Ga naar de hoofdinhoud
Praxikon

AVG en AI Act naast elkaar

Waar de AVG en de AI Act elkaar raken, en waar niet

Een organisatie die AI gebruikt met persoonsgegevens heeft met beide wetten te maken. Ze lijken op elkaar, maar hebben een ander doel: de AVG beschermt mensen bij het gebruik van hun gegevens, de AI Act stelt eisen aan AI-systemen zelf. Per thema ziet u de bepalingen naast elkaar, de overeenkomst, het verschil, hoe u ze combineert en een vraag om uzelf te toetsen.

Peildatum van deze laag: 15 september 2026. Elk item is op zijn bron gecontroleerd; de datum per item staat erbij. Wat na de peildatum is gebeurd, staat hier nog niet.

Transparantie: informeren van mensen

AVG

AI Act

Wat ze gemeen hebben
Beide wetten willen dat mensen weten wat er met hen gebeurt, en wel op het moment dat het ertoe doet. De AVG verplicht de verwerkingsverantwoordelijke in artikel 13 lid 1 en 2 en artikel 14 lid 1 en 2 om de betrokkene te informeren over onder meer het doel, de rechtsgrond en het bestaan van geautomatiseerde besluitvorming. De AI Act verplicht in artikel 26 lid 11 de gebruiksverantwoordelijke van een AI-systeem met een hoog risico uit bijlage III dat beslissingen over natuurlijke personen neemt of helpt nemen, om die personen te laten weten dat het systeem op hen wordt toegepast; artikel 50 lid 1 verplicht de aanbieder om een systeem voor directe interactie zo te ontwerpen dat mensen weten dat zij met AI interageren, en artikel 50 lid 3 en 4 verplichten de gebruiksverantwoordelijke om mensen te informeren over de werking van een systeem voor emotieherkenning of biometrische categorisering, en om bekend te maken dat content een deepfake is. Beide stellen ook eisen aan de vorm: beknopt, begrijpelijk en in duidelijke en eenvoudige taal (AVG artikel 12 lid 1), en duidelijk en te onderscheiden, uiterlijk bij de eerste interactie of blootstelling (AI Act artikel 50 lid 5).
Het wezenlijke verschil
De AVG hangt aan de verwerking van persoonsgegevens en legt de plicht altijd bij de verwerkingsverantwoordelijke, met een lange lijst verplichte gegevens en vaste termijnen, zoals uiterlijk binnen een maand wanneer de gegevens niet bij de betrokkene zelf zijn verkregen (artikel 14 lid 3, onder a). De AI Act hangt aan het soort AI-systeem en aan de rol: artikel 50 lid 1 rust op de aanbieder, die het systeem zo moet ontwerpen dat mensen weten dat zij met AI interageren, terwijl artikel 50 lid 3 en 4 en artikel 26 lid 11 op de gebruiksverantwoordelijke rusten. Inhoudelijk vraagt de AI Act een melding dat AI wordt ingezet, bij emotieherkenning en biometrische categorisering aangevuld met informatie over de werking van het systeem (artikel 50 lid 3), maar niet de volledige informatielijst van de AVG. Ook de data verschillen: artikel 50 geldt sinds 2 augustus 2026, artikel 26 lid 11 pas vanaf 2 december 2027.
Zo combineert u ze
Neem de AI-meldingen op in de privacyinformatie die u al geeft, zodat de betrokkene op één plek leest waarvoor u de gegevens gebruikt, of er geautomatiseerde besluitvorming als bedoeld in artikel 22 lid 1 en 4 plaatsvindt en, in die gevallen, nuttige informatie over de onderliggende logica en de verwachte gevolgen krijgt (AVG artikel 13 lid 2, onder f, en artikel 14 lid 2, onder g). Zorg daarnaast voor een korte, direct zichtbare melding in de interactie zelf, bijvoorbeeld bij de start van een chatgesprek, omdat artikel 50 lid 5 de informatie uiterlijk bij de eerste interactie vraagt. Leg per systeem vast wie welke tekst levert: de aanbieder voor het ontwerp onder artikel 50 lid 1, en de gebruiksverantwoordelijke en verwerkingsverantwoordelijke voor de meldingen onder artikel 50 lid 3 en 4, artikel 26 lid 11 en de AVG.
Toets uzelf: Uw organisatie zet een chatbot in voor klantvragen en legt daarbij namen en klantnummers vast. Welke twee informatieplichten spelen hier, en wie draagt ze?

Onder AI Act artikel 50 lid 1 moet de aanbieder de chatbot zo ontwerpen dat mensen weten dat zij met een AI-systeem interageren, tenzij dat duidelijk is voor een normaal geïnformeerde en redelijk omzichtige en oplettende persoon, gelet op de omstandigheden en de gebruikscontext. Onder AVG artikel 13 lid 1 en 2 moet uw organisatie als verwerkingsverantwoordelijke de klant bij het verzamelen van de gegevens informeren over onder meer doel, rechtsgrond en bewaartermijn. De ene melding vervangt de andere niet: artikel 50 lid 6 laat andere transparantieverplichtingen uitdrukkelijk onverlet.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren

Handhaving en boetes

Wetgeving in beweging

Vooraf risico's beoordelen: DPIA en FRIA

AVG

AI Act

Wat ze gemeen hebben
Beide wetten verplichten u om vóór de start op papier te zetten welke risico's een toepassing voor mensen meebrengt en welke maatregelen u daartegen neemt: de AVG in artikel 35, lid 1 en 7, de AI-verordening in artikel 27, lid 1, onder a tot en met f. In beide gevallen is het geen eenmalige exercitie: bij een verandering van het risico toetst u indien nodig of de verwerking nog overeenkomstig de DPIA verloopt (artikel 35, lid 11 AVG), en als een element van de FRIA is veranderd of niet meer actueel is, werkt u de informatie bij (artikel 27, lid 2 AI-verordening). De AI-verordening legt de verbinding zelf: volgens artikel 27, lid 4 mag u verwijzen naar delen van een DPIA die al zijn gedaan, en volgens artikel 26, lid 9 gebruikt u de informatie van de aanbieder uit artikel 13 om uw DPIA uit te voeren.
Het wezenlijke verschil
De DPIA rust op de verwerkingsverantwoordelijke en is nodig bij elke verwerking van persoonsgegevens die waarschijnlijk een hoog risico inhoudt (artikel 35, lid 1 en 3 AVG); blijkt uit de DPIA dat de verwerking een hoog risico zou opleveren als u geen maatregelen neemt om het risico te beperken, dan raadpleegt u vooraf de toezichthoudende autoriteit (artikel 36, lid 1). De FRIA rust op de gebruiksverantwoordelijke en geldt alleen voor AI-systemen met een hoog risico uit artikel 6, lid 2, en dan alleen voor publiekrechtelijke organen, particuliere entiteiten die openbare diensten verlenen en gebruikers van systemen uit bijlage III, punt 5, onder b en c, met uitzondering van bijlage III, punt 2 (artikel 27, lid 1). De FRIA gaat over de gevolgen van het gebruik voor de grondrechten (artikel 27, lid 1) en de DPIA over het effect op de bescherming van persoonsgegevens en de risico's voor de rechten en vrijheden van betrokkenen (artikel 35, lid 1 en lid 7, onder c); de uitkomst van de FRIA meldt u aan de markttoezichtautoriteit, behalve in het geval van artikel 46, lid 1 (artikel 27, lid 3), terwijl de DPIA pas naar de toezichthouder gaat bij een voorafgaande raadpleging (artikel 36, lid 3, onder e). De DPIA geldt al sinds de AVG van toepassing is; de FRIA geldt volgens de Digital Omnibus (Verordening (EU) 2026/1744) vanaf 2 december 2027, en los daarvan voert de aanbieder het doorlopende risicobeheer van artikel 9 uit.
Zo combineert u ze
Begin met één beoordeling per AI-toepassing waarin u eerst de DPIA-onderdelen van artikel 35, lid 7 AVG invult en daarna alleen de extra FRIA-onderdelen van artikel 27, lid 1 aanvult, met kruisverwijzingen zoals artikel 27, lid 4 toestaat. Vraag de aanbieder vroeg om de informatie uit artikel 13: die gebruikt u voor uw DPIA (artikel 26, lid 9) en voor de risico's in uw FRIA (artikel 27, lid 1, onder d), en in vergelijkbare gevallen mag u voor de FRIA ook steunen op bestaande effectbeoordelingen van de aanbieder (artikel 27, lid 2). Leg één moment vast waarop u beide beoordelingen samen herziet, bijvoorbeeld bij een wijziging van het systeem of het gebruik.
Toets uzelf: Een particuliere werkgever gaat een AI-systeem met een hoog risico uit bijlage III gebruiken om sollicitanten te beoordelen. Moet hij een DPIA, een FRIA of allebei uitvoeren?

