De AI-verordening en de AVG gelden naast elkaar. De AVG regelt elke verwerking van persoonsgegevens, ook in prompts en trainingsdata; de AI-verordening regelt AI-systemen naar risico, met of zonder persoonsgegevens. Artikel 2 lid 7 van de AI-verordening laat de AVG onverlet. Een AI-toepassing met persoonsgegevens moet dus aan beide wetten voldoen.
Het belangrijkste in het kort
- De AVG wordt geactiveerd door persoonsgegevens, de AI-verordening door het aanbieden of gebruiken van een AI-systeem, met plichten die meegroeien met het risico.
- De rollen verschillen: verwerkingsverantwoordelijke en verwerker onder de AVG, aanbieder en gebruiksverantwoordelijke onder de AI-verordening. Eén organisatie kan per wet een andere rol hebben.
- De DPIA uit de AVG en de beoordeling van gevolgen voor de grondrechten (FRIA) uit artikel 27 overlappen; de FRIA mag voortbouwen op een bestaande DPIA.
- De Autoriteit Persoonsgegevens is in Nederland AVG-toezichthouder én wordt volgens het wetsvoorstel de belangrijkste markttoezichthouder voor de AI-verordening, met een aparte AI-tak.
- Het AP-advies over Microsoft 365 Copilot bij de gemeente Haarlemmermeer laat zien wat de AP verwacht voordat generatieve AI wordt ingezet.
Twee wetten, twee logica's
Bijna elke AI-toepassing die er voor een organisatie toe doet, raakt mensen: een selectietool voor sollicitanten, een kredietmodel bij een bank, een klantenservicebot, een Copilot-uitrol die mailboxen doorzoekt. Daar zitten persoonsgegevens in, dus de AVG (Verordening (EU) 2016/679) geldt. Het zijn ook AI-systemen, dus de AI-verordening (Verordening (EU) 2024/1689) geldt eveneens. Voldoen aan de ene wet telt nooit als voldoen aan de andere.
De AVG is een grondrechtenwet die gegevens van personen beschermt, waar ze ook worden verwerkt. De AI-verordening werkt meer als productveiligheidsrecht: eisen aan systemen vóór en tijdens het gebruik, oplopend met het risico. Wie dat als twee losse projecten aanpakt, doet het werk dubbel. Een goed vertrekpunt is één overzicht van uw AI-gebruik met beide brillen. De gratis scan voor AI-beleid en AI governance vraagt in één keer naar uw AI-toepassingen, rollen, gegevens en leveranciers. Hoe de verordening verder in elkaar zit, leest u in onze gids over de AI-verordening.
Hulp nodig met cloud?
Plan een gratis 30-minuten gesprek met een van onze cloud-specialisten. We analyseren uw behoefte en geven concrete aanbevelingen — geheel vrijblijvend.
AI-verordening en AVG naast elkaar
| Onderwerp | AVG | AI-verordening |
|---|---|---|
| Wat wordt geregeld | Verwerking van persoonsgegevens | AI-systemen en AI-modellen voor algemene doeleinden |
| Wanneer van toepassing | Elke verwerking van persoonsgegevens binnen het bereik | In de handel brengen, in gebruik stellen of gebruiken van AI; plichten naar risiconiveau |
| Rollen | Verwerkingsverantwoordelijke, verwerker | Aanbieder, gebruiksverantwoordelijke, importeur, distributeur, gemachtigde |
| Risicobeoordeling | DPIA bij waarschijnlijk hoog risico (art. 35) | Risicobeheer door aanbieders van hoog-risico-AI (art. 9); FRIA door bepaalde gebruiksverantwoordelijken (art. 27) |
| Transparantie | Informatie aan betrokkenen (art. 13–14), ook over de logica van geautomatiseerde besluiten | Gebruiksinstructies (art. 13); melding van chatbots en deepfakes (art. 50); informatie aan betrokkenen (art. 26) |
| Rechten van personen | Inzage, rectificatie, wissing, bezwaar, geen uitsluitend geautomatiseerde besluiten (art. 22) | Recht op uitleg bij besluiten met bepaalde hoog-risico-AI (art. 86); klacht bij markttoezichtautoriteit (art. 85) |
| Toezicht in Nederland | Autoriteit Persoonsgegevens | Volgens het wetsvoorstel tien markttoezichtautoriteiten, met de AP en de RDI als coördinatoren; AI-bureau voor GPAI |
| Maximale boetes | 20 miljoen euro of 4% van de wereldwijde omzet | 35 miljoen euro of 7% (verboden praktijken); 15 miljoen euro of 3% (meeste plichten); 7,5 miljoen euro of 1% (onjuiste informatie) |
Wat de Autoriteit Persoonsgegevens verwacht: het Copilot-advies
Een concreet Nederlands voorbeeld van hoe de twee werelden samenkomen, is het advies dat de AP gaf na een voorafgaande raadpleging (artikel 36 AVG) door de gemeente Haarlemmermeer over Microsoft 365 Copilot. Het verzoek dateert van juni 2025; het advies is in juli 2026 gepubliceerd. De conclusie: de voorgenomen inzet zou inbreuk maken op de AVG, tenzij de gemeente aanvullende maatregelen neemt.
