AI-agents en de AVG: wat u moet regelen

Een webwinkel zet een klantagent in. Hij leest bestellingen, beantwoordt vragen over retouren en onthoudt wat hij eerder zag. Na een maand vraagt de privacy officer: op welke grondslag doet hij dit, wat ziet hij eigenlijk, en wat zeggen we een klant die wil weten wat de agent over hem bewaart?

Mag een AI-agent persoonsgegevens verwerken? Ja, onder dezelfde AVG-regels als elke andere verwerking. Maar een agent zoekt, combineert, onthoudt en verstuurt zelf, dus u moet meer vooraf regelen.

Wanneer is de AVG van toepassing op een AI-agent?

De AVG is van toepassing zodra een organisatie met een agent persoonsgegevens verwerkt, geheel of gedeeltelijk geautomatiseerd (artikel 2 lid 1 AVG). Verwerken is breed: ook raadplegen, bewaren en doorsturen tellen mee (artikel 4 punt 2 AVG). Een agent die een mail met een naam leest, een dossier samenvat of iets in zijn geheugen bewaart, verwerkt dus persoonsgegevens, en zijn spoor (prompts, logs, geheugen) bevat vaak gegevens van klanten én van medewerkers. Voor u als verwerkingsverantwoordelijke blijven gepseudonimiseerde gegevens persoonsgegevens; alleen echt anonieme gegevens vallen erbuiten (overweging 26 AVG). Voor een ontvanger die de persoon redelijkerwijs niet kan herleiden, kan dat volgens het Hof van Justitie anders liggen (EDPS/GAR, C-413/23 P, 4 september 2025). De plichten rusten op de verwerkingsverantwoordelijke en de verwerker (artikel 4 punt 7 en 8 AVG), niet op de agent. De AI Act komt er als aparte laag bovenop; zie onze gids over AI-agents en de wet.

Welke grondslag en welk doel heeft een agent nodig?

Eén agent voert meestal meerdere verwerkingen uit, elk met een eigen doel en grondslag (artikel 6 lid 1 AVG). De klantagent van de webwinkel doet er al snel drie: bestellingen beantwoorden (noodzakelijk voor de overeenkomst), gesprekken bewaren om misbruik te signaleren (mogelijk gerechtvaardigd belang) en gesprekken gebruiken om de agent te verbeteren (een ander doel). Het doel moet vooraf welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn (artikel 5 lid 1 onder b AVG). Volgens de Spaanse toezichthouder AEPD is het gebruik van een agent geen doel op zich; komt er geen verwerking bij, dan hoeft u geen nieuwe grondslag te zoeken.

Het risico is dat het doel schuift: de Europese toezichthouder voor gegevensbescherming (EDPS) waarschuwt dat een agent bij het nastreven van zijn doel zelf nieuwe toepassingen, en dus nieuwe doelen, voor persoonsgegevens kan bepalen. Formuleer het doel daarom per taak ("vragen over bestellingen beantwoorden", niet "de klant helpen"), toets elk nieuw gebruik op verenigbaarheid (artikel 6 lid 4 AVG) en dwing de grens af in de software, niet alleen in de opdracht aan het model.

Welke gegevens mag een agent zien?

Minimale gegevensverwerking (artikel 5 lid 1 onder c AVG) en gegevensbescherming door standaardinstellingen (artikel 25 lid 2 AVG) beperken wat een agent ziet, hoe lang hij het bewaart en wie erbij kan. Bij agents draait het om toegang: de Britse toezichthouder ICO noemt als voorbeeld van slecht ingerichte agents dat ze gekoppeld zijn aan databases die ze niet nodig hebben.

• Geef de agent alleen de rechten en tools die de taak vraagt, niet die van een medewerker of beheerder.
• Leg per verwerking vast welke bronnen de agent mag raadplegen (need-to-know, aldus de AEPD) en minimaliseer per handeling, niet alleen per agent.
• Beperk de taak: de Autoriteit Persoonsgegevens (AP) noemt één specifieke taak per agent een belangrijke goede werkwijze (RAN 6, blz. 15).

Wie is verwerkingsverantwoordelijke en wie verwerker?