Een DPIA is waarschijnlijk nodig als de werkgever sollicitanten systematisch en uitgebreid geautomatiseerd beoordeelt en daarop besluiten baseert die hen wezenlijk treffen (artikel 35, lid 1 en lid 3, onder a AVG). Artikel 27, lid 1 verplicht een FRIA alleen voor publiekrechtelijke organen, particuliere entiteiten die openbare diensten verlenen en gebruikers van systemen uit bijlage III, punt 5, onder b en c; een werkgever die niet in een van die groepen valt, heeft die plicht niet. Voor zijn DPIA gebruikt hij, indien van toepassing, de informatie van de aanbieder uit artikel 13 (artikel 26, lid 9).

Samenhang

Wat samenhangt met dit thema

Richtsnoeren8 van 9

Handhaving en boetes

Wetgeving in beweging

Geautomatiseerde besluiten en menselijk toezicht

AVG

AI Act

Wat ze gemeen hebben
Beide wetten willen voorkomen dat een systeem over mensen beslist zonder dat een mens echt kan ingrijpen. In de gevallen van artikel 22 lid 2, punten a en c, moet de verwerkingsverantwoordelijke volgens lid 3 ten minste zorgen voor het recht op menselijke tussenkomst, het recht van de betrokkene om zijn standpunt kenbaar te maken en het recht om het besluit aan te vechten. De AI Act eist in artikel 14 lid 4, punt d, dat de persoon die toezicht houdt de output kan negeren, vervangen of terugdraaien, en in artikel 26 lid 2 dat de gebruiksverantwoordelijke dat toezicht legt bij mensen met de nodige bekwaamheid, opleiding en autoriteit. Ook geven beide wetten recht op informatie over het besluit: artikel 15 lid 1, punt h, AVG op nuttige informatie over de onderliggende logica, het belang en de verwachte gevolgen, en artikel 86 lid 1 AI Act op uitleg over de rol van het AI-systeem en de voornaamste elementen van het besluit.
Het wezenlijke verschil
De AVG vertrekt vanuit de betrokkene: artikel 22 lid 1 geeft het recht om niet onderworpen te worden aan een besluit dat uitsluitend op geautomatiseerde verwerking berust, en lid 3 legt de waarborgen bij de verwerkingsverantwoordelijke. De AI Act vertrekt vanuit het systeem: artikel 14 geldt alleen voor AI-systemen met een hoog risico, legt het ontwerp van het toezicht bij de aanbieder (lid 1 en 3) en de uitvoering bij de gebruiksverantwoordelijke (artikel 26 lid 2), ook als uiteindelijk een mens beslist op basis van de output (artikel 14 lid 4, punt b). Het uitlegrecht van artikel 86 lid 1 geldt alleen bij systemen uit bijlage III, met uitzondering van punt 2, en volgens lid 3 alleen voor zover ander Unierecht dat recht niet al regelt. De plichten uit artikel 14 en 26 gelden voor systemen uit bijlage III vanaf 2 december 2027 en voor systemen uit bijlage I vanaf 2 augustus 2028.
Zo combineert u ze
Richt één beoordelingsproces in dat zowel de menselijke tussenkomst van artikel 22 lid 3 AVG als het toezicht van artikel 14 lid 4 en artikel 26 lid 2 AI Act dekt: dezelfde opgeleide beoordelaars, een vastgelegde bevoegdheid om van de output af te wijken en een registratie van die afwijkingen, zodat het toezicht geen formaliteit wordt. Maak één informatie- en uitlegroute die de melding uit artikel 13 lid 2, punt f, AVG en artikel 26 lid 11 AI Act combineert en verzoeken onder artikel 15 lid 1, punt h, AVG en artikel 86 lid 1 AI Act samen afhandelt. Gebruik, indien van toepassing, de informatie van de aanbieder waarnaar artikel 26 lid 9 AI Act verwijst in de gegevensbeschermingseffectbeoordeling, die artikel 35 lid 3, punt a, AVG vereist bij een systematische en uitgebreide geautomatiseerde beoordeling van persoonlijke aspecten waarop besluiten met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen worden gebaseerd.
Toets uzelf: Een bank gebruikt een AI-systeem met een hoog risico om kredietwaardigheid te beoordelen, en een medewerker neemt het besluit op basis van de score. Valt dit onder artikel 22 AVG, en wat vraagt de AI Act?

Als de medewerker de zaak echt zelf beoordeelt, berust het besluit niet uitsluitend op geautomatiseerde verwerking en geldt artikel 22 lid 1 AVG niet; is die beoordeling alleen een formaliteit, dan kan dat anders liggen. De AI Act geldt in beide gevallen, voor systemen uit bijlage III vanaf 2 december 2027: de medewerker moet dan volgens artikel 26 lid 2 bekwaam en bevoegd zijn en volgens artikel 14 lid 4 de score kunnen negeren of vervangen. De klant kan bovendien onder artikel 86 lid 1 recht hebben op uitleg over de rol van het systeem in het besluit, als het besluit rechtsgevolgen heeft of hem op vergelijkbare wijze aanzienlijk treft, en volgens lid 3 alleen voor zover ander Unierecht dat recht niet al geeft.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren8 van 12

