AI, de AI-verordening en de AVG

De impact op de veilige verwerking van persoonsgegevens en de onderlinge verhouding van beide kaders

Download PDF

Overheidsorganisaties zetten steeds vaker AI in, bijvoorbeeld bij dienstverlening, handhaving, besluitvorming over burgers en interne bedrijfsvoering. Vrijwel elke AI-toepassing verwerkt persoonsgegevens, ook als dat niet direct zichtbaar is. Dit gaat bijvoorbeeld via prompts, logbestanden of trainingsdata en daarmee raakt AI-inzet altijd aan de Algemene Verordening Gegevensbescherming (AVG).

Complementaire kaders

De AVG en de AI-verordening beschermen verschillende belangen. De AVG is een grondrechtenkader gericht op rechtmatige gegevensverwerking. De AI-verordening behandelt AI-systemen als product en stelt eisen aan veiligheid, kwaliteit en grondrechtenbescherming gedurende de hele levenscyclus.

De verordening bepaalt expliciet dat zij de AVG onverkort laat gelden (artikel 2, lid 7). Voldoen aan de AI-verordening ontslaat een organisatie dus niet van AVG-verplichtingen, en omgekeerd. Waar beide kaders overlappen, geldt het strengste regime.

Extra impact voor overheids-organisaties

Drie elementen maken de impact voor overheidsorganisaties groter dan voor de gemiddelde private organisatie:

Verplichte grondrechtentoets zonder uitzondering. Voor hoog-risico AI-systemen (bijlage III) geldt een grondrechteneffectbeoordeling (FRIA) standaard voor publiekrechtelijke organen. Typische overheidstoepassingen vallen hier direct onder: toegang tot uitkeringen en publieke diensten, onderwijsbeoordeling, werving en selecctie en bepaalde toepassingen in rechtshandhaving en migratie.
Registratieplicht in de EU-bank. Overheidsinstanties die hoog-risico AI-systemen inzetten, zijn verplicht deze te registreren in de Europese AI-databank (artikel 71). Private gebruiksverantwoordelijken hebben die verplichting niet.
IAMA als de facto standaard. Het impact Assessment Mensenrechten en Algoritmes (IAMA) is sinds februari 2026 expliciet in lijn gebracht met de FRIA-verplichting. Binnen de Rijksoverheid is gebruik ervan voorgeschreven bij beslissingen over mensen. Het is noodzaak om dit instrument ook bij ogenschijnlijk lichtere toepassingen standaard te overwegen. De context van inzet kan namelijk een systeem alsnog tot hoog risico maken, ook als het systeem dat zelf op het eerste gezicht niet is.

Wanneer geldt wat?

Februari 2025

Verboden AI praktijken en verplichting van AI geletterdheid. Gedocumenteerd programma is vereist, ongeacht risiconiveau.

Augustus 2026

Kernverplichtingen hoog-risico AI. Sociaal domein, onderwijs, werving.

December 2027

Na verwacht uitstel (Digital Omnibus): definitieve datum kernverplichtingen hoog risico.

Start nu met de voorbereiding

Wacht niet tot alle regels van kracht zijn maar kijk hieronder wat je nu kunt doen.

Boetes

Boetes onder de AI-verordening kunnen oplopen tot €35 miljoen of 7% van de jaaromzet, naast het bestaande boeteplafond van de AVG (€20 miljoen of 4%). Bij een incident waarbij beide kaders worden geschonden, kunnen sancties cumuleren.

De Europese Commissie werkt aan een vereenvoudigingspakket dat onder meer een mogelijk uitstel van verplichtingen voor hoog-risico AI bevat. Dit pakket is nog geen geldend recht. Pas daarom beleid, DPIA’s, FRIA’s en contracten dus nog niet aan op tekst die nog kan wijzigen. Richt de eigen compliance-inrichting wel modulair in, zodat toekomstige wijzigingen snel doorgevoerd kunnen worden.

Wat kun je nu doen?

Stel een actueel AI-register op met risicoclassificatie en rolbepaling per systeem en wijs bestuurlijk eigenaarschap toe.
Zorg voor een gedocumenteerd AI-geletterdheidsprogramma; dit is al verplicht, ongeacht risiconiveau.
Maak FRIA/IAMA en DPIA een vast onderdeel van besluitvorming, zeker bij toepassingen met rechtsgevolgen voor burgers.
Actualiseer je leverancierscontracten op gebruik van prompts voor modeltraining, bewaartermijnen en aansprakelijkheid.
Leg menselijk toezicht aantoonbaar vast in werkprocessen, inclusief escalatieroutes.
Richt incidentprocedures in die zowel een datalek (AVG) als een ernstig AI-incident afdekken.
Volg het Digitale Omnibus-dossier actief, maar vertraag de huidige verplichtingen niet.

De inzet van AI is geen voorbijgaande ontwikkeling en de AI- verordening is een blijvend kader naast de AVG. Voor organisaties betekent dit een dubbele opgave: bestaande AVG-praktijken moeten worden doorontwikkeld en tegelijk moet een nieuw, productgericht compliancekader worden ingebed in inkoop, projectmanagement en bestuurlijke besluitvorming. Het samenspel van AVG en AI-verordening vraagt om begeleiding die beide kaders in samenhang behandelt: van inventarisatie en risicoclassificatie tot DPIA, FRIA, contractuele afspraken en governance op bestuursniveau. Parell BV biedt die begeleiding vanuit de gecombineerde expertise van Functionaris Gegevensbescherming (FG) en Certified AI Compliance Officer (CAICO).

Over de auteur

Erik Steijn is een ervaren, mensgerichte FG/DPO en CAICO die op het snijvlak van privacy, security en verantwoord datagebruik opereert, met een duidelijke focus op overheid en zorg. Hij combineert zijn juridische privacy-expertise met praktijkervaring, waar hij organisaties helpt om AVG- en AI- compliance duurzaam te verankeren in bestuur, processen en gedrag.

PArell academy

Omgaan met AI, de AI-act en de AVG leer je bij Parell

Krijg in 2 dagen inzicht in de basis, de AI-verordening, publieke waarden, ethiek en fundamentele rechten met de leergang Algoritmes & AI, ontdek hoe je bij jouw organisatie aan de slag kunt gaan met de training Verantwoord algoritme gebruik bij gemeenten of schrijf je in voor de Lunch & Learn en leer hoe je verantwoord AI kunt inzetten.

Vragen of behoefte aan ondersteuning?

Neem contact op

Mail Erik