Privacyverklaring en verwerkingsregister aanpassen bij AI-gebruik
Zet je AI-tools in met persoonsgegevens van klanten of personeel? Dan moet dat terug te vinden zijn in je privacyverklaring en verwerkingsregister.
Privacyverklaring en verwerkingsregister: wat verandert er door AI?
Zodra je AI-tools inzet die persoonsgegevens verwerken, hoort dat in je verwerkingsregister. Verwerk je ook gegevens van klanten of bezoekers, dan moet je privacyverklaring dat AI-gebruik toelichten.
Waarom moet je je documenten aanpassen bij AI-gebruik?
De AVG verplicht organisaties om een verwerkingsregister bij te houden: een overzicht van alle verwerkingen van persoonsgegevens, inclusief het doel, de grondslag en de betrokken partijen. Zodra je een AI-tool inzet die persoonsgegevens verwerkt — bijvoorbeeld voor het opstellen van klantcommunicatie, cv-screening of klantenservice via een chatbot — is dat een nieuwe verwerking die in het register thuishoort. Ontbreekt die vermelding, dan is je register niet compleet en voldoe je niet aan artikel 30 AVG.
Verwerk je met AI ook persoonsgegevens van klanten of websitebezoekers, bijvoorbeeld via een AI-chatbot op je website? Dan moet je privacyverklaring uitleggen dat je AI-tools gebruikt, met welk doel, en of gegevens buiten de EER worden doorgegeven. Zie ook onze uitleg over persoonsgegevens invoeren in ChatGPT en de AVG.
Wat moet er in je verwerkingsregister staan bij AI-gebruik?
- Naam en doel van de AI-tool — bijvoorbeeld "ChatGPT Enterprise voor het opstellen van klantcommunicatie".
- Categorieën van persoonsgegevens — welke gegevens verwerkt de tool: klantnamen, contactgegevens, sollicitatiegegevens?
- Grondslag — op basis waarvan mag je deze gegevens verwerken (bijvoorbeeld gerechtvaardigd belang of uitvoering van een overeenkomst)?
- De AI-aanbieder als verwerker — inclusief verwijzing naar de verwerkersovereenkomst die je met de aanbieder hebt gesloten.
- Doorgifte buiten de EER — de meeste AI-aanbieders zijn Amerikaans, dus vermeld op welke grondslag data naar de VS gaat (bijvoorbeeld het EU-US Data Privacy Framework).
- Bewaartermijn — hoelang blijven prompts, chatlogs en output bewaard?
Wat moet er in je privacyverklaring staan?
Je privacyverklaring is gericht op klanten en bezoekers, en moet in begrijpelijke taal uitleggen dat je AI gebruikt zodra dat gevolgen heeft voor hun gegevens. Denk aan:
- Een AI-chatbot op je website die klantvragen beantwoordt en daarbij contactgegevens verwerkt.
- Geautomatiseerde verwerking of profilering met AI, bijvoorbeeld bij het beoordelen van sollicitaties of kredietaanvragen.
- Het gebruik van AI om klantcommunicatie op te stellen op basis van klantgegevens.
Vermeld ook of betrokkenen bezwaar kunnen maken tegen geautomatiseerde besluitvorming, zoals artikel 22 AVG vereist wanneer een AI-systeem zelfstandig besluiten neemt die rechtsgevolgen hebben.
Hoe pak je dit praktisch aan?
- Breng in kaart welke AI-tools binnen je organisatie worden gebruikt en of daarbij persoonsgegevens worden verwerkt.
- Werk je verwerkingsregister bij met elke AI-tool die persoonsgegevens verwerkt.
- Controleer of je privacyverklaring AI-gebruik richting klanten correct beschrijft.
- Zorg dat er een verwerkersovereenkomst ligt met elke AI-aanbieder die persoonsgegevens namens jou verwerkt.
- Herhaal deze check bij elke nieuwe AI-toepassing die je organisatie invoert.