Handhaving en boetes

Wetgeving in beweging6 van 8

Datakwaliteit, minimalisatie en data governance

AVG

AI Act

Wat ze gemeen hebben
Beide wetten vragen dat gegevens passen bij het doel waarvoor u ze gebruikt. De AVG eist in artikel 5, lid 1, onder c en d, dat persoonsgegevens toereikend, ter zake dienend, beperkt tot het noodzakelijke en juist zijn; de AI-verordening eist in artikel 10, lid 3, dat datasets voor training, validatie en tests relevant, voldoende representatief en zoveel mogelijk foutenvrij en volledig zijn met het oog op het beoogde doel. Artikel 10, lid 2, onder b, vraagt bij persoonsgegevens uitdrukkelijk naar het oorspronkelijke doel van de verzameling, wat aansluit op de doelbinding van artikel 5, lid 1, onder b, en de toets voor verder gebruik in artikel 6, lid 4, AVG. En beide werken met vastgelegde keuzes: de verantwoordingsplicht van artikel 5, lid 2, AVG en de databeheerpraktijken van artikel 10, lid 2, AI-verordening.
Het wezenlijke verschil
De AVG geldt voor elke verwerkingsverantwoordelijke die persoonsgegevens verwerkt en beschermt de betrokkene; het uitgangspunt is zo weinig gegevens als nodig (artikel 5, lid 1, onder c). Artikel 10 AI-verordening gaat over alle data in datasets voor AI-systemen met een hoog risico, ook data die geen persoonsgegevens zijn, en de aanbieder moet ervoor zorgen dat het systeem daaraan voldoet (artikel 16, onder a); de datasets moeten passen bij het beoogde doel van het systeem, met een beoordeling van mogelijke vooringenomenheid die gevolgen kan hebben voor gezondheid, veiligheid of grondrechten of tot verboden discriminatie kan leiden, en maatregelen daartegen (artikel 10, lid 2, onder f en g). Daardoor kan de AI-verordening om meer of rijkere data vragen (voldoende representatief, lid 3), terwijl de AVG juist begrenst, en wie voor zo'n onderzoek bijvoorbeeld gegevens over etnische afkomst of gezondheid gebruikt, raakt het verbod van artikel 9, lid 1, AVG, tenzij een uitzondering uit lid 2 geldt. Artikel 4 bis, lid 1, AI-verordening staat aanbieders van systemen met een hoog risico bij wijze van uitzondering toe zulke gegevens te verwerken voor zover dat strikt noodzakelijk is voor het opsporen en corrigeren van vooringenomenheid, onder de voorwaarden van dat lid, naast de regels van de AVG. Ook de termijn verschilt: de AVG geldt nu al, artikel 10 geldt voor systemen uit bijlage III vanaf 2 december 2027 en voor systemen uit bijlage I vanaf 2 augustus 2028.
Zo combineert u ze
Houd per dataset één beschrijving bij die beide vragen tegelijk beantwoordt: herkomst en oorspronkelijk doel, grondslag en eventuele uitzondering voor gevoelige gegevens, en waarom de gekozen hoeveelheid en samenstelling nodig en voldoende representatief is. Leg de controle op juistheid en vooringenomenheid vast op dezelfde plek, zodat u één dossier heeft voor de verantwoordingsplicht van artikel 5, lid 2, AVG en de databeheerpraktijken van artikel 10, lid 2, AI-verordening. Gebruikt u bijzondere categorieën persoonsgegevens voor het opsporen van vooringenomenheid, leg dan in het register van verwerkingsactiviteiten vast waarom dat strikt noodzakelijk was en waarom andere data niet volstonden (artikel 4 bis, lid 1, onder f, AI-verordening). Betrek privacy en de ontwikkelaars al bij de ontwerpkeuzes, want juist daar botsen minimalisatie en representativiteit het eerst.
Toets uzelf: Een aanbieder wil voor een AI-systeem met een hoog risico uit bijlage III extra gegevens over gezondheid aan de trainingsdata toevoegen om vooringenomenheid op te sporen. Welke regels moet hij naast elkaar leggen?

Artikel 10, lid 2, onder f en g, en lid 3, AI-verordening vragen een onderzoek naar vooringenomenheid en voldoende representatieve data. Tegelijk zijn gegevens over gezondheid een bijzondere categorie: artikel 9, lid 1, AVG verbiedt die verwerking, tenzij een uitzondering uit lid 2 geldt, en artikel 5, lid 1, onder c, blijft vragen dat hij niet meer gegevens gebruikt dan nodig. Daarnaast staat artikel 4 bis, lid 1, AI-verordening zo'n verwerking bij wijze van uitzondering toe, maar alleen voor zover strikt noodzakelijk, als het onderzoek niet doeltreffend met andere data kan (onder a), en onder waarborgen als pseudonimisering (onder b) en verwijdering na correctie (onder e); die voorwaarden gelden naast de AVG.

Samenhang

Wat samenhangt met dit thema

Rechtspraak8 van 12

Richtsnoeren8 van 11

Handhaving en boetes8 van 11

Wetgeving in beweging6 van 8

Bijzondere persoonsgegevens gebruiken om bias op te sporen

AVG

AI Act

Wat ze gemeen hebben
Beide wetten gaan streng om met bijzondere persoonsgegevens. AVG artikel 9 lid 1 verbiedt het verwerken van onder meer gegevens over etnische afkomst, gezondheid en seksuele gerichtheid, tenzij een uitzondering uit lid 2 geldt. De AI Act staat in artikel 4 bis lid 1 en 2 alleen bij wijze van uitzondering toe dat deze gegevens worden gebruikt om vooringenomenheid op te sporen en te corrigeren, en alleen als dat strikt noodzakelijk is. De voorwaarden gelden naast de AVG (artikel 4 bis lid 1 AI Act), en het Unierecht inzake gegevensbescherming blijft van toepassing (artikel 2 lid 7, eerste zin, AI Act). Beide wetten gebruiken het register van verwerkingsactiviteiten als bewijs: AVG artikel 30 lid 1, en artikel 4 bis lid 1 onder f AI Act, dat eist dat daarin staat waarom de verwerking strikt noodzakelijk was en waarom andere data niet volstonden.
Het wezenlijke verschil
De AVG richt zich op de verwerkingsverantwoordelijke en vraagt voor elke verwerking een geldige uitzondering uit artikel 9 lid 2, zoals uitdrukkelijke toestemming of een zwaarwegend algemeen belang op grond van de wet. Artikel 4 bis AI Act gaat alleen over het opsporen en corrigeren van vooringenomenheid, maar stelt daarvoor eigen voorwaarden in artikel 4 bis lid 1 onder a tot en met f, waaronder: nagaan of andere data, zoals synthetische of geanonimiseerde data, volstaan; pseudonimisering; strikte toegangscontrole; geen doorgifte aan anderen; en wissen zodra de vooringenomenheid is gecorrigeerd of de bewaartermijn eerder afloopt. Voor aanbieders van AI-systemen met een hoog risico hoort het opsporen van vooringenomenheid bij de dataplicht van artikel 10 lid 2 onder f en g, die voor bijlage III-systemen geldt vanaf 2 december 2027 en voor bijlage I-systemen vanaf 2 augustus 2028; voor andere aanbieders en voor gebruiksverantwoordelijken is het volgens artikel 4 bis lid 2 een mogelijkheid zonder plicht. Het vroegere artikel 10 lid 5 is door de Digital Omnibus (Verordening (EU) 2026/1744) geschrapt en vervangen door artikel 4 bis, dat sinds 27 juli 2026 geldt.
Zo combineert u ze
Behandel een biastest met bijzondere persoonsgegevens als één dossier: leg vast waarom de verwerking strikt noodzakelijk is en waarom andere data, zoals synthetische of geanonimiseerde data, niet volstaan (artikel 4 bis lid 1 onder a en f AI Act) en op welke uitzondering uit AVG artikel 9 lid 2 u steunt. Zet beide motiveringen in hetzelfde register van verwerkingsactiviteiten (AVG artikel 30), zodat het privacyteam en het AI-team met één bewijsstuk werken. Koppel de wisplicht van artikel 4 bis lid 1 onder e aan het moment waarop de correctie klaar is, en neem dat op in uw bewaartermijnen.
Toets uzelf: Een gebruiksverantwoordelijke van een AI-systeem met een hoog risico wil gezondheidsgegevens gebruiken om te testen of het systeem bepaalde groepen benadeelt. Is dat verplicht, en waar moet de verwerking aan voldoen?

