> Bron: https://neuralex.nl/blog/ai-act-en-avg > De AI Act en de AVG gelden vaak tegelijk, maar regelen verschillende kanten van AI. Lees waar transparantie, toezicht en risicobeoordeling samenkomen, waar gegevensregels kunnen schuren en hoe je dit praktisch aanpakt. [Terug naar kennisbank](/blog) AI Act ·6 oktober 2026 ·7 min lezen # AI Act en AVG: waar overlappen ze en waar botsen ze? De AI Act en de AVG gelden vaak tegelijk, maar regelen verschillende kanten van AI. Lees waar transparantie, toezicht en risicobeoordeling samenkomen, waar gegevensregels kunnen schuren en hoe je dit praktisch aanpakt. ## Twee regels met een ander doel De AI Act regelt vooral hoe AI-systemen worden ontworpen, aangeboden, ingezet en beheerst op basis van risico. De AVG regelt hoe organisaties persoonsgegevens verwerken: van verzamelen en gebruiken tot bewaren en verwijderen. Als een AI-systeem persoonsgegevens gebruikt, kunnen beide regels tegelijk gelden. Ze overlappen bij onderwerpen als transparantie, menselijk toezicht, gegevenskwaliteit en risicobeoordeling. Soms schuren ze, bijvoorbeeld wanneer je voor ontwikkeling of werking veel gegevens wilt gebruiken, terwijl je persoonsgegevens juist moet beperken tot wat nodig is. De regels moet je daarom in samenhang bekijken. Een beoordeling die alleen vraagt of het AI-systeem passend is beheerst, mist mogelijk de vraag of de verwerking van persoonsgegevens rechtmatig en zorgvuldig is. Andersom zegt een AVG-beoordeling op zichzelf niet genoeg over de risico’s van het AI-systeem en de beheersmaatregelen die daarvoor nodig zijn. De precieze toepassing hangt af van het systeem, het doel, de gegevens en de rol van je organisatie. Meer over persoonsgegevens staat in [AI en de AVG](/blog/ai-en-de-avg); voor de bredere AI-regels kun je ook [de AI Act voor het mkb](/blog/ai-act-voor-het-mkb) lezen. ## Rollen kunnen naast elkaar bestaan De AI Act maakt onderscheid tussen rollen zoals aanbieder en gebruiker. De aanbieder ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt of stelt het in gebruik. De gebruiker zet het systeem in binnen de eigen organisatie. Onder de AVG gaat het onder meer om de verwerkingsverantwoordelijke, die doel en middelen van de verwerking bepaalt, en de verwerker, die persoonsgegevens namens een ander verwerkt. Deze rollen vallen niet automatisch samen. Een bedrijf dat een AI-toepassing bouwt en aan klanten levert, kan voor die toepassing aanbieder zijn. Als het bedrijf ook persoonsgegevens gebruikt om de dienst zelf te leveren, kan het voor die verwerking daarnaast verwerkingsverantwoordelijke zijn. Een klant die de toepassing gebruikt, kan gebruiker onder de AI Act en verwerkingsverantwoordelijke onder de AVG zijn. Een leverancier die gegevens uitsluitend volgens instructies van die klant verwerkt, kan verwerker zijn. De feitelijke activiteiten en afspraken zijn bepalend; alleen een rolnaam in een contract beslist dit niet. Breng daarom per verwerking en per onderdeel van de AI-dienst in kaart wie welke keuzes maakt, toegang heeft tot gegevens en verantwoordelijk is voor beveiliging, informatie aan betrokkenen en het behandelen van verzoeken. Leg ook vast wie incidenten meldt en wie wijzigingen beoordeelt. Zo voorkom je dat taken tussen leverancier en klant blijven liggen. ## Waar de eisen elkaar versterken Transparantie is een duidelijk raakvlak. Mensen moeten in passende gevallen kunnen begrijpen dat ze met AI te maken hebben, hoe de toepassing op hoofdlijnen wordt gebruikt en wat de mogelijke gevolgen zijn. De AVG vraagt daarnaast om begrijpelijke informatie over persoonsgegevensverwerking. Eén heldere uitleg kan beide doelen ondersteunen, zolang die ook de specifieke informatiebehoeften van betrokkenen dekt. Menselijk toezicht is een ander raakvlak. Een medewerker moet weten wanneer controle nodig is, welke signalen aanleiding geven tot ingrijpen en hoe een uitkomst kan worden gecorrigeerd. Een formele goedkeuringsknop is niet genoeg als de medewerker geen tijd, informatie of bevoegdheid heeft om een advies te betwisten. Documentatie helpt om te laten zien hoe het systeem wordt gebruikt, welke gegevensstromen bestaan, welke beperkingen bekend zijn en wie beslissingen neemt. Ook risicobeoordeling en een DPIA kunnen elkaar aanvullen. Een AI-risicobeoordeling kijkt naar risico’s van het systeem en de inzet ervan, zoals onjuiste uitkomsten, discriminatie of onvoldoende menselijk toezicht. Een DPIA onderzoekt de