De AP noemt onder meer:
- De basis op orde: een actueel verwerkingsregister, een goed beeld van documenten en persoonsgegevens, documenten labelen en autorisaties beperken, omdat een generatief AI-systeem bij alles kan waar de gebruiker bij kan.
- Doelbinding en dataminimalisatie: generatieve AI mag geen doel op zich zijn; vooraf moet vaststaan tot welke bestanden en applicaties het systeem toegang krijgt.
- Menselijke beslissing: belangrijke besluiten over mensen mogen niet volledig automatisch worden genomen, en de menselijke bijdrage moet beslissend blijven.
- Kennis bij gebruikers: medewerkers moeten de werking, de risico's en de sociale en ethische kanten begrijpen, met andere woorden AI-geletterdheid.
- Duidelijkheid van de leverancier: werkt Microsoft onvoldoende mee, dan kan de gemeente de dienst niet rechtmatig gebruiken.
Het advies gaat over een gemeente, maar de lessen gelden net zo goed voor een woningcorporatie, een zorgaanbieder of een advocatenkantoor dat Copilot wil uitrollen. Het is een AVG-advies, maar de punten over kennis, menselijk toezicht en leveranciersinformatie zijn precies de onderwerpen die de AI-verordening ook raakt.
Waar de wetten elkaar raken
Persoonsgegevens in training en gebruik
Een model trainen op persoonsgegevens, persoonsgegevens in een prompt zetten en output over herkenbare personen genereren zijn allemaal verwerkingen. U heeft een grondslag nodig, doelbinding, minimalisatie, bewaartermijnen en, als een leverancier voor u verwerkt, een verwerkersovereenkomst. Voor hoog-risico-AI voegt artikel 10 van de AI-verordening eisen aan datagovernance toe: trainings-, validatie- en testdata moeten relevant, voldoende representatief en zo veel mogelijk foutloos zijn. Het Europees Comité voor gegevensbescherming (EDPB) gaf in advies 28/2024 aan wanneer AI-modellen als anoniem kunnen gelden en hoe gerechtvaardigd belang als grondslag kan dienen.
Bijzondere persoonsgegevens voor biasdetectie: artikel 4a
Om discriminatie op te sporen moet u soms weten wie tot een beschermde groep hoort. Dat zijn bijzondere persoonsgegevens (artikel 9 AVG). De digitale omnibus (Verordening (EU) 2026/1744) verving het oude artikel 10 lid 5 door een nieuw artikel 4a. Dat biedt een grondslag om zulke gegevens te verwerken als dat strikt noodzakelijk is voor het opsporen en corrigeren van bias, met waarborgen zoals pseudonimisering, strikte toegang, geen doorgifte aan derden en verwijdering zodra de bias is gecorrigeerd. Nieuw is dat het ook geldt voor gebruiksverantwoordelijken en, onder voorwaarden, voor AI die geen hoog risico heeft. Het is een bevoegdheid, geen plicht. Leg de noodzakelijkheidstoets vast.
Geautomatiseerde besluiten
Artikel 22 AVG geeft mensen het recht niet te worden onderworpen aan een uitsluitend geautomatiseerd besluit met rechtsgevolgen of vergelijkbare impact. De AI-verordening pakt hetzelfde probleem aan vanuit het systeem: hoog-risico-AI moet menselijk toezicht mogelijk maken (artikel 14), gebruiksverantwoordelijken wijzen bekwame mensen aan (artikel 26) en betrokkenen kunnen uitleg vragen (artikel 86). Neem het kredietmodel van een bank: onder de AVG heeft de bank een grondslag nodig, moet zij de onderliggende logica uitleggen en menselijke tussenkomst bieden; onder de AI-verordening is kredietwaardigheidsbeoordeling hoog risico en moet de bank een FRIA uitvoeren. Echt menselijk toezicht dient beide wetten, mits de beoordelaar bevoegdheid en tijd heeft.
DPIA en FRIA
De AI-verordening voorziet zelf in de samenloop. Volgens artikel 26 lid 9 gebruiken gebruiksverantwoordelijken de gebruiksinstructies van de aanbieder bij hun DPIA. Volgens artikel 27 lid 4 vult de FRIA een bestaande DPIA aan voor zover die al een deel van de plichten dekt. De FRIA is wel breder: alle grondrechten, zoals non-discriminatie en toegang tot voorzieningen, niet alleen privacy. Nederlandse overheden kunnen daarvoor het geactualiseerde IAMA gebruiken. Wie een FRIA moet doen en hoe het IAMA daarbij helpt, leest u in FRIA en IAMA.
