AVG generatieve AI richtlijnen: wat ZZP en MKB moeten weten
Geen juridisch advies — raadpleeg een belastingadviseur of juridisch specialist voor uw specifieke situatie.
De EU AI Act en de bijbehorende AVG generatieve AI richtlijnen klinken abstract, maar ze raken al snel de dagelijkse praktijk van zelfstandigen en kleine bedrijven. Gebruikt u ChatGPT voor offertes, een AI-tool voor personeelsselectie of een chatbot voor klantcontact? Dan bent u als ondernemer eerder betrokken dan u misschien denkt. Hieronder leest u wat er concreet verandert en wat u nú kunt doen.
Wat zijn de AVG generatieve AI richtlijnen precies?
De Autoriteit Persoonsgegevens (AP) heeft twee documenten gepubliceerd die specifiek gaan over generatieve AI: een handreiking voor ontwikkelaars én een praktisch hulpmiddel voor organisaties die generatieve AI willen implementeren. Beide documenten bouwen voort op de bestaande AVG en leggen uit hoe die regels gelden voor tools als grote taalmodellen (LLM's).
Kern van de richtlijnen: verwerk nooit meer persoonsgegevens dan strikt noodzakelijk. De AP noemt vier concrete aandachtspunten:
| Aandachtspunt | Praktische vraag |
|---|---|
| Doel van de upload | Waarom verwerk ik deze gegevens via dit AI-systeem? |
| Noodzakelijkheid | Kan ik hetzelfde bereiken zonder persoonsgegevens te gebruiken? |
| Leverancierskeuze | Welke data verwerkt de AI-aanbieder, en waar? |
| Bewaartermijn | Hoe lang slaat de tool mijn invoer op, en wie heeft er toegang toe? |
Deze vragen zijn niet vrijblijvend. Volgens de AP gelden de beginselen van doelbinding en dataminimalisatie uit artikel 5 lid 1 AVG onverkort, ook als u als ZZP'er een gratis AI-abonnement gebruikt.
De EU AI Act: wanneer geldt het en voor wie?
Naast de AVG komt er per 2 augustus 2026 een extra laag regelgeving: Verordening (EU) 2024/1689, beter bekend als de EU AI Act. Dit is de eerste brede Europese wet die kunstmatige intelligentie als zodanig reguleert.
De wet maakt onderscheid in risicocategorieën. Voor ZZP'ers en MKB is de categorie hoog-risico AI het meest relevant. Daarbinnen vallen systemen die worden ingezet voor:
- Werving, selectie of beoordeling van medewerkers of opdrachtnemers
- Kredietbeoordeling of financiële risico-inschatting
- Bepaalde vormen van klantprofilering
Bij hoog-risico toepassingen gelden volgens de verordening verplichtingen rondom transparantie, uitlegbaarheid en menselijk toezicht. Schending kan leiden tot boetes die oplopen tot tientallen miljoenen euro's, of een percentage van de wereldwijde omzet.
Stel: u werkt als IT-consultant en gebruikt een AI-tool om kandidaten voor een klantproject te beoordelen op basis van hun cv-data. Die toepassing valt hoogstwaarschijnlijk onder hoog-risico AI. U bent dan niet alleen gebonden aan de AVG-richtlijnen voor generatieve AI, maar ook aan de uitlegbaarheidsvereisten van de AI Act.
Voor algemene, laag-risico toepassingen (zoals een grammaticacheck of een AI-schrijftool zonder persoonsgegevens) gelden veel lichtere verplichtingen. Het is dus belangrijk dat u weet wat uw tool doet en welke data daarin stroomt.
Volgens het CBS waren er begin 2024 ruim 1,2 miljoen actieve ZZP'ers in Nederland. Juist voor zelfstandigen, die zelden een juridische afdeling hebben, is het verstandig vroeg te beginnen.
Probeer PrikKlokPlus gratis en zorg dat uw administratie op orde is vóórdat de nieuwe regelgeving van kracht wordt.
Wat betekent dit concreet voor uw dagelijkse praktijk?
Compliance klinkt ingewikkeld, maar de eerste stappen zijn overzichtelijk:
-
Breng uw AI-gebruik in kaart. Welke tools gebruikt u? Denk aan AI-schrijfhulpen, planningstools, CRM-systemen met AI-functies of slimme factuurverwerkers. Noteer per tool of er persoonsgegevens in worden verwerkt.
-
Controleer de verwerkersovereenkomst. Gebruikt u een commerciële AI-dienst voor zakelijke doeleinden waarbij klantgegevens worden ingevoerd? Volgens de AP sluit u dan een verwerkersovereenkomst (DPA) met de aanbieder. Veel grote aanbieders bieden dit standaard aan, maar u moet het wél activeren.