Het is niet verplicht: artikel 4 bis lid 2 AI Act staat het bij wijze van uitzondering toe, maar zegt uitdrukkelijk dat het geen plicht schept. Het mag alleen als het strikt noodzakelijk is en alle voorwaarden van artikel 4 bis lid 1 worden toegepast, zoals pseudonimisering, geen doorgifte aan anderen en wissen zodra de vooringenomenheid is gecorrigeerd of de bewaartermijn eerder afloopt. Daarnaast blijft de AVG van toepassing (artikel 2 lid 7, eerste zin, AI Act), dus toetst u de verwerking ook aan AVG artikel 9.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren

Wetgeving in beweging

Beveiliging en robuustheid

AVG

AI Act

Wat ze gemeen hebben
Beide wetten eisen een beveiligingsniveau dat past bij het risico, en geen vaste lijst met maatregelen. Artikel 32 lid 1 AVG vraagt passende technische en organisatorische maatregelen, onder meer om de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen te garanderen (onder b) en de beschikbaarheid van en de toegang tot persoonsgegevens na een fysiek of technisch incident tijdig te herstellen (onder c). Artikel 15 lid 1 AI-verordening vraagt een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging, en lid 4 en 5 vragen weerbaarheid tegen fouten en tegen aanvallen door onbevoegden. Lid 4 eist daarvoor technische en organisatorische maatregelen en noemt back-up- of noodplannen als mogelijke oplossing.
Het wezenlijke verschil
De AVG beschermt persoonsgegevens en legt de plicht bij de verwerkingsverantwoordelijke en de verwerker (artikel 32 lid 1), en geldt sinds 25 mei 2018 voor elke verwerking van persoonsgegevens die onder de AVG valt. Artikel 15 AI-verordening stelt eisen aan het AI-systeem zelf (nauwkeurigheid, robuustheid en cyberbeveiliging), geldt alleen voor AI-systemen met een hoog risico en rust via artikel 16 onder a op de aanbieder, die het systeem zo moet ontwerpen en ontwikkelen. De AI-verordening noemt ook AI-specifieke dreigingen die de AVG niet noemt, zoals datavervuiling, modelvervuiling, vijandige voorbeelden en feedback loops bij systemen die blijven leren (artikel 15 lid 4 en 5). Artikel 15 geldt vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen die onder bijlage I vallen.
Zo combineert u ze
Een organisatie die beide moet naleven, kan één risicoanalyse en één set beveiligingsmaatregelen voor het AI-systeem en de persoonsgegevens daarin opzetten, en daar de AI-specifieke dreigingen uit artikel 15 lid 5 aan toevoegen. De periodieke test van artikel 32 lid 1 onder d AVG kan zo ook de nauwkeurigheid en robuustheid van het systeem controleren. Leg per maatregel vast welke rol u heeft (verwerkingsverantwoordelijke, verwerker, aanbieder of gebruiksverantwoordelijke), zodat duidelijk is welke plicht u ermee invult.
Toets uzelf: Een aanbieder beveiligt de persoonsgegevens in zijn AI-systeem met een hoog risico goed. Voldoet hij daarmee automatisch aan artikel 15 AI-verordening?

Nee. Artikel 32 AVG gaat over de beveiliging van persoonsgegevens, maar artikel 15 vraagt ook dat het systeem nauwkeurig en robuust werkt en bestand is tegen fouten en aanvallen zoals datavervuiling of vijandige voorbeelden, en bij systemen die blijven leren ook feedback loops beperkt (lid 1, 4 en 5). Die eisen gelden ook als het systeem geen persoonsgegevens verwerkt.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren

Handhaving en boetes

Wie is verantwoordelijk: rollen in beide wetten

AVG

AI Act

Wat ze gemeen hebben
Beide wetten koppelen plichten aan een rol, niet aan wie de techniek bouwt of bezit. De AVG kent de verwerkingsverantwoordelijke, die het doel van en de middelen voor de verwerking vaststelt (artikel 4 punt 7), en de verwerker, die namens hem verwerkt (artikel 4 punt 8). De AI Act kent de aanbieder, die een AI-systeem ontwikkelt of laat ontwikkelen en onder eigen naam of merk in de handel brengt of in gebruik stelt (artikel 3 punt 3), en de gebruiksverantwoordelijke, die het systeem onder eigen verantwoordelijkheid gebruikt (artikel 3 punt 4). In beide wetten kan uw rol verschuiven door wat u feitelijk doet: een verwerker die in strijd met de AVG zelf doel en middelen van een verwerking bepaalt, geldt voor die verwerking als verwerkingsverantwoordelijke (AVG artikel 28 lid 10), en wie zijn naam of merk op een AI-systeem met een hoog risico zet, er een substantiële wijziging in aanbrengt of het beoogde doel zo wijzigt dat het hoog risico wordt, geldt als aanbieder (AI Act artikel 25 lid 1).
Het wezenlijke verschil
De hoofdverantwoordelijkheid ligt bij een andere partij. Onder de AVG moet de verwerkingsverantwoordelijke passende maatregelen nemen en kunnen aantonen dat elke verwerking aan de wet voldoet (artikel 24 lid 1), terwijl de AI Act in artikel 16 (punten a tot en met l) een reeks plichten bij de aanbieder legt en de gebruiksverantwoordelijke vooral plichten geeft rond gebruik volgens de gebruiksaanwijzing, menselijk toezicht, monitoring en het bewaren van logs (artikel 26 lid 1, 2, 5 en 6). Ook de drempel en de termijn verschillen: de AVG-rollen gelden zodra u persoonsgegevens verwerkt, maar de artikelen 16 en 26 gelden voor AI-systemen met een hoog risico, en artikel 25 lid 1 bepaalt wanneer iemand aanbieder van zo'n systeem wordt; deze bepalingen gelden na de Digital Omnibus (Verordening (EU) 2026/1744) vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen uit bijlage I. Let op dat de rollen niet één op één samenvallen: een verwerker verwerkt volgens de overeenkomst uitsluitend op basis van schriftelijke instructies van de verwerkingsverantwoordelijke (AVG artikel 28 lid 3 sub a), terwijl een gebruiksverantwoordelijke het systeem onder eigen verantwoordelijkheid gebruikt.
Zo combineert u ze
Leg per AI-toepassing in één overzicht vast welke AVG-rol u per verwerking hebt en welke AI Act-rol per systeem, want dezelfde organisatie kan tegelijk verwerkingsverantwoordelijke en gebruiksverantwoordelijke zijn, en de leverancier kan tegelijk verwerker en aanbieder zijn. Moet u op grond van AVG artikel 35 een gegevensbeschermingseffectbeoordeling uitvoeren, gebruik dan de informatie die de aanbieder op grond van artikel 13 van de AI Act verstrekt, zoals artikel 26 lid 9 voorschrijft; neem daarnaast de afspraken met de leverancier op in de schriftelijke overeenkomst die AVG artikel 28 lid 3 en 9 al vraagt. Toets bij elke aanpassing van het systeem of het doel opnieuw of u door AI Act artikel 25 lid 1 aanbieder wordt, en of de leverancier door zelf doel en middelen te bepalen onder AVG artikel 28 lid 10 voor die verwerking verwerkingsverantwoordelijke wordt.
Toets uzelf: Uw organisatie gebruikt een AI-systeem met een hoog risico van een leverancier. De leverancier heeft het systeem ontwikkeld en brengt het onder eigen naam in de handel. U bepaalt waarvoor en hoe de persoonsgegevens worden verwerkt; de leverancier verwerkt ze op zijn eigen servers, maar alleen volgens uw instructies. Welke rol hebben u en de leverancier in elke wet?

