AI agents en de AVG: zo zet je AI verantwoord in binnen de Europese regels
AI agents en de AVG: voor veel ondernemers is dat het onderwerp dat de meeste vragen oproept. Logisch, want een agent werkt met klantgegevens, offertes en soms gevoelige informatie. Hij leest mails, zoekt in je CRM en neemt beslissingen. Dan wil je zeker weten dat je binnen de regels blijft.
Het goede nieuws: de regels zijn helder en goed toe te passen. De AVG geldt al jaren en verandert niet fundamenteel door AI. Daarnaast is de Europese AI-verordening, de EU AI Act, stap voor stap van kracht geworden. Voor de meeste toepassingen in sales, service en administratie zijn de eisen overzichtelijk.
Let op: deze pagina geeft een praktisch overzicht en is geen juridisch advies. Laat je bij twijfel adviseren door een privacyjurist of je functionaris gegevensbescherming.
Waarom privacy en AI extra aandacht vragen
Een klassiek softwarepakket doet wat je het opdraagt. Een AI agent werkt zelfstandiger. Hij bepaalt welke informatie hij opzoekt, combineert gegevens uit verschillende bronnen en neemt beslissingen. Dat maakt hem krachtig, maar het vraagt ook om extra zorgvuldigheid.
De Autoriteit Persoonsgegevens, die in Nederland toezicht houdt op privacy en de coördinatie van het algoritmetoezicht verzorgt, roept organisaties op om AI zorgvuldig in te zetten. Op de themapagina van de AP over algoritmes en AI vind je actuele richtlijnen en publicaties. Wil je eerst meer weten over agents in het algemeen? Lees dan onze pagina over AI agents.
Drie eigenschappen van agents maken het onderwerp privacy en AI bijzonder.
Wat de AVG vraagt bij AI agents
De AVG maakt geen onderscheid tussen AI en andere software. De bekende principes gelden gewoon. Bij AI agents verdienen vijf onderwerpen extra aandacht.
-
Een geldige grondslag
Voor elke verwerking van persoonsgegevens heb je een grondslag nodig. Bij AI agents in sales en service is dat meestal de uitvoering van een overeenkomst of een gerechtvaardigd belang. Toestemming is zelden nodig, maar controleer per toepassing welke grondslag past en leg die vast.
-
Dataminimalisatie
Geef een agent alleen toegang tot de gegevens die hij voor zijn taak nodig heeft. Een agent die leveringen inplant, heeft geen toegang nodig tot salarisgegevens of medische informatie. Stel de rechten per agent zo beperkt mogelijk in.
-
Een verwerkersovereenkomst
Verwerkt een externe partij persoonsgegevens voor jou, dan heb je een verwerkersovereenkomst nodig. Bij AI agents geldt dat voor je softwareleverancier en vaak ook voor de aanbieder van het taalmodel. Een verwerkersovereenkomst voor AI moet duidelijk maken waar de data wordt verwerkt, of de aanbieder je data gebruikt om modellen te trainen en hoe lang gegevens worden bewaard.
-
Een DPIA bij hoog risico
Een gegevensbeschermingseffectbeoordeling, of DPIA, is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor betrokkenen. Bij een agent die klantvragen beantwoordt, is dat meestal niet het geval. Bij een agent die beslissingen neemt over sollicitanten, kredietwaardigheid of grootschalige profilering wel. Twijfel je, voer de DPIA dan toch uit. Het helpt je ook om risico's helder te krijgen.
-
Rechten van betrokkenen
Klanten en medewerkers behouden hun rechten, zoals inzage, correctie en verwijdering. Zorg dat je kunt achterhalen welke gegevens een agent heeft verwerkt. Voor geautomatiseerde besluiten met aanzienlijke gevolgen geldt bovendien dat betrokkenen recht hebben op menselijke tussenkomst.
De EU AI Act: wat geldt er nu?
De EU AI Act, in het Nederlands de AI-verordening, is de eerste uitgebreide AI-wet ter wereld. De wet deelt AI-toepassingen in op basis van risico en stelt eisen die oplopen naarmate het risico groter is. De verplichtingen gaan gefaseerd in.