-
Beoordeel het risiconiveau. Vraag uzelf af: beoordeelt mijn AI-tool personen? Beïnvloedt de uitkomst iemands kansen op werk, krediet of toegang tot een dienst? Zo ja: reken op hogere eisen per augustus 2026.
-
Documenteer uw keuzes. De AP verwacht dat organisaties, ook kleine, kunnen aantonen dat ze bewuste keuzes hebben gemaakt. Een korte interne notitie volstaat vaak al.
Voor ZZP'ers die ook het urencriterium van de Belastingdienst moeten bijhouden, is een goede digitale administratie sowieso onmisbaar. Lees meer over hoe u het urencriterium van 1225 uur correct bijhoudt en waarom nauwkeurige tijdregistratie daarvoor de basis is.
Combineer compliance met slimme tijdregistratie
Compliance gaat over uw gehele bedrijfsadministratie. Wie zijn uren structureel bijhoudt, heeft een betere basis voor facturatie, belastingaangiften én het aantonen van gewerkte tijd bij eventuele controles.
De AVG-richtlijnen voor generatieve AI vragen bovendien om transparantie over hoe u data verwerkt. Als u urenregistratiedata invoert in een AI-tool (bijvoorbeeld om roosters te optimaliseren) geldt ook dáár het dataminimalisatiebeginsel.
Wilt u weten hoe digitale urenregistratie zich verhoudt tot een papieren of Excel-aanpak? Lees onze vergelijking van Excel versus urenregistratie software voor een praktisch overzicht.
Ook handig: de tips voor correcte urenregistratie als ZZP'er, inclusief hoe u uw administratie zo inricht dat die klopt voor de Belastingdienst én voor eventuele AVG-controles.
Conclusie
De AVG generatieve AI richtlijnen van de Autoriteit Persoonsgegevens gelden nu al. De EU AI Act voegt per augustus 2026 een extra laag toe, met name voor wie AI inzet bij het beoordelen van personen. Voor ZZP'ers en MKB geldt: breng uw AI-gebruik in kaart, sluit de juiste overeenkomsten af en documenteer uw keuzes. Een goede digitale administratie, inclusief betrouwbare urenregistratie, is daarbij de basis waarop alles rust.
Veelgestelde vragen
Geldt de EU AI Act ook voor mij als ZZP'er die alleen ChatGPT gebruikt voor teksten? Ja, maar het risiconiveau is laag zolang u geen persoonsgegevens verwerkt en geen personen beoordeelt. De AVG-beginselen gelden wel altijd: voer geen klantdata in zonder na te denken over het doel en de noodzakelijkheid daarvan.
Wanneer is een AI-toepassing 'hoog-risico' voor mijn bedrijf? Algemene vuistregel: zodra uw AI-tool meeweegt in beslissingen die iemands kansen beïnvloeden (bij werk, krediet of toegang tot diensten) zit u volgens de AI Act in de hoog-risico categorie. Denk aan een AI die cv's rangschikt of klanten scoort.
Moet ik een verwerkersovereenkomst sluiten met mijn AI-aanbieder? Volgens de AP is dat nodig als u persoonsgegevens van klanten, medewerkers of derden invoert in een AI-systeem voor zakelijke doeleinden. Controleer de privacyinstellingen van uw tool en zoek naar een Data Processing Agreement (DPA) of verwerkersovereenkomst.
Wat als ik niks doe vóór augustus 2026? Dan loopt u het risico op handhaving door de AP of de toezichthouder voor de AI Act. Voor hoog-risico toepassingen kunnen boetes aanzienlijk oplopen. Voor laag-risico gebruik zijn de directe gevolgen beperkter, maar het ontbreken van documentatie kan bij een controle alsnog tot problemen leiden.
Hoe verhoudt AI-compliance zich tot mijn urenregistratie? Als u urendata verwerkt via een AI-tool, geldt de AVG. Kiest u voor een transparante SaaS-oplossing, dan weet u precies waar uw data staat en wie er toegang toe heeft, wat uw compliance-verhaal aanzienlijk eenvoudiger maakt.
Zet uw administratie op orde vóór de AI-regelgeving van kracht wordt
Betrouwbare urenregistratie is de basis van iedere gezonde bedrijfsadministratie en een voorwaarde voor AVG-conforme dataverwerking. PrikKlokPlus helpt ZZP'ers en MKB-bedrijven hun uren overzichtelijk bij te houden, volledig in lijn met Nederlandse wet- en regelgeving.