Vincent van Munster van WeAreImpact. Het is een praktisch overzicht en geen juridisch advies.
Veelgestelde vragen
Geldt de AI Act ook voor een klein bedrijf?
Ja, de AI Act geldt voor organisaties van elke omvang die AI-systemen gebruiken of aanbieden in de Europese Unie. Wat je moet doen hangt af van de rol die je hebt en het risico van de toepassing. Voor de meeste MKB-toepassingen gaat het om AI-geletterdheid en om openheid richting mensen die met AI te maken hebben.
Is AI-geletterdheid verplicht?
Ja. Artikel 4 van de AI-verordening vraagt dat organisaties die AI gebruiken ervoor zorgen dat hun medewerkers voldoende AI-geletterd zijn. Dat geldt sinds 2 februari 2025. Er is geen vast diploma voor, maar je moet kunnen laten zien dat je het hebt geregeld.
Moet ik klanten vertellen dat ze met een AI praten?
In het algemeen wel, als mensen rechtstreeks met een AI-systeem communiceren en dat niet vanzelfsprekend is. De transparantieverplichting in artikel 50 van de AI-verordening legt dat vast. Controleer de actuele ingangsdatum en uitzonderingen.
Heb ik een verwerkersovereenkomst nodig voor ChatGPT of Claude?
Als je persoonsgegevens invoert via een zakelijk account, verwerkt de aanbieder die namens jou. Dan schrijft de AVG een verwerkersovereenkomst voor. Aanbieders bieden die doorgaans aan voor zakelijke abonnementen. Gebruik voor persoonsgegevens geen privéaccount.
Is dit juridisch advies?
Nee. Dit is een praktisch overzicht voor ondernemers. Voor jouw specifieke situatie, zeker bij gevoelige gegevens of beslissingen over mensen, vraag je een jurist.
Wil je zo’n agent in jouw organisatie aan het werk? Zo pak ik een AI-agent laten bouwen aan: eerst één proces dat echt tijd kost, met een mens die altijd de eindcontrole houdt.
Bekijk de aanpakWas dit artikel nuttig?
Gerelateerde artikelen
Gerelateerde blogposts
Zet AI aan het werk in jouw organisatie
Ik help sociale en duurzame ondernemers en mkb om binnen een dagdeel te beginnen met één proces dat nu te veel tijd kost. Praktisch, met een mens die altijd de eindcontrole houdt.