Onder de AVG bent u verwerkingsverantwoordelijke, omdat u doel en middelen bepaalt (artikel 4 punt 7), en is de leverancier verwerker, omdat hij namens u verwerkt (artikel 4 punt 8 en artikel 28). Onder de AI Act is de leverancier aanbieder (artikel 3 punt 3 en artikel 16) en bent u gebruiksverantwoordelijke (artikel 3 punt 4 en artikel 26). Zet u uw naam of merk op het systeem, of brengt u er een substantiële wijziging in aan waardoor het een AI-systeem met een hoog risico blijft, dan wordt u volgens artikel 25 lid 1 sub a of b zelf als aanbieder beschouwd.

Samenhang

Wat samenhangt met dit thema

Rechtspraak8 van 9

Richtsnoeren8 van 10

Handhaving en boetes

Wetgeving in beweging6 van 8

Privacy by design en risicobeheer by design

AVG

AI Act

Wat ze gemeen hebben
Beide wetten willen dat u risico's al in het ontwerp aanpakt en niet pas achteraf. Artikel 25 lid 1 AVG vraagt passende technische en organisatorische maatregelen, zowel bij het bepalen van de verwerkingsmiddelen als tijdens de verwerking zelf, afgestemd op de risico's voor de rechten en vrijheden van mensen. Artikel 9 lid 5 onder a AI Act vraagt dat risico's zoveel als technisch haalbaar worden uitgesloten of beperkt door een goed ontwerp en een goede ontwikkeling van het AI-systeem met een hoog risico; in beide gevallen weegt u de stand van de techniek of de technische haalbaarheid mee. Voor het aantonen verschillen de instrumenten: volgens artikel 25 lid 3 AVG kan een overeenkomstig artikel 42 goedgekeurd certificeringsmechanisme worden gebruikt als element om naleving aan te tonen, terwijl artikel 11 lid 1 AI Act verplicht tot technische documentatie die aantoont dat het systeem aan de eisen voldoet.
Het wezenlijke verschil
De plichtdrager en de reikwijdte verschillen. Artikel 25 AVG richt zich op de verwerkingsverantwoordelijke en is niet beperkt tot een bepaalde soort technologie, en lid 2 voegt een eigen plicht toe: standaard alleen de gegevens verwerken die voor elk doel nodig zijn. Artikel 9 AI Act geldt alleen voor AI-systemen met een hoog risico, richt zich op risico's voor gezondheid, veiligheid en grondrechten, en is een doorlopend proces over de hele levensduur met tests tegen vooraf bepaalde maatstaven (lid 2 en 8); lid 9 en 10 noemen daarbij de aanbieder. Artikel 25 AVG geldt al sinds de AVG van toepassing is, terwijl artikel 9 en 11 AI Act voor systemen uit bijlage III pas gelden vanaf 2 december 2027 en voor systemen uit bijlage I vanaf 2 augustus 2028.
Zo combineert u ze
Een organisatie die een AI-systeem met een hoog risico bouwt dat persoonsgegevens verwerkt, kan één ontwerpproces inrichten waarin elke ontwerpkeuze tegelijk wordt getoetst aan de gegevensbeschermingsbeginselen en aan de risico's voor gezondheid, veiligheid en grondrechten. Leg die keuzes, zoals pseudonimisering of minder gegevens verzamelen, één keer vast en gebruik die vastlegging zowel als onderbouwing onder artikel 25 AVG als als bouwsteen van de technische documentatie onder artikel 11 AI Act. Houd wel apart bij welke rol u per wet heeft, want de verwerkingsverantwoordelijke en de aanbieder zijn niet altijd dezelfde partij.
Toets uzelf: Een ziekenhuis gebruikt een AI-systeem met een hoog risico dat een externe partij heeft ontwikkeld en op de markt heeft gebracht. Wie moet het risicobeheersysteem van artikel 9 AI Act inrichten, en geldt artikel 25 AVG ook voor het ziekenhuis?

Het risicobeheersysteem van artikel 9 AI Act moet de aanbieder inrichten: artikel 16, onder a, verplicht aanbieders ervoor te zorgen dat hun AI-systeem met een hoog risico voldoet aan de eisen van afdeling 2, waar artikel 9 onder valt. Aanbieder is volgens artikel 3, punt 3, wie het systeem ontwikkelt of laat ontwikkelen en onder eigen naam of merk in de handel brengt of in gebruik stelt; zolang dat de externe partij is, draagt het ziekenhuis als gebruiksverantwoordelijke deze plicht niet. Artikel 25 AVG geldt wel voor het ziekenhuis zodra het als verwerkingsverantwoordelijke persoonsgegevens verwerkt, dus het moet zelf passende maatregelen treffen en standaard alleen de nodige gegevens verwerken, ook als het de AI niet zelf heeft gebouwd.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren

Wetgeving in beweging

Vastleggen: verwerkingsregister, technische documentatie en logs

AVG

AI Act

Wat ze gemeen hebben
Beide wetten verplichten u om schriftelijk vast te leggen wat u doet, zodat een toezichthouder dat later kan controleren. De AVG eist een register van verwerkingsactiviteiten in schriftelijke of elektronische vorm dat u op verzoek aan de toezichthoudende autoriteit geeft (artikel 30 lid 1, 3 en 4), en maakt de verwerkingsverantwoordelijke verantwoordelijk voor het aantonen van naleving (artikel 5 lid 2). De AI Act eist technische documentatie waaruit blijkt dat een AI-systeem met een hoog risico aan de eisen voldoet (artikel 11 lid 1), die de aanbieder ter beschikking houdt van de nationale bevoegde autoriteiten (artikel 18 lid 1). Bij logs raken de wetten elkaar direct: artikel 19 lid 1 en artikel 26 lid 6 zeggen dat de minimale bewaartermijn van zes maanden wijkt als het Unierecht inzake de bescherming van persoonsgegevens iets anders bepaalt.
Het wezenlijke verschil
De AVG legt het register op aan de verwerkingsverantwoordelijke (per verwerkingsactiviteit) en aan de verwerker (per categorie van verwerkingsactiviteiten), met een uitzondering voor organisaties met minder dan 250 personen tenzij het waarschijnlijk is dat de verwerking een risico inhoudt voor de rechten en vrijheden van betrokkenen, de verwerking niet incidenteel is of bijzondere categorieën van gegevens of strafrechtelijke gegevens betreft (artikel 30 lid 1, 2 en 5). De AI Act legt de plicht per AI-systeem met een hoog risico op: de technische documentatie wordt opgesteld voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld en wordt geactualiseerd (artikel 11 lid 1), en de aanbieder houdt die tien jaar ter beschikking van de nationale bevoegde autoriteiten (artikel 18 lid 1); kmo's en kleine midcapondernemingen krijgen geen vrijstelling maar een vereenvoudigd formulier (artikel 11 lid 1). Daarnaast moet het systeem technisch automatisch logs registreren (artikel 12 lid 1), die de aanbieder en de gebruiksverantwoordelijke elk bewaren voor zover de logs onder hun controle vallen, ten minste zes maanden (artikel 19 lid 1 en artikel 26 lid 6). De AVG kent geen vaste termijn en vraagt juist dat u persoonsgegevens niet langer bewaart dan nodig (artikel 5 lid 1 sub e); de AI Act-plichten gelden voor systemen uit bijlage III vanaf 2 december 2027 en voor systemen uit bijlage I vanaf 2 augustus 2028.
Zo combineert u ze
Neem elk AI-systeem met een hoog risico dat persoonsgegevens verwerkt op als verwerkingsactiviteit in uw register en verwijs daarbij naar de gebruiksaanwijzing en andere informatie die u van de aanbieder ontvangt, zodat doel, categorieën gegevens en beveiliging op één plek te vinden zijn. Leg voor logs één bewaartermijn vast met een korte motivering die zowel de ondergrens van artikel 26 lid 6 of artikel 19 lid 1 als de opslagbeperking van artikel 5 lid 1 sub e meeneemt. Zo ligt de onderbouwing voor de verantwoordingsplicht van artikel 5 lid 2 en voor de bewaring van logs onder de AI Act op één plek.
Toets uzelf: Een werkgever met 120 medewerkers gebruikt als gebruiksverantwoordelijke een AI-systeem met een hoog risico uit bijlage III om sollicitanten te beoordelen. Welke vastlegplichten uit beide wetten moet de werkgever in de gaten houden?

