Een AI-agent kan klantdata verwerken, maar het antwoord is niet automatisch ja. Het hangt af van het doel, de soorten gegevens, je grondslag, de beveiliging en de rol van iedere leverancier. De AVG geldt zodra persoonsgegevens worden verwerkt. Vanaf 2 augustus 2026 gelden daarnaast specifieke transparantieplichten uit de EU AI Act. De praktische route: breng precies in kaart welke data de agent raakt, waarom dat nodig is, waar die data verwerkt wordt en welke menselijke controle past bij het risico.
Dat is goed vooraf te regelen. Uit KVK-onderzoek uit 2025 blijkt dat drie op de tien ondernemers ChatGPT of Copilot gebruiken, maar dat slechts 7 procent zegt goed op de hoogte te zijn van de AI Act. Dat gat tussen gebruik en kennis is precies waar risico鈥檚 kunnen ontstaan.
Wat zegt de AVG over een agent?
Geen aparte vrijstelling, en dat is juist het punt. De Autoriteit Persoonsgegevens noemt AI-agents expliciet als toepassingen die persoonsgegevens kunnen verwerken. De bestaande AVG-vragen gelden dus ook hier:
- Grondslag: waarom mag je deze gegevens verwerken, en dekt die grondslag ook verwerking door een agent?
- Doelbinding: klantdata die je verzamelde om facturen te sturen, mag niet zomaar trainingsvoer of analysemateriaal worden voor iets heel anders.
- Rollen en verwerkers: verwerkt een extern platform de data namens jou, bepaal dan de rollen correct en sluit waar nodig een verwerkersovereenkomst.
- Doorgifte: verlaten de gegevens de Europese Economische Ruimte, of kunnen subverwerkers daar toegang toe krijgen? Controleer dan het doorgiftemechanisme en de aanvullende waarborgen.
Die laatste twee punten maken de architectuurkeuze minstens zo belangrijk als de modelkeuze. Lokale of Europese verwerking kan internationale doorgifte beperken, maar maakt een toepassing niet automatisch AVG-proof. Grondslag, doelbinding, beveiliging, bewaartermijnen, rechten van betrokkenen en afspraken met leveranciers blijven gelden. Dat zijn ook de punten die Renforza bij het inrichten van agents vooraf in kaart wil brengen, in de uitvoering samen met onze technische zusterpartij aitonomi.
Wat verandert er op 2 augustus 2026?
Vanaf die datum gelden de transparantieplichten uit artikel 50 van de AI Act. De Europese Commissie vat de kern zo samen: mensen moeten worden ge茂nformeerd wanneer zij met een AI-systeem interacteren, tenzij dat uit de omstandigheden duidelijk is. Voor bepaalde AI-gegenereerde of gemanipuleerde content gelden daarnaast specifieke markerings- of openbaarmakingsplichten. Dat betekent niet dat ieder intern AI-concept dezelfde zichtbare sticker nodig heeft; de verplichting hangt af van de rol, context en soort content.
Voor een chatbot in klantcontact is een duidelijke, tijdige melding doorgaans de logische implementatie. Voor gegenereerde content moet je eerst vaststellen welke specifieke plicht geldt. Het venijn zit niet alleen in de techniek, maar in het correct afbakenen van de toepassing. Wie deze zomer een agent live zet, moet die analyse dus v贸贸r livegang doen.
Los van de AI Act is er een tweede reden om transparant en controleerbaar te werken: aansprakelijkheid. In Moffatt v. Air Canada moest de luchtvaartmaatschappij instaan voor onjuiste informatie van haar chatbot. Het Duitse OLG Hamm rekende misleidende chatbotuitspraken toe aan de exploitant, zoals de Library of Congress samenvat. De juridische grondslag verschilt per land en zaak, maar een bedrijf kan zich niet simpelweg achter de software verschuilen.
De check in vijf vragen
Wil je weten of jouw geplande agent door de keuring komt? Loop deze vijf vragen langs:
- Welke persoonsgegevens raakt de agent? Niet ongeveer, maar precies: welke velden, uit welke systemen.
- Waar worden die gegevens verwerkt? EU, lokaal, of via een Amerikaanse dienst? Vraag het door tot je een concreet antwoord hebt, ook over subverwerkers.
- Is er een verwerkersovereenkomst met elke partij in de keten?
- Welke AI Act-transparantieplicht geldt hier? Bij directe interactie met een chatbot is informeren vanaf 2 augustus 2026 in beginsel verplicht, tenzij het AI-karakter duidelijk is. Voor content gelden andere, specifiekere regels.
- Welke risicobeoordeling en menselijke controle zijn nodig? Bij geld, contracten, profilering, bijzondere persoonsgegevens of besluiten met grote gevolgen kan extra beoordeling nodig zijn, mogelijk ook een DPIA. Waarom menselijke controle praktisch belangrijk is, staat uitgebreider in ons stuk over wat een AI-agent niet kan.
Kun je alle vijf concreet beantwoorden, dan heb je een bruikbare eerste inventarisatie. Dat is nog geen juridische goedkeuring, maar wel de basis voor een gerichte privacy- en AI Act-beoordeling.
Is dit een reden om te wachten?
Niet per definitie. De regels sturen wel in dezelfde richting als verstandig ontwerp: afgebakend, met bekende databronnen, passende beveiliging en menselijke controle op kritieke momenten. Dat maakt naleving niet gratis, maar voorkomt wel dat privacy en transparantie pas na de bouw worden toegevoegd.
Onze mening: behandel de AI Act zoals je de AVG had willen behandelen in 2017. Niet als reden tot paniek, wel als reden om het meteen goed te doen. In een agents-intake nemen we deze vijf vragen standaard mee, naast de vraag of het proces zelf agent-geschikt is. Dan weet je voor de bouw begint of je klantdata mee mag doen, en onder welke voorwaarden.
Bronnen en juridische afbakening
- Europese Commissie: AI Act en toepassingsmomenten
- Europese Commissie: transparantieplichten vanaf 2 augustus 2026
- Autoriteit Persoonsgegevens: AVG-randvoorwaarden voor generatieve AI
- KVK: kennis en voorbereiding van ondernemers rond de AI Act
Dit artikel is een praktische eerste inventarisatie en geen juridisch advies. Bij bijzondere persoonsgegevens, profilering, geautomatiseerde besluitvorming of grote gevolgen voor betrokkenen is specialistische beoordeling verstandig.