De vier risicocategorieën
| Categorie | Voorbeelden | Wat het betekent |
|---|---|---|
| Onaanvaardbaar risico | Sociale scoring, manipulatieve technieken | Verboden |
| Hoog risico | Werving en selectie, kredietbeoordeling, onderwijs | Strenge eisen aan documentatie, toezicht en kwaliteit |
| Beperkt risico | Chatbots en AI agents die met klanten communiceren | Transparantieplicht |
| Minimaal risico | Spamfilters, interne samenvattingen | Geen specifieke eisen |
De meeste AI agents voor sales, klantenservice en administratie vallen in de categorieën beperkt of minimaal risico. Gebruik je een agent voor het beoordelen van sollicitanten of kredietwaardigheid, dan schuif je op naar hoog risico.
Wat al van kracht is
- Verboden toepassingen gelden sinds februari 2025.
- AI-geletterdheid is sinds februari 2025 verplicht. Organisaties die AI inzetten, moeten zorgen dat hun medewerkers voldoende kennis hebben om er verantwoord mee te werken.
- Transparantieverplichtingen gelden sinds augustus 2026. Mensen moeten weten dat ze met een AI-systeem communiceren, en door AI gegenereerde content moet in bepaalde gevallen herkenbaar zijn.
Waar wordt je data verwerkt?
Dit is misschien wel de belangrijkste vraag bij AVG-proof AI. Een agent bestaat uit twee lagen: de software waarin hij draait en het taalmodel dat hem laat denken. Die twee kunnen op verschillende plekken staan.
De drie scenario's
| Scenario | Waar de data heen gaat | Aandachtspunt |
|---|---|---|
| Model gehost door je softwareleverancier in de EU | Blijft binnen de omgeving van je leverancier | Meest eenvoudig vanuit AVG-oogpunt |
| Extern model via je leverancier | Naar de modelaanbieder, mogelijk buiten de EU | Controleer regio, bewaartermijnen en training op je data |
| Eigen koppeling met een externe aanbieder | Rechtstreeks naar die aanbieder | Je bent zelf verantwoordelijk voor de afspraken |
Aansprakelijkheid en menselijk toezicht
Wat gebeurt er als een agent een fout maakt? Hij stuurt een verkeerde offerte, geeft onjuist advies of wijzigt per ongeluk een klantrecord. Juridisch is het antwoord meestal helder: jij als organisatie bent verantwoordelijk voor de systemen die je inzet. Een agent is een hulpmiddel, geen zelfstandige rechtspersoon.
Daarom is menselijk toezicht geen formaliteit, maar een kernonderdeel van verantwoord gebruik.
Zo richt je toezicht in
Zoho, Creatio en de AVG
Zowel Zoho als Creatio heeft veel aandacht voor privacy en biedt Europese klanten mogelijkheden om AVG-conform te werken. Toch blijft jouw inrichting bepalend.
AVG-proof AI met een privé AI-omgeving
Voor sommige organisaties is een standaard AI-dienst niet genoeg. Denk aan bedrijven die werken met gevoelige klantdata, vertrouwelijke contracten of strikte eisen van opdrachtgevers. Voor hen biedt Mobile XL een AVG-proof AI-omgeving: een privé omgeving waarin AI draait in een Europees datacenter, afgeschermd van publieke AI-diensten.
Zo combineer je de mogelijkheden van moderne AI met de zekerheid dat je data binnen de Europese regels blijft. Meer informatie vind je op onze pagina over AVG-proof AI-omgeving.
-
Data binnen de EU
De verwerking vindt plaats in een Europees datacenter. Je weet precies waar je gegevens zijn.
-
Geen training op jouw data
Je bedrijfsinformatie wordt niet gebruikt om publieke modellen te verbeteren.
-
Koppeling met je eigen systemen
De omgeving wordt aangesloten op je bestaande bronnen, zoals je CRM of database, met precies de rechten die nodig zijn.
-
Volledige controle
Jij bepaalt wie toegang heeft, welke data beschikbaar is en hoe lang gegevens worden bewaard.
Checklist: zo maak je je AI agents AVG-proof
Gebruik deze checklist bij elke nieuwe agent die je in gebruik neemt.
- Ik heb vastgelegd welke persoonsgegevens de agent verwerkt en met welk doel.
- Ik heb per toepassing een geldige grondslag bepaald.