Onder de AI Act bewaart de werkgever vanaf 2 december 2027 de automatisch gegenereerde logs die onder zijn controle vallen ten minste zes maanden, tenzij het gegevensbeschermingsrecht anders bepaalt (artikel 26 lid 6); de technische documentatie van artikel 11 en 18 is een plicht van de aanbieder. Onder de AVG helpt de grens van 250 personen de werkgever waarschijnlijk niet, omdat de uitzondering van artikel 30 lid 5 niet geldt als de verwerking niet incidenteel is of waarschijnlijk een risico inhoudt, wat bij structurele werving het geval kan zijn. De bewaartermijn van de logs moet daarnaast passen bij de opslagbeperking van artikel 5 lid 1 sub e.

Samenhang

Wat samenhangt met dit thema

Rechtspraak8 van 10

Richtsnoeren

Handhaving en boetes8 van 10

Melden: datalekken en ernstige incidenten

AVG

AI Act

Wat ze gemeen hebben
Beide wetten verplichten tot melding bij een toezichthouder met een termijn die loopt vanaf het moment van kennisname: zonder onredelijke vertraging en indien mogelijk binnen 72 uur bij een inbreuk in verband met persoonsgegevens (artikel 33 lid 1 AVG), en onmiddellijk en in ieder geval uiterlijk 15 dagen bij een ernstig incident (artikel 73 lid 2 AI Act). Beide staan toe dat u eerst een onvolledige melding doet en die later aanvult (artikel 33 lid 4 AVG, artikel 73 lid 5 AI Act). Ook werken beide met een meldketen: de verwerker informeert de verwerkingsverantwoordelijke (artikel 33 lid 2 AVG) en de gebruiksverantwoordelijke informeert eerst de aanbieder (artikel 26 lid 5 AI Act).
Het wezenlijke verschil
De AVG legt de meldplicht bij de verwerkingsverantwoordelijke en gaat over een inbreuk in verband met persoonsgegevens die een risico inhoudt voor de rechten en vrijheden van mensen; bij een waarschijnlijk hoog risico moet u in beginsel ook de betrokkenen informeren (artikel 34 lid 1, met uitzonderingen in lid 3). De AI Act legt de meldplicht bij de aanbieder van een AI-systeem met een hoog risico (artikel 73 lid 1) en gaat over een ernstig incident: een incident of gebrekkig functioneren van een AI-systeem dat direct of indirect leidt tot overlijden of ernstige schade aan de gezondheid, een ernstige en onomkeerbare verstoring van kritieke infrastructuur, een schending van Unierechtelijke verplichtingen ter bescherming van de grondrechten, of ernstige schade aan eigendom of milieu (artikel 3 punt 49), ook als er geen persoonsgegevens bij betrokken zijn. De termijnen verschillen per soort incident: uiterlijk 15 dagen, 10 dagen bij overlijden en 2 dagen bij een wijdverbreide inbreuk of een ernstige en onomkeerbare verstoring van kritieke infrastructuur (artikel 73 lid 2 tot en met 4). De AVG-plicht geldt nu al, terwijl de regels voor AI-systemen met een hoog risico (hoofdstuk III, afdelingen 1 tot en met 3) gelden vanaf 2 december 2027 (bijlage III) of 2 augustus 2028 (bijlage I).
Zo combineert u ze
Richt één meldproces in waarbij de eerste beoordeling twee vragen stelt: is er een inbreuk in verband met persoonsgegevens (dan beoordeelt u de meldplicht van artikel 33 AVG) en gaat het om een ernstig incident met een AI-systeem met een hoog risico (dan gelden artikel 26 lid 5 en artikel 73 AI Act). Leg in afspraken met verwerkers en AI-aanbieders vast wie wie informeert en hoe snel. Logs die u op grond van artikel 26 lid 6 AI Act bewaart, kunnen helpen de feiten vast te leggen; de documentatie van artikel 33 lid 5 AVG omvat daarnaast de gevolgen en de genomen corrigerende maatregelen.
Toets uzelf: Uw organisatie gebruikt een AI-systeem met een hoog risico voor het selecteren van sollicitanten. U ontdekt dat het systeem stelselmatig kandidaten van een bepaalde afkomst afwijst. Wie moet u volgens de AI Act als eerste informeren, en volgt uit dit feit alleen al een meldplicht onder artikel 33 AVG?

Een schending van Unierechtelijke verplichtingen ter bescherming van de grondrechten kan een ernstig incident zijn (artikel 3 punt 49 onder c AI Act). Als gebruiksverantwoordelijke informeert u dan onmiddellijk eerst de aanbieder, daarna de importeur of distributeur en de markttoezichtautoriteit (artikel 26 lid 5); de aanbieder meldt onmiddellijk en in ieder geval uiterlijk 15 dagen nadat de aanbieder of de gebruiksverantwoordelijke zich ervan bewust wordt, of uiterlijk twee dagen als sprake is van een wijdverbreide inbreuk (artikel 73 lid 2 en 3). Artikel 33 AVG gaat over een inbreuk in verband met persoonsgegevens, dus of daar ook een melding nodig is, beoordeelt u apart.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren

Wetgeving in beweging

Rechten van mensen: inzage en uitleg bij besluiten

AVG

AI Act

Wat ze gemeen hebben
Beide wetten geven een persoon het recht om te begrijpen hoe een besluit over hem tot stand kwam. Volgens artikel 15 lid 1 onder h AVG krijgt de betrokkene bij geautomatiseerde besluitvorming nuttige informatie over de onderliggende logica, het belang en de verwachte gevolgen. Volgens artikel 86 lid 1 AI Act krijgt de getroffen persoon een duidelijke, inhoudelijke uitleg over de rol van het AI-systeem en de voornaamste elementen van het besluit. Beide rechten gaan over besluiten met rechtsgevolgen of besluiten die iemand op vergelijkbare wijze aanzienlijk treffen (artikel 22 lid 1 AVG en artikel 86 lid 1 AI Act); artikel 86 lid 1 vraagt daarnaast dat de persoon het besluit ziet als nadelig voor zijn gezondheid, veiligheid of grondrechten.
Het wezenlijke verschil
De AVG legt de plicht bij de verwerkingsverantwoordelijke, de AI Act bij de gebruiksverantwoordelijke van een hoog-risico AI-systeem uit bijlage III, met uitzondering van punt 2 van die bijlage. Artikel 22 AVG gaat over besluiten die uitsluitend op geautomatiseerde verwerking berusten, en artikel 15 lid 1 onder h vraagt informatie over de logica ten minste bij die besluiten, terwijl artikel 86 lid 1 AI Act ook geldt als de gebruiksverantwoordelijke het besluit neemt op basis van de output van het systeem. Artikel 22 lid 3 AVG verplicht de verwerkingsverantwoordelijke daarnaast, in de gevallen van lid 2 onder a en c, tot passende maatregelen, waaronder ten minste het recht op menselijke tussenkomst, het recht om een standpunt kenbaar te maken en het recht om het besluit aan te vechten; artikel 86 AI Act geeft alleen een recht op uitleg. Volgens artikel 86 lid 3 geldt het recht uit de AI Act bovendien alleen voor zover het Unierecht niet anderszins in dit recht voorziet; per geval moet worden nagegaan of ander Unierecht, bijvoorbeeld de AVG, dat doet.
Zo combineert u ze
Een organisatie kan één procedure inrichten voor verzoeken om inzage en uitleg, en per verzoek eerst nagaan of het een uitsluitend geautomatiseerd besluit is (artikel 22 AVG) of een besluit met hulp van een hoog-risico AI-systeem uit bijlage III (artikel 86 AI Act), of beide. Leg bij elk systeem vast welke rol de output speelt in het besluit en welke factoren zwaar wegen, zodat dezelfde uitleg kan dienen voor artikel 15 lid 1 onder h AVG en artikel 86 lid 1 AI Act. De melding aan mensen dat een hoog-risico AI-systeem op hen wordt toegepast (artikel 26 lid 11 AI Act, voor bijlage III vanaf 2 december 2027) kan meelopen met de informatie die de organisatie op grond van de AVG al geeft.
Toets uzelf: Een medewerker beoordeelt een aanvraag en neemt zelf het besluit, maar gebruikt daarbij de score van een hoog-risico AI-systeem uit bijlage III. De aanvrager wordt afgewezen en vraagt om uitleg. Welke wet geeft hier een recht op uitleg?

Artikel 22 AVG gaat over besluiten die uitsluitend op geautomatiseerde verwerking berusten, en hier neemt een mens het besluit; artikel 15 lid 1 onder h vraagt informatie over de logica ten minste bij zulke besluiten. Artikel 86 lid 1 AI Act kan hier wel gelden, omdat het besluit is genomen op basis van de output van een hoog-risico systeem uit bijlage III, mits het besluit rechtsgevolgen heeft of de aanvrager aanzienlijk treft op een manier die hij als nadelig ziet voor zijn gezondheid, veiligheid of grondrechten, en er geen uitzondering (lid 2) of ander Unierecht (lid 3) is. De gebruiksverantwoordelijke moet dan uitleggen welke rol het systeem speelde en wat de voornaamste elementen van het besluit waren.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren

Handhaving en boetes

Wetgeving in beweging

Biometrie en emotieherkenning

AVG

AI Act

Wat ze gemeen hebben
Beide wetten zien biometrische gegevens als persoonsgegevens die ontstaan door een specifieke technische verwerking van fysieke, fysiologische of gedragsgerelateerde kenmerken, zoals gezichtsafbeeldingen of vingerafdrukken (AVG artikel 4 punt 14, AI Act artikel 3 punt 34). De AVG verbiedt in artikel 9 lid 1 het verwerken van biometrische gegevens om iemand uniek te identificeren, en de AI Act verbiedt in artikel 5 lid 1 punt g biometrische categorisering die onder meer ras, politieke opvattingen, religie of seksuele gerichtheid afleidt: kenmerken die ook in artikel 9 lid 1 AVG als bijzondere categorieën staan. Artikel 5 lid 1 AI Act bepaalt in de alinea na punt h dat dit verbod geen afbreuk doet aan artikel 9 AVG bij biometrische verwerking voor andere doeleinden dan rechtshandhaving. Artikel 50 lid 3 schrijft voor dat de gebruiksverantwoordelijke persoonsgegevens verwerkt in overeenstemming met de AVG, indien van toepassing.
Het wezenlijke verschil
De AVG spreekt pas van biometrische gegevens als die eenduidige identificatie mogelijk maken of bevestigen (artikel 4 punt 14), terwijl de definitie in artikel 3 punt 34 AI Act die voorwaarde niet heeft; emotieherkenning op basis van biometrische gegevens (artikel 3 punt 39) valt dus onder de AI Act, ook als het doel niet unieke identificatie is zoals artikel 9 lid 1 AVG vraagt. De AVG verbiedt in artikel 9 lid 1 de verwerking zelf en laat uitzonderingen toe, zoals uitdrukkelijke toestemming in artikel 9 lid 2 punt a, terwijl de AI Act naar rol en toepassing kijkt: emotieherkenning op de werkplek en in het onderwijs is sinds 2 februari 2025 verboden behalve om medische of veiligheidsredenen (artikel 5 lid 1 punt f), zonder uitzondering voor toestemming. De gebruiksverantwoordelijke van een systeem voor emotieherkenning of biometrische categorisering moet sinds 2 augustus 2026 blootgestelde personen informeren over de werking van het systeem, behalve bij systemen die bij wet zijn toegestaan om strafbare feiten op te sporen, te voorkomen of te onderzoeken (artikel 50 lid 3), en de hoog-risico eisen voor biometrie uit bijlage III punt 1 gelden via artikel 6 lid 2 pas vanaf 2 december 2027.
Zo combineert u ze
Toets elk systeem dat gezichten, stemmen of gedrag analyseert in één keer aan beide wetten: eerst of het onder een verbod van artikel 5 lid 1 AI Act valt, daarna of artikel 9 AVG de verwerking verbiedt en welke uitzondering uit lid 2 eventueel geldt. Leg in hetzelfde dossier vast welke rol u hebt onder de AI Act en welke onder de AVG; u kunt de uitleg over de werking van het systeem uit artikel 50 lid 3 AI Act combineren met de informatie die u op grond van de AVG aan betrokkenen geeft. Houd daarbij rekening met aanvullende nationale regels die artikel 9 lid 4 AVG toestaat.
Toets uzelf: Een school wil met camera's en een AI-systeem de emoties van leerlingen tijdens de les meten en vraagt de ouders om uitdrukkelijke toestemming. Is het systeem daarmee toegestaan?

Nee. Toestemming kan onder artikel 9 lid 2 punt a AVG een uitzondering zijn, maar artikel 5 lid 1 punt f AI Act verbiedt het gebruik van AI-systemen om emoties van personen in het onderwijs af te leiden, behalve als het gebruik om medische of veiligheidsredenen is bedoeld. Dat verbod geldt sinds 2 februari 2025 en kent geen uitzondering voor toestemming.