Eén proces voor beide wetten
- Eén overzicht. Leg per AI-toepassing beide sets kenmerken vast: rol en risiconiveau onder de AI-verordening, rol, gegevenscategorieën, grondslag en bewaartermijn onder de AVG. Laat het verwerkingsregister en het AI-register naar elkaar verwijzen; zie schaduw-AI en het AI-register.
- Eén intake. Nieuwe AI-tools gaan door één beoordeling: verboden praktijken, risiconiveau, transparantie, DPIA-screening en beveiliging.
- Eén gecombineerde effectbeoordeling. Voor hoog-risico-AI met persoonsgegevens: DPIA en FRIA in één document met een gedeelde systeembeschrijving, met aparte akkoorden waar nodig.
- Eén leverancierscontrole. Vraag naar verwerkersvoorwaarden, subverwerkers, opslaglocatie en gebruik van uw gegevens voor training, samen met de documentatie onder de AI-verordening.
- Eén opleidingsprogramma. Neem gegevensbescherming op in uw maatregelen voor AI-geletterdheid.
- Duidelijk eigenaarschap. De functionaris gegevensbescherming adviseert over persoonsgegevens; een AI-governance-eigenaar bewaakt de AI-verordening. Laat ze aan dezelfde tafel zitten.
Voor ondersteuning bij de AVG-kant kunt u terecht bij onze AVG-dienstverlening.
Veelgestelde vragen
Wat is het verschil tussen de AI-verordening en de AVG?
De AVG beschermt persoonsgegevens en geldt voor elke verwerking ervan, of er nu AI aan te pas komt of niet. De AI-verordening stelt eisen aan AI-systemen zelf, naar gelang het risico, ook als er geen persoonsgegevens in het spel zijn. Gebruikt u AI met persoonsgegevens, zoals een HR-tool of klantenservicebot, dan gelden beide wetten tegelijk.
Wat doet de Autoriteit Persoonsgegevens met AI?
De AP houdt toezicht op de AVG, ook bij AI, en is sinds 2023 coördinerend toezichthouder op algoritmes en AI. Volgens het wetsvoorstel voor de Uitvoeringswet AI-verordening wordt de AP ook markttoezichthouder voor verboden AI-praktijken, transparantieverplichtingen en een groot deel van de hoog-risico-toepassingen. Daarnaast publiceert de AP handreikingen, zoals over AI-geletterdheid.
Vervangt een DPIA de FRIA?
Nee, maar het scheelt werk. Artikel 27 lid 4 bepaalt dat de FRIA een bestaande DPIA aanvult waar die al onderdelen dekt. De FRIA kijkt breder dan privacy, naar alle grondrechten, zoals gelijke behandeling en toegang tot voorzieningen. Een gecombineerd document met een gedeelde systeembeschrijving is voor de meeste organisaties de efficiëntste aanpak.
Mag ik bijzondere persoonsgegevens gebruiken om bias te testen?
Onder voorwaarden wel. Het nieuwe artikel 4a, ingevoegd door de digitale omnibus, staat verwerking toe als dat strikt noodzakelijk is om bias op te sporen en te corrigeren, met waarborgen zoals pseudonimisering, beperkte toegang en verwijdering na correctie. Het geldt voor aanbieders en gebruiksverantwoordelijken. Leg vast waarom geanonimiseerde of synthetische data niet volstaan.
Mag ik Microsoft 365 Copilot gebruiken onder de AVG?
Dat kan, maar niet zonder voorbereiding. Uit het AP-advies over Copilot bij de gemeente Haarlemmermeer blijkt dat de AP een actueel verwerkingsregister, gelabelde documenten, beperkte autorisaties, opgeleide medewerkers en voldoende informatie van Microsoft verwacht. Voer een DPIA uit en richt die maatregelen in voordat u uitrolt.
Breng AVG en AI-verordening samen in kaart
Begin met één overzicht in plaats van twee projecten. Laat gratis uw AI-beleid en governance-documenten opstellen: in veertien stappen en ongeveer 40 minuten beantwoordt u vragen over uw AI-gebruik, gegevens en leveranciers. U ontvangt vier documenten op basis van uw antwoorden: een AI-gebruiksbeleid, een AI governance-raamwerk, een Checklist AI-leveranciersbeoordeling en een Sjabloon AI-risicoanalyse, plus een volwassenheidsbeeld over tien domeinen, waaronder privacy. De vragen zijn in het Nederlands, de documenten in het Engels als bewerkbare Word-bestanden. Vrijblijvend.
Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744, en de AVG. Gegevens over Nederlandse toezichthouders: stand oktober 2026.
Geschreven door
Country Manager, India
Praveena leidt Opsio's activiteiten in India en brengt meer dan 17 jaar sectoroverstijgende ervaring mee op het gebied van AI, productie, DevOps en managed services.
Redactionele richtlijnen: Dit artikel is geschreven door cloudspecialisten en beoordeeld door ons engineeringteam. We herzien het wanneer de technologie of regelgeving waarover het gaat verandert; de datums op deze pagina tonen de laatste update. Opsio is redactioneel onafhankelijk.