gevolgen van een voorgenomen verwerking van persoonsgegevens voor de rechten en vrijheden van mensen. Ze hebben raakvlakken, maar beantwoorden niet precies dezelfde vragen. Afhankelijk van de verwerking kan een DPIA nodig zijn naast andere beoordelingen. Lees meer in [DPIA voor AI](/blog/dpia-voor-ai). ## Waar gegevensregels kunnen schuren AI-systemen hebben gegevens nodig voor ontwikkeling, testen of gebruik. Meer gegevens zijn echter niet vanzelf beter of toegestaan. De AVG vraagt om doelbinding en gegevensminimalisatie: verzamel en gebruik gegevens voor een omschreven doel en beperk ze tot wat daarvoor nodig is. Dat vraagt om een onderbouwing per gegevenscategorie, in plaats van de aanname dat alle beschikbare data bruikbaar is. Tegelijk vraagt een goed werkend systeem om gegevens die relevant, voldoende representatief en waar passend actueel zijn. Slechte of eenzijdige gegevens kunnen tot fouten of ongelijke uitkomsten leiden. Het doel is dus niet om kwaliteit na te streven door onbeperkt gegevens te verzamelen. Onderzoek welke gegevens nodig zijn, of je ze voor dit doel mag gebruiken, hoe je fouten en scheefheid opspoort en of minder ingrijpende gegevens of technieken volstaan. De juiste afweging verschilt per systeem en toepassing. Extra aandacht is nodig bij geautomatiseerde besluitvorming. Als een systeem bijvoorbeeld aanvragen rangschikt of een aanbeveling geeft, maakt dat nog niet automatisch de uiteindelijke beslissing. Maar als de uitkomst zonder betekenisvolle menselijke beoordeling bepalend is voor iemand, kunnen aanvullende eisen en waarborgen relevant zijn. Kijk naar wat er in de praktijk gebeurt, niet alleen naar de omschrijving van de workflow. Bepaal wie de uitkomst kan uitleggen, herzien en corrigeren. ## Een werkbare aanpak voor je bedrijf Voor een mkb-bedrijf hoeft dit geen los dossier per regel te worden. Maak één overzicht van AI-toepassingen en de bijbehorende verwerkingen van persoonsgegevens. Noteer per toepassing het doel, de gegevens, de leverancier, de interne eigenaar, de betrokken rollen en de belangrijkste risico’s. Een gezamenlijk register helpt hiaten te zien; het vervangt geen aparte beoordeling wanneer die voor een specifieke situatie nodig is. Voer vervolgens een gezamenlijke risicoanalyse uit met mensen uit de teams die de toepassing kiezen, beheren en gebruiken. Neem daarin zowel risico’s van het AI-systeem als gevolgen van de gegevensverwerking mee. Controleer of een DPIA nodig is en leg vast welke maatregelen volgen, wie ze uitvoert en wanneer je de beoordeling opnieuw bekijkt. Bij wijzigingen in doel, gegevens, leverancier of gebruik kan een eerdere inschatting achterhaald raken. Maak afspraken met leveranciers over welke gegevens zij ontvangen, voor welke doelen zij die gebruiken, of zij gegevens verder delen, hoe lang gegevens worden bewaard en hoe verwijdering werkt. Bespreek ook beveiliging, ondersteuning bij verzoeken van betrokkenen, incidenten, documentatie en wijzigingen aan het systeem. Controleer of de leverancier voldoende informatie geeft om jouw eigen beoordeling en toezicht uit te voeren. Een contract helpt verantwoordelijkheden verduidelijken, maar maakt jouw feitelijke rol niet anders. Gebruik deze checklist als startpunt: - Is het doel van de AI-toepassing concreet en intern vastgelegd? - Welke persoonsgegevens gaan erin, en zijn die nodig voor dit doel? - Wie is aanbieder of gebruiker, en wie is verwerkingsverantwoordelijke of verwerker? - Zijn informatie, menselijk toezicht en correctiemogelijkheden praktisch geregeld? - Zijn de kwaliteit, herkomst en mogelijke scheefheid van gegevens beoordeeld? - Is bepaald of een DPIA nodig is, naast de bredere risicoanalyse? - Zijn afspraken met leveranciers en verantwoordelijkheden bij wijzigingen duidelijk? ## Laat je juridisch toetsen Dit artikel geeft algemene informatie en is geen juridisch advies. De toepassing van de AI Act en de AVG hangt af van jouw situatie, het systeem en de verwerking. Laat een jurist of functionaris gegevensbescherming beoordelen wat voor jouw organisatie geldt. AI Act & AVG ## Wil je AI Act en AVG in samenhang aanpakken? We denken mee over een gezamenlijk register en een gezamenlijke risicoanalyse — algemene informatie, geen juridisch advies. Benieuwd wat dat voor jouw organisatie betekent? [Stel je vraag](/contact) [Lees over AI en de AVG](/blog/ai-en-de-avg) --- Volledige (opgemaakte) versie: https://neuralex.nl/blog/ai-act-en-avg