Samenhang

Wat samenhangt met dit thema

Rechtspraak8 van 10

Richtsnoeren8 van 10

Handhaving en boetes

Wetgeving in beweging6 van 10

Toezicht en boetes

AVG

AI Act

Wat ze gemeen hebben
Beide wetten laten elke lidstaat onafhankelijke autoriteiten aanwijzen: de AVG een toezichthoudende autoriteit in artikel 51, lid 1, de AI-verordening ten minste een aanmeldende autoriteit en een markttoezichtautoriteit die onafhankelijk optreden in artikel 70, lid 1. De toezichthouder mag informatie en toegang eisen: bij de AVG op grond van artikel 58, lid 1, onder a), e) en f), bij de AI-verordening krijgt de markttoezichtautoriteit voor hoog-risico systemen toegang tot documentatie en datasets (artikel 74, lid 12) en onder voorwaarden tot de broncode (artikel 74, lid 13). Boetes moeten in beide wetten doeltreffend, evenredig en afschrikkend zijn (artikel 83, lid 1 AVG en artikel 99, lid 1 AI-verordening). De factoren voor de hoogte lijken sterk op elkaar, zoals de ernst en duur van de inbreuk, opzet of nalatigheid en de mate van samenwerking met de toezichthouder (artikel 83, lid 2 AVG en artikel 99, lid 7 AI-verordening).
Het wezenlijke verschil
De AVG legt de boetes zelf vast in twee niveaus: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (artikel 83, lid 4) en tot 20 miljoen euro of 4% (artikel 83, lid 5), terwijl de AI-verordening lidstaten de sanctieregels laat vaststellen en drie niveaus kent: 35 miljoen of 7% voor verboden praktijken, 15 miljoen of 3% voor onder meer plichten van aanbieders en gebruiksverantwoordelijken, en 7,5 miljoen of 1% voor onjuiste informatie (artikel 99, lid 1, 3, 4 en 5). Voor ondernemingen geldt in beide wetten het hoogste van bedrag of percentage, maar de AI-verordening maakt een uitzondering voor kmo's, met inbegrip van start-ups: daar geldt het laagste (artikel 99, lid 6); voor kleine midcapondernemingen geldt dat voor de boetes uit lid 4 en 5 (artikel 99, lid 6 bis). De AVG beboet onder meer de verwerkingsverantwoordelijke en de verwerker (artikel 83, lid 4 en 5), de AI-verordening de operatoren zoals aanbieder, importeur, distributeur en gebruiksverantwoordelijke (artikel 99, lid 4). Het toezicht onder de AI-verordening is markttoezicht dat over meerdere autoriteiten kan zijn verdeeld, waarbij voor sommige hoog-risico systemen uit bijlage III de privacytoezichthouder of een autoriteit onder dezelfde voorwaarden wordt aangewezen (artikel 74, lid 8).
Zo combineert u ze
Houd één dossier bij waarin de verwerkingsgegevens voor de privacytoezichthouder staan en, als u aanbieder bent van een AI-systeem met een hoog risico, ook de documentatie en datasets voor de markttoezichtautoriteit, zodat u een informatieverzoek onder artikel 58, lid 1 AVG of een verzoek om toegang onder artikel 74, lid 12 AI-verordening snel en juist kunt beantwoorden. Omdat beide wetten meewegen of u meewerkt, een inbreuk zelf meldt en schade beperkt (artikel 83, lid 2 AVG en artikel 99, lid 7 AI-verordening), loont één gezamenlijke procedure voor incidenten en contact met toezichthouders. Leg daarbij vast welke rol u per wet heeft, want die bepaalt welke plichten op u rusten; de boetecategorie volgt uit de geschonden bepaling (artikel 83, lid 4 en 5 AVG en artikel 99, lid 3 tot en met 5 AI-verordening).
Toets uzelf: Een start-up die als aanbieder een AI-systeem op de markt brengt, schendt een plicht uit artikel 16 van de AI-verordening. Geldt voor de maximale boete het hoogste of het laagste van 15 miljoen euro en 3% van de omzet, en hoe is dat onder de AVG?

Onder de AI-verordening geldt voor kmo's, met inbegrip van start-ups, het laagste van het bedrag of het percentage (artikel 99, lid 4 en 6). Onder de AVG bestaat zo'n uitzondering niet: voor een onderneming geldt steeds het hoogste van bedrag of percentage (artikel 83, lid 4 en 5). Dezelfde organisatie kan dus onder beide wetten een heel verschillend boeteplafond hebben.

Samenhang

Wat samenhangt met dit thema

Rechtspraak

Richtsnoeren

Handhaving en boetes

Wetgeving in beweging

Kennis in de organisatie: functionaris gegevensbescherming en AI-geletterdheid

AVG

AI Act

Wat ze gemeen hebben
Beide wetten besteden aandacht aan kennis binnen de organisatie. Onder de AVG adviseert de functionaris gegevensbescherming de werknemers die verwerken over hun plichten en ziet hij toe op bewustmaking en opleiding van het bij de verwerking betrokken personeel (artikel 39, lid 1, onder a en b), en de organisatie moet hem helpen zijn deskundigheid op peil te houden (artikel 38, lid 2). Artikel 4, lid 1, van de AI-verordening vraagt aanbieders en gebruiksverantwoordelijken maatregelen te nemen die de AI-geletterdheid van hun personeel ondersteunen. In beide gevallen hangt de invulling af van de situatie: bij de AVG het risico, de aard, de omvang, de context en het doel van de verwerking (artikel 39, lid 2), bij de AI-verordening de kennis en ervaring van de mensen, de context van gebruik en de personen op wie het systeem wordt gebruikt (artikel 4, lid 1).
Het wezenlijke verschil
De AVG belegt de kennis bij een aangewezen functionaris: de verwerkingsverantwoordelijke of verwerker moet een functionaris gegevensbescherming aanwijzen in de gevallen van artikel 37, lid 1 (overheidsinstanties, en organisaties die hoofdzakelijk zijn belast met stelselmatige observatie op grote schaal of met grootschalige verwerking van bijzondere of strafrechtelijke gegevens), op grond van deskundigheid (artikel 37, lid 5), en die functionaris werkt onafhankelijk en rapporteert aan de hoogste leiding (artikel 38, lid 3). Artikel 4, lid 1, van de AI-verordening kent geen drempel en geen vaste functie: het geldt voor elke aanbieder en gebruiksverantwoordelijke en richt zich op het personeel en andere personen die namens hen met AI-systemen werken. Het is een plicht om maatregelen te nemen, en de tekst zegt uitdrukkelijk dat niet voor ieder persoon een bepaald niveau van AI-geletterdheid gegarandeerd hoeft te worden. Artikel 4 geldt sinds 2 februari 2025 en heeft sinds 27 juli 2026 deze formulering door de Digital Omnibus (Verordening (EU) 2026/1744).
Zo combineert u ze
Een organisatie kan de bewustmaking en opleiding die de functionaris gegevensbescherming al bewaakt (artikel 39, lid 1, onder b) uitbreiden met AI-onderwerpen per rol, zodat medewerkers die met AI-systemen en persoonsgegevens werken één samenhangend programma volgen. Leg daarbij per rol vast welke maatregelen voor AI-geletterdheid zijn genomen; artikel 4 schrijft dat niet voor, maar het maakt zichtbaar dat de maatregelen voor het personeel en andere betrokken personen zijn genomen. Krijgt de functionaris gegevensbescherming er AI-taken bij, let dan op dat die taken geen belangenconflict opleveren (artikel 38, lid 6).
Toets uzelf: Een bedrijf heeft een functionaris gegevensbescherming aangewezen en gebruikt een AI-systeem. Is daarmee aan artikel 4 van de AI-verordening voldaan?

Nee, niet vanzelf. Artikel 4, lid 1, vraagt de gebruiksverantwoordelijke maatregelen te nemen die de AI-geletterdheid van het personeel en andere personen die namens hem met AI-systemen werken ondersteunen, afgestemd op hun kennis en de context van gebruik. De functionaris gegevensbescherming uit artikel 37 tot en met 39 van de AVG kan daarbij helpen, maar zijn wettelijke taak gaat over gegevensbescherming en niet over de AI-kennis van alle medewerkers.

Samenhang

Wat samenhangt met dit thema

Handhaving en boetes

Wetgeving in beweging