AVG-verantwoordelijkheden per fase van uw generatieve-AI-workflow vastleggen

U moet per fase van uw AI-workflow vastleggen wie verwerkingsverantwoordelijke of verwerker is, op welke rechtsgrond gegevens worden verwerkt, en hoe u die rolverdeling in contracten en auditrechten afdwingt. Dit geldt voor scraping, training, inference en logging tegelijk.

De aanleiding is concreet. Een analyse van 8 september 2026 van de EDPB-richtsnoeren over webscraping en de AP-handreiking voor generatieve AI stelt dat AI-verwerking van persoonsgegevens onder de AVG valt en dat beginselen zoals doelbinding, transparantie en gegevensminimalisatie gelden vóórdat een organisatie naar een rechtsgrond kijkt. De praktische casus is een interne kennisassistent of AI-ondersteunde klantcommunicatie, waar u gerechtvaardigd belang als rechtsgrond wilt gebruiken. In onze inschatting is de consequentie dat organisaties AVG en AI Act niet langer als twee losse compliance-dossiers kunnen behandelen — één toezichthouder in Nederland kijkt naar beide tegelijk.

Welke AVG-beginselen gelden in elke workflowfase?

De EDPB wijst een generieke vrijstelling voor AI-training af. Rechtmatigheid, transparantie, doelbinding, dataminimalisatie, juistheid en vertrouwelijkheid vormen de basis voor het gebruik van persoonsgegevens in AI-modellen. Deze beginselen gelden niet alleen bij het scrapen van online gegevens, maar doorlopend: bij het trainen van modellen, bij de inference (de daadwerkelijke AI-output), en bij het vastleggen van logboeken.

Als u gerechtvaardigd belang als rechtsgrond gebruikt, moet dat volgens de EDPB door een driestappentoets: een legitiem doel, de noodzakelijkheid van de verwerking en een belangenafweging tegen de rechten van betrokkenen. Dit geldt ongeacht of u zelf scrapt, scraping uitbesteedt of kant-en-klare datasets en modellen inkoopt. Organisaties die modellen van derden gebruiken, hebben een due-diligence-plicht — u kunt de AVG-verantwoordelijkheid niet volledig afschuiven op een dataleverancier of extern AI-lab.

Welke rollen en verantwoordelijkheden moet u per fase documenteren?

• Verwerkingsverantwoordelijke bij scraping — wie bepaalt doelen en middelen van de gegevensverzameling, en op welke rechtsgrond.
• Verwerker bij training — wie voert de trainingsactiviteiten uit onder instructie van de verantwoordelijke, en welke auditrechten heeft u.
• Verwerkingsverantwoordelijke bij inference — wie bepaalt hoe het model in productie gaat en welke persoonsgegevens daarin mogen.
• Verwerker bij logging — wie beheert de logs van AI-outputs, en hoe lang worden deze bewaard.
• Subverwerkers in de keten — welke derde partijen hebben toegang tot persoonsgegevens, en welke contractuele waarborgen gelden.

Leg deze rolverdeling vast in contracten en in een Data Protection Impact Assessment (DPIA). De auditrechten en bewijsverplichtingen in AI-contracten zijn het instrument om de due-diligence-plicht feitelijk afdwingbaar te maken.

Welke concrete controles moet u kunnen aantonen?

1. Documenteer welk model elke workflow gebruikt — vastleggen welke AI-modellen in productie gaan en welke persoonsgegevens zij verwerken.
2. Voer een DPIA uit per workflow — beoordeel risico's van de gegevensverwerkingen en documenteer hoe u die mitigeert.
3. Sluit verwerkingsovereenkomsten met leveranciers — zorg dat contracten auditrechten, vertrouwelijkheid en subverwerkertoezicht regelen.
4. Stel vast op welke rechtsgrond u persoonsgegevens verwerkt — kies tussen toestemming, contractuele noodzaak, wettelijke verplichting of gerechtvaardigd belang, en documenteer de belangenafweging.
5. Bewaar logboeken van wie toegang tot modellen en trainingsgegevens had — maak herkomst en verwerking per workflow herleidbaar.
6. Zet een controleagenda op per fase — definieer wie wat controleert, hoe vaak, en wat de escalatiepad is.

Hoe past de AI Act in dit kader?

De AI Act legt systeem- en modelplichten bovenop de AVG, maar vervangt die niet. In Nederland wijst dezelfde autoriteit (de Autoriteit Persoonsgegevens) toezicht uit op verboden AI-praktijken, high-risk-systemen en transparantieverplichtingen van de AI Act, terwijl zij tegelijk AVG-handhaving uitvoert. Een sterk privacy-dossier naast een zwak AI-dossier — of andersom — houdt bij die integrale toets geen stand.

Verificatiegereedschap kan helpen om verwerking zichtbaar te maken en herkomst aantoonbaar in te richten, maar verandert de onderliggende plichten niet. Systemen die geanonimiseerde inhoud naar AI-modellen sturen en verificatiestappen vastleggen, kunnen uw controleagenda ondersteunen. Het professionele eindoordeel over AVG-compliance en de keuze van rechtsgrond blijft echter bij u.