In een agentketen zitten meer partijen dan twee: uw organisatie, de leverancier, de aanbieder van het taalmodel en elke tool of bron die de agent aanroept. Het Europees Comité voor gegevensbescherming (EDPB) kijkt naar wat zij feitelijk doen, niet naar het etiket in het contract (richtsnoeren 07/2020, punt 12). Werk het per schakel uit:

• U bent in de regel verwerkingsverantwoordelijke; een leverancier die in uw opdracht gegevens verwerkt, is verwerker. Daarvoor is een verwerkersovereenkomst nodig met de inhoud van artikel 28 lid 3 AVG, waaronder een omschrijving van de verwerking (onderwerp, duur, aard en doel, soorten gegevens en betrokkenen), alleen verwerken op uw schriftelijke instructies (ook over doorgiften), geheimhouding, beveiliging, bijstand bij rechten, datalekken en DPIA, wissen of teruggeven na afloop en medewerking aan audits. Het taalmodel is vaak een subverwerker: daarvoor is uw voorafgaande schriftelijke toestemming nodig, specifiek of algemeen met een recht van bezwaar tegen wijzigingen, en de leverancier legt de subverwerker dezelfde plichten op (artikel 28 lid 2 en 4 AVG).
• Gebruikt de leverancier uw gegevens ook voor eigen doelen, zoals trainen, dan bepaalt hij daarvoor zelf doel en middelen en is hij voor die verwerking verwerkingsverantwoordelijke (artikel 4 punt 7 AVG). Staat u dat toe, dan hebt u zelf een grondslag nodig om de gegevens daarvoor te verstrekken; doet hij het zonder uw instructie, dan handelt hij in strijd met de AVG en geldt hij als verwerkingsverantwoordelijke (artikel 28 lid 10 AVG; EDPB, punt 81). Eenvoudiger: sluit training in het contract uit.
• Bepalen u en de leverancier samen doel en middelen, ook door samenvallende besluiten die elkaar aanvullen (aldus de EDPB), dan bent u gezamenlijk verantwoordelijk volgens artikel 26 AVG: maak een onderlinge regeling; betrokkenen kunnen zich tot ieder van u wenden.
• Voor tools en bronnen kijkt de AEPD naar wat er stroomt: een dienst die gegevens verwerkt als onderdeel van uw verwerking is verwerker; een bron of ontvanger buiten uw verwerking is zelf verwerkingsverantwoordelijke.

Teken de gegevensstromen op en noteer per schakel de rol. Het contract staat in ons stuk over het inkopen van een AI-agent.

Is een DPIA verplicht voor een AI-agent?

Niet automatisch, maar vaak wel. Artikel 35 lid 1 AVG vraagt een DPIA vóór de verwerking als die, in het bijzonder met nieuwe technologieën, waarschijnlijk een hoog risico meebrengt. Nieuwe technologie is op zichzelf geen automatische trigger; volgens de AEPD hangt het af van de verwerking waarin de agent wordt gebruikt. Toets die verwerking met twee hulpmiddelen:

• De negen criteria (risicosignalen) van WP248 rev.01, de DPIA-richtsnoeren van de Europese toezichthouders: in de regel is een DPIA nodig bij twee, soms al bij één. Een agent met brede toegang raakt er snel twee: gegevens van zeer persoonlijke aard (WP248 noemt e-mail), het combineren van bronnen buiten de redelijke verwachting van betrokkenen, medewerkers als betrokkenen, innovatieve technologie.
• De lijst van de AP met 17 soorten verwerking waarvoor een DPIA verplicht is (lid 4; Staatscourant 2019, 64418). Agents staan er niet als zodanig op, maar wel soorten verwerking die een agent kan uitvoeren, meestal onder de voorwaarde grootschalig of stelselmatig: profilering, controle van werknemers (zoals van e-mail), verwerking van communicatiegegevens, fraudebestrijding. De lijst is niet uitputtend.

Toets opnieuw als het risico verandert, bijvoorbeeld door een nieuwe tool, bron of model (lid 11). Zie wanneer een DPIA verplicht is voor AI-systemen of begin met de casus-check.

Geldt artikel 22 AVG voor een agent?

Artikel 22 AVG geldt alleen bij een besluit dat uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen of vergelijkbaar aanmerkelijke gevolgen heeft, zoals een claim of kandidaat afwijzen; de meeste handelingen van een agent zijn dat niet. Let wel op scores en ranglijsten: volgens het Hof van Justitie is ook een score zo'n besluit als degene die beslist er een doorslaggevende rol aan toekent (SCHUFA, C-634/21, 7 december 2023). De waarborgen van lid 3 (menselijke tussenkomst, standpunt kenbaar maken, besluit aanvechten) gelden alleen bij de uitzonderingen voor een overeenkomst en uitdrukkelijke toestemming (lid 2, onder a en c); bij een wettelijke grondslag moet de wet zelf waarborgen bieden. Zie artikel 22 AVG en AI-agents.

