Zodra een systeem voor artificiële intelligentie persoonsgegevens verwerkt, is de algemene verordening gegevensbescherming (AVG) van toepassing. De AI Act en de AVG zijn twee afzonderlijke maar complementaire kaders: het eerste reguleert AI-systemen naargelang hun risico, het tweede beschermt persoonsgegevens.
De AVG verdwijnt niet
Zoals de Gegevensbeschermingsautoriteit (GBA) benadrukt, zijn nieuwe technologieën niet uitgesloten van het toepassingsgebied van de AVG, en de wisselwerking tussen de AVG en de AI Act is complex. De komst van de AI Act ontslaat dus niemand van het naleven van de AVG-beginselen: rechtmatigheid, minimale gegevensverwerking, doelbinding, transparantie en de rechten van de betrokkenen.
Wat de EDPB zegt over AI-modellen
In zijn advies 28/2024 (18 december 2024), aangenomen op verzoek van de Ierse autoriteit, onderzoekt het Europees Comité voor gegevensbescherming (EDPB) drie vragen: wanneer een AI-model als anoniem kan worden beschouwd (beoordeling geval per geval; het moet zeer onwaarschijnlijk zijn om personen te identificeren of hun gegevens via query's te onttrekken), of het gerechtvaardigd belang als rechtsgrond kan dienen (te beoordelen via een test in drie stappen, met een noodzakelijkheidstoets en een afweging van rechten), en de gevolgen wanneer een model is ontwikkeld met onrechtmatig verwerkte gegevens.
Effectbeoordeling en redelijke verwachtingen
In de praktijk kan een verwerking die een hoog risico kan inhouden een voorafgaande gegevensbeschermingseffectbeoordeling (DPIA) vereisen. De EDPB vraagt bovendien na te gaan of de betrokkenen een dergelijk gebruik van hun gegevens redelijkerwijs konden verwachten, rekening houdend met onder meer het al dan niet openbare karakter van de gegevens, de context van de verzameling en de relatie met de verwerkingsverantwoordelijke. Mitigerende maatregelen kunnen de negatieve gevolgen beperken.
Uw rechten, in de praktijk
Wanneer een organisatie gegevens verwerkt op basis van het gerechtvaardigd belang — vaak ingeroepen voor het trainen van AI-modellen — beschikt de betrokkene over een recht van bezwaar. De GBA, die in september 2025 een gezamenlijke verklaring voor betrouwbare datagovernance inzake AI ondertekende, publiceert hierover informatie.
Omdat de materie snel evolueert (de EDPB bereidt onder meer richtsnoeren over webscraping voor), moet de analyse geval per geval gebeuren. Bij twijfel is het verstandig de functionaris voor gegevensbescherming of de bevoegde autoriteit te raadplegen.