Wat als je dit niet bijwerkt?
Een verouderd verwerkingsregister of privacyverklaring is een AVG-overtreding op zich, los van de vraag of er ook daadwerkelijk iets misgaat. De Autoriteit Persoonsgegevens noemt AI expliciet als een van haar toezichtsprioriteiten voor de komende jaren, en een incompleet register is vaak het eerste dat bij een controle opvalt.
Veelgestelde vragen
Moet elke AI-tool apart in mijn verwerkingsregister staan?
Ja, elke AI-tool die persoonsgegevens verwerkt is een aparte verwerking met een eigen doel en grondslag, en hoort dus als apart onderdeel in je verwerkingsregister te staan. Gebruik je meerdere AI-tools voor hetzelfde doel, dan kun je ze eventueel samenvoegen onder één verwerking.
Moet ik mijn privacyverklaring aanpassen als ik alleen intern AI gebruik, zonder klantcontact?
Als de AI-tool geen persoonsgegevens van klanten of websitebezoekers verwerkt, hoeft je privacyverklaring niet aangepast te worden. Verwerk je wel gegevens van personeel, dan is dat meestal geen kwestie voor de privacyverklaring maar voor interne documenten zoals een personeelsreglement of AI-gebruiksrichtlijn.
Wat gebeurt er als de Autoriteit Persoonsgegevens mijn verwerkingsregister controleert en AI-gebruik ontbreekt?
Een onvolledig verwerkingsregister is een overtreding van artikel 30 AVG en kan leiden tot een waarschuwing, een last onder dwangsom of in ernstige gevallen een boete. De AP heeft AI-gebruik expliciet benoemd als toezichtsprioriteit, dus de kans op controle op dit punt neemt toe.
Geldt dit ook voor kleine bedrijven of zzp'ers?
Ja, de verplichting om een verwerkingsregister bij te houden geldt in beginsel voor elke organisatie die persoonsgegevens verwerkt, al bestaat er een uitzondering voor organisaties met minder dan 250 medewerkers bij incidentele verwerkingen. Verwerk je structureel gegevens met AI, dan geldt de registerplicht in de praktijk vrijwel altijd.
Hoe vaak moet ik mijn verwerkingsregister en privacyverklaring controleren op AI-gebruik?
Controleer deze documenten telkens wanneer je een nieuwe AI-tool invoert of een bestaande tool anders gaat gebruiken, en doe daarnaast minimaal jaarlijks een algemene check om te zien of alles nog actueel is.
Laat je e-mailadres achter
Wij nemen binnen één werkdag contact met je op om je verder te helpen.
✅ Vaste prijs vooraf
Je weet altijd vooraf wat het kost. Na je aanvraag ontvang je binnen één werkdag een vrijblijvende offerte op maat.
✅ Juridisch specialist
Je spreekt rechtstreeks met mr. René van der Horst. Een specialist die jouw situatie kent en met je meedenkt.
✅ Snel en betaalbaar
Geen ingewikkeld gedoe. Wij regelen het snel en in gewone taal, zodat jij weet waar je aan toe bent.
✅ Al duizenden klanten gingen je voor
EenvoudigRecht helpt al jaren ondernemers én particulieren met juridische zekerheid. Jij bent aan het juiste adres.
Wat onze klanten zeggen
⭐⭐⭐⭐⭐ — Martijn
Doet z’n naam recht aan; lekker eenvoudig. Het opgeleverde werk is allesbehalve eenvoudig maar van hoge kwaliteit.
⭐⭐⭐⭐⭐ — Rinus
Zeer prettig contact gehad met René. Kundige jurist, meedenkend en zeer behulpzaam. En niet onbelangrijk een top prijs kwaliteit verhouding!
⭐⭐⭐⭐⭐ — Anouk
Eenvoudig Recht heeft mij fantastisch geholpen. Ze zijn vlot, denken met je mee en als je nog een keer een vraag hebt zijn ze ook echt behulpzaam.