Kort antwoord: zodra u AI inzet bij werk waarin persoonsgegevens van klanten voorkomen, blijft de Algemene verordening gegevensbescherming (AVG) volledig gelden. De Autoriteit Persoonsgegevens (AP) brengt het terug tot een aantal kernregels: u hebt een geldige grondslag nodig, u bent gebonden aan het vooraf vastgestelde doel, u gebruikt zo min mogelijk gegevens, de gegevens moeten juist en goed beveiligd zijn, en bij een hoog privacyrisico maakt u vooraf een DPIA. Voor een administratiekantoor komt het vooral hierop neer: zet klantadministraties nooit zomaar in een gratis AI-tool, en leg vast hoe u AI wél verantwoord gebruikt.
Waarom dit uw kantoor raakt
Op uw kantoor gaat vrijwel elk dossier over mensen: klanten, hun medewerkers, hun crediteuren. Dat zijn persoonsgegevens. De AVG is techniek-neutraal geschreven, legt de AP uit: het maakt voor de wet niet uit óf en hóe u gegevens verwerkt met AI — de regels gelden hoe dan ook. De AP houdt daarom ook toezicht op AI en algoritmes waarbij persoonsgegevens worden verwerkt.
De praktische aanleiding is nieuw. Steeds meer medewerkers gebruiken algemene AI-chatbots voor een snelle samenvatting of een conceptmail. Handig — maar wie klantgegevens in een gratis, publieke tool plakt, verliest de controle over waar die gegevens terechtkomen. Dit artikel zet de vijf regels op een rij die de AP als belangrijkste noemt, vertaald naar uw praktijk.
Regel 1 — Een grondslag en een vastgesteld doel
U mag persoonsgegevens alleen verwerken als u daarvoor een geldige grondslag hebt (rechtmatigheid) en alleen voor een doel dat u vooraf hebt vastgesteld (doelbinding). Gegevens die u voor uw opdracht — het voeren van de administratie — hebt gekregen, mag u niet zomaar voor een ander doel door een AI-systeem halen. Vraag uzelf bij elke nieuwe AI-toepassing af: voor welk concreet doel gebruik ik dit, en past dat binnen de afspraken met mijn klant?
Regel 2 — Zo min mogelijk gegevens, niet langer dan nodig
Dataminimalisatie betekent dat u een taak uitvoert met zo min mogelijk persoonsgegevens. Wat aantoonbaar niet nodig is, verwerkt u niet. Voor AI is dat een concrete gewoonte: laat namen, BSN’s en rekeningnummers weg als de taak ze niet vereist. Leg daarnaast vooraf bewaartermijnen vast — ook een AI-tool mag gegevens niet onbeperkt bewaren.
Regel 3 — De gegevens moeten juist zijn
De AVG eist dat de persoonsgegevens die u verwerkt juist zijn. Bij AI is dat dubbel belangrijk: een systeem dat op onvolledige of verouderde gegevens werkt, kan onjuiste of onverwachte uitkomsten geven. Dat is geen oordeel over uw administratie, maar een reden om AI alleen te laten werken op gegevens waarvan u de bron kent. Een systeem dat elk antwoord onderbouwt met een verwijzing naar de onderliggende boeking, maakt controleerbaar wáár een antwoord vandaan komt.
Regel 4 — Beveiliging: waar staan de gegevens?
Alle persoonsgegevens die u verwerkt, moet u goed beveiligen met technische en organisatorische maatregelen (art. 32 AVG). De kernvraag bij AI: waar worden de gegevens verwerkt en opgeslagen? Gratis, publieke AI-diensten verwerken invoer vaak in een cloud buiten de EU en kunnen die hergebruiken om hun modellen te trainen. Voor klantgegevens is dat een reëel datalek-risico. Kies daarom een oplossing waarbij de gegevens binnen de EU blijven, per klant gescheiden zijn en niet worden gebruikt om een algemeen model te trainen.
Regel 5 — DPIA en een menselijke blik
Levert een AI-toepassing een hoog privacyrisico op, dan is een data protection impact assessment (DPIA) verplicht: u brengt vooraf de risico’s in kaart en neemt maatregelen. De AP wijst erop dat dit ook geldt voor pilots en proefprojecten. En: mensen houden recht op een menselijke blik bij besluiten die hen raken. Vertaald naar uw kantoor — AI mag signaleren en voorbereiden, maar een medewerker beoordeelt en beslist. Het kantoor oordeelt, niet de machine.
Wat dit praktisch betekent
U hoeft geen jurist te worden. Drie stappen brengen u een heel eind: (1) spreek af welke AI-tools zijn toegestaan en welke niet, (2) verbied het invoeren van klantgegevens in publieke, gratis chatbots, en (3) kies voor klantgericht werk een AI-oplossing die binnen de EU draait, per klant gescheiden is en elk antwoord van een bron voorziet. Zo blijft AI een hulpmiddel dat uw processen efficiënter maakt, zonder dat u de controle over klantgegevens uit handen geeft — een kantoor dat klaar is voor de toekomst en wendbaar blijft.
Veelgestelde vragen
Mag ik ChatGPT gebruiken voor een conceptmail aan een klant?
Voor een algemene tekst zonder persoonsgegevens is dat doorgaans geen probleem. Zodra u klantnamen, cijfers uit een administratie of andere persoonsgegevens invoert, geldt de AVG en loopt u het risico dat die gegevens buiten uw controle terechtkomen. Werk dan met een oplossing die daarvoor is ingericht.
Wanneer is een DPIA verplicht?
Als de verwerking een hoog privacyrisico oplevert. De AP hanteert een lijst met negen criteria; zijn er twee of meer van toepassing, dan is een DPIA verplicht — ook bij een pilot. Bij twijfel voert u er vrijwillig een uit; het is sowieso een goede leidraad.
Moeten mijn medewerkers iets van AI weten?
Ja. Sinds 2 februari 2025 geldt de AI-geletterdheidsplicht uit de AI-verordening: wie met AI werkt, moet er genoeg van begrijpen om het verantwoord in te zetten. Leg dit vast in een kort AI-beleid.
Waar staat dit precies?
De AP heeft de belangrijkste AVG-regels bij AI en algoritmes op een rij gezet, inclusief uitleg over de DPIA en het recht op menselijke tussenkomst. De links staan onderaan dit artikel.
Meer weten over verantwoord AI-gebruik op uw kantoor? Bekijk onze kennisbank of lees wat wel en niet mag met klantgegevens in ChatGPT. Wilt u sparren over hoe uw kantoor AI veilig inzet? Neem gerust contact met ons op.
Bronnen: Autoriteit Persoonsgegevens, Algoritmes, AI en de AVG en Regels bij gebruik van AI & algoritmes; Autoriteit Persoonsgegevens, AI-geletterdheid (art. 4 AI-verordening).