Sinds de AI-verordening bestaat, is er een handel ontstaan in "AI-compliance-checks". Veel daarvan verkoopt angst voor regels die op jou niet van toepassing zijn.

Deze post is onze eigen inventarisatie, gemaakt om te weten waar wíj staan. We hebben er geen jurist naar laten kijken en dat hoor je te weten voordat je verder leest. Het is een landkaart, geen advies.

01 / de kortste versieEist de AI-verordening iets in je privacyverklaring?

Nee. Dat zijn twee verschillende wetten met twee verschillende onderwerpen.

Je privacyverklaring is een AVG-document. Het gaat over persoonsgegevens: welke je verzamelt, waarvoor, hoe lang, en met wie je ze deelt. De AI-verordening gaat over AI-systemen en hun risico's. Er is overlap in de praktijk, maar de ene wet schrijft je niets voor in het document van de andere.

Wat daar niet uit volgt: dat je niets hoeft op te schrijven. Er zijn twee redenen om het toch te doen, en die staan in blok 4 en 5.

De vraag is niet of het moet. De vraag is of je het kunt uitleggen als iemand ernaar vraagt.

02 / de enige regel die je waarschijnlijk raaktWanneer geldt artikel 50?

Als iemand rechtstreeks met een AI in gesprek is en dat niet doorheeft.

Artikel 50, eerste lid, komt hierop neer: praat een mens met een AI-systeem, dan moet hem dat verteld worden. Handhaving start 2 augustus 2026.

Er zit een uitzondering in die de meeste discussies beslecht: het hoeft niet als het duidelijk uit de omstandigheden volgt. Iemand die op een knop "chat met onze assistent" klikt, weet het al.

Concreet, voor een gemiddeld bedrijf:

Kort samengevat: heb je geen AI die rechtstreeks met klanten praat, dan raakt artikel 50 je waarschijnlijk niet.

03 / wat niet van jou isWelke plichten liggen bij de modelleverancier?

Meer dan verkopers van compliance-pakketten je vertellen.

Twee plichten die vaak op de verkeerde schouders worden gelegd:

Het machineleesbaar markeren van AI-gegenereerde inhoud (artikel 50, tweede lid) rust op de partij die het genererende systeem aanbiedt. Gebruik jij een taalmodel van een leverancier, dan is dat hún plicht en niet die van jou.

Het labelen van AI-teksten (vierde lid) geldt alleen voor teksten die gepubliceerd worden om het publiek te informeren over zaken van algemeen belang — journalistiek, kortweg. En zelfs daar geldt een uitzondering wanneer een mens redactionele controle houdt. Je nieuwsbrief of je offerte valt hier niet onder.

Nog een misverstand dat geld kost: de zware verplichtingen uit de verordening gelden voor hoog-risicosystemen, en dat is een afgebakende lijst — werving en selectie, kredietbeoordeling, onderwijs, biometrie, overheidsdiensten. Verkoop, marketing en interne automatisering staan er niet in.

Één waarschuwing bij de datums. Er is een wijzigingspakket dat de hoog-risico-datum van augustus 2026 naar december 2027 verschuift. Op het moment van schrijven was de formele publicatie daarvan niet bevestigd. Noem dat uitstel dus niet als vaststaand feit tegen een klant.

04 / wat zwaarder weegtWaarom is de AVG het echte werk?

Omdat die al geldt, al gehandhaafd wordt, en wél iets van je privacyverklaring vraagt.

De vragen die er praktisch toe doen zijn bijna allemaal AVG-vragen:

• Gaan er persoonsgegevens naar een taalmodel? Dan is de aanbieder daarvan een verwerker en hoort hij in je lijst en je verwerkersovereenkomst.
• Waar worden ze verwerkt? De grote aanbieders zitten in de Verenigde Staten. Dat mag, maar het vraagt om een onderbouwing, niet om stilzwijgen.
• Neemt het systeem besluiten óver mensen? Artikel 22 AVG stelt grenzen aan besluiten die uitsluitend geautomatiseerd tot stand komen en iemand raken.
• Worden gegevens gebruikt om modellen te trainen? Bij zakelijke abonnementen meestal niet, maar controleer het en schrijf op wat je vond.

Die laatste is de meest gemaakte fout: bedrijven beloven "een mens kijkt altijd mee" en richten dat vervolgens niet in. Een belofte die je nakomt maar niet kunt aantonen, moet je bij een klacht reconstrueren.

05 / de zes vragenWat schrijf je dan op?

Beantwoord deze zes en je hebt de inhoud. De vorm komt daarna.

• Welke AI gebruik je waarvoor? Eén regel per toepassing.
• Gaan er persoonsgegevens in? Zo ja: welke, en van wie.
• Wie is de leverancier en waar verwerkt die? Naam en land.
• Praat het rechtstreeks met klanten? Zo ja, dan geldt artikel 50 en zet je die regel erbij.
• Kijkt er een mens mee vóór iets naar buiten gaat? En kun je dat aantonen?
• Wat gebeurt er als iemand bezwaar maakt? Wie pakt dat op.

Wij hebben deze zes voor onszelf beantwoord en kwamen op één relevante blootstelling uit: het moment dat een systeem dat wij bouwen rechtstreeks met de klanten van een klant gaat praten. Al het andere is minimaal risico.

Ons eigen advies aan onszelf was overigens strenger dan de wet: zet erbij dat een rapport door AI is opgesteld, ook al hoeft het niet. Als je propositie is dat je werk automatiseert, is verzwijgen dát je dat doet het slechtst denkbare signaal.

Deze tekst is met AI-ondersteuning tot stand gekomen en door een mens gecontroleerd en vastgesteld voor publicatie.