- De agent heeft alleen toegang tot de gegevens die hij nodig heeft.
- Ik weet waar het taalmodel draait en of dat binnen de EU is.
- Ik heb verwerkersovereenkomsten met mijn softwareleverancier en de modelaanbieder.
- Het is vastgelegd dat mijn data niet wordt gebruikt om modellen te trainen.
- Ik heb beoordeeld of een DPIA nodig is, en die zo nodig uitgevoerd.
- Klanten weten dat ze met een AI agent communiceren.
- Klanten kunnen altijd eenvoudig vragen om een medewerker.
- De beslisruimte van de agent en de controlemomenten zijn vastgelegd.
- Alle acties van de agent worden gelogd.
- Er is een eigenaar die de agent bewaakt en bijstuurt.
- Medewerkers die met de agent werken, zijn voldoende geschoold in AI.
Hoe je dit in een implementatietraject verwerkt, lees je in AI agent implementeren. Voor specifieke toepassingen kun je ook kijken naar AI agents in sales en CRM en procesautomatisering met AI agents.
Privacy was voor ons de grootste zorg. Nu weten we precies welke gegevens de agent gebruikt en waar ze blijven, en dat geeft rust.
Verantwoord innoveren met AI
AI agents en de AVG gaan prima samen, zolang je de juiste keuzes maakt. Met een heldere inrichting, transparantie richting klanten en goed menselijk toezicht benut je de kracht van AI zonder je zorgen te maken over privacy. Mobile XL helpt MKB-bedrijven in Nederland en Vlaanderen om AI agents in Zoho en Creatio AVG-proof in te richten, en biedt een privé AI-omgeving binnen de EU voor organisaties met extra hoge eisen.
Veelgestelde vragen over AI agents en de AVG
-
Ja. De AVG verbiedt AI niet, maar stelt wel eisen. Je hebt een geldige grondslag nodig, beperkt de verwerking tot wat nodig is, sluit verwerkersovereenkomsten af en respecteert de rechten van betrokkenen.
-
De EU AI Act is de Europese AI-verordening. De wet deelt AI-toepassingen in op risico. Voor de meeste agents in sales en service betekent dat vooral een transparantieplicht en de verplichting om medewerkers voldoende AI-kennis te geven.
-
Meestal in de categorie beperkt of minimaal risico. Agents die beslissingen nemen over sollicitanten, kredietwaardigheid of toegang tot onderwijs vallen wel onder hoog risico.
-
Ja. Sinds augustus 2026 geldt de transparantieplicht uit de AI Act. Klanten moeten weten dat ze met een AI-systeem communiceren. Zorg daarnaast dat ze altijd eenvoudig een medewerker kunnen spreken.
-
Ja, als een externe partij persoonsgegevens voor jou verwerkt. Dat geldt voor je softwareleverancier en vaak ook voor de aanbieder van het taalmodel.
-
Dat hangt af van het taalmodel. Bij een model dat je leverancier zelf in de EU host, blijft je data binnen die omgeving. Bij een extern model gaat de data naar de modelaanbieder, mogelijk buiten de EU.
-
Alleen als de verwerking waarschijnlijk een hoog risico oplevert, zoals bij grootschalige profilering of beslissingen over sollicitanten of krediet. Bij twijfel is het verstandig de DPIA toch uit te voeren.
-
In de regel de organisatie die de agent inzet. Daarom zijn menselijk toezicht, duidelijke beslisgrenzen, logging en goede afspraken met je leverancier zo belangrijk.
-
Beperk de toegang tot de nodige data, kies bij voorkeur een model dat binnen de EU draait, sluit verwerkersovereenkomsten af, wees transparant naar klanten en richt menselijk toezicht en logging in. Voor gevoelige data is een privé AI-omgeving binnen de EU de veiligste keuze.
-
Beide platforms bieden Europese klanten de mogelijkheden om AVG-conform te werken, zoals verwerkersovereenkomsten en toegangsbeheer. Of jouw gebruik AVG-proof is, hangt af van je eigen inrichting, zoals de keuze van het taalmodel en de rechten van agents.
Wil je zeker weten dat jouw AI-toepassingen voldoen aan de Europese regels?
Plan een vrijblijvend gesprek en we lopen samen je situatie door.