Wat vertelt u betrokkenen, en hoe oefenen zij hun rechten uit?

Betrokkenen moeten weten waarvoor een agent hun gegevens gebruikt, bij wie ze terechtkomen, waarheen ze gaan en hoe lang ze blijven. Artikel 13 AVG geldt voor gegevens die u bij de betrokkene verzamelt, artikel 14 AVG voor gegevens die u elders verkrijgt, wat bij agents vaak het geval is. Gebruikt de agent elders verkregen gegevens om met de persoon te communiceren, dan geeft u de informatie uiterlijk bij het eerste contact (artikel 14 lid 3 onder b AVG).

De rechten van de artikelen 15 tot en met 21 AVG gelden ook bij agents, met hun eigen voorwaarden en uitzonderingen. U antwoordt onverwijld en uiterlijk binnen een maand, bij complexe of veel verzoeken te verlengen met twee maanden als u dat binnen die maand meldt (artikel 12 lid 3 AVG). De EDPS verwacht dat dit bij agents "very difficult" wordt, omdat ze onthouden, profielen opbouwen en informatie delen. Ontwerp er dus voor: geheugen en logs die u per persoon kunt doorzoeken, beperken en wissen, geheugen gescheiden per verwerking en zaak (AEPD), en een procedure die ook uw verwerkers bereikt.

Hoe beveiligt u een AI-agent?

Artikel 32 AVG vraagt beveiliging die past bij het risico, artikel 25 AVG gegevensbescherming door ontwerp. Een kernrisico bij agents is de gevaarlijke driehoek: toegang tot privégegevens, blootstelling aan onbetrouwbare inhoud en de mogelijkheid om naar buiten te communiceren (Simon Willison: de "lethal trifecta", 16 juni 2025). Een taalmodel ziet niet betrouwbaar van wie een instructie komt, dus een verborgen opdracht in een mail of webpagina kan de agent gegevens laten versturen. Volgens het Britse NCSC is het goed mogelijk dat zulke aanvallen nooit helemaal te voorkomen zijn (8 december 2025). Geef een agent daarom nooit alle drie tegelijk, of laat een mens elk bericht naar buiten goedkeuren. De AEPD is strenger: een agent die onbetrouwbare invoer verwerkt, onbeperkt bij gevoelige gegevens kan en daarna automatisch handelt, ook in zijn geheugen of in interne systemen, zou niet mogen (de "Rule of 2").

Verder helpen minimale rechten, kort geldige sleutels, goedkeuring door een mens bij onomkeerbare stappen, logs die de agent niet kan wijzigen, een geteste noodstop en regelmatig testen (artikel 32 lid 1 onder d AVG). Zie beveiligingsrisico's van AI-agents en de OWASP-lijst.

Wanneer is een fout van de agent een datalek?

Een datalek is een inbreuk op de beveiliging die per ongeluk of onrechtmatig leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens (artikel 4 punt 12 AVG). Daar is niet eens een aanvaller voor nodig: een agent die een bestand naar de verkeerde ontvanger mailt of een database wist, veroorzaakt mogelijk net zo goed een datalek als een agent die na een verborgen opdracht klantgegevens wegstuurt. Dan geldt:

• Melden bij de AP zonder onredelijke vertraging en zo mogelijk binnen 72 uur nadat u het weet (artikel 33 lid 1 AVG), tenzij het lek waarschijnlijk geen risico voor betrokkenen oplevert.
• Betrokkenen informeren bij een waarschijnlijk hoog risico (artikel 34 AVG).
• Elk lek vastleggen, ook het niet gemelde (artikel 33 lid 5 AVG). Uw verwerker meldt aan u zonder onredelijke vertraging (artikel 33 lid 2 AVG).

Zonder logs van tool-aanroepen weet u niet wat naar wie is gegaan; wijs vooraf aan wie de agent stopt. Is uw organisatie een essentiële of belangrijke entiteit onder de Cyberbeveiligingswet, dan kan hetzelfde voorval ook een significant incident zijn, met eigen meldstappen: zie AI-agents en de Cyberbeveiligingswet.

Mag een agent gegevens naar een model buiten de EER sturen?

Ja, als er een geldige doorgifteroute is. Persoonsgegevens naar een model buiten de EER sturen is in de regel een doorgifte met eigen regels (hoofdstuk V; artikel 44 AVG). Volgens de EDPB (richtsnoeren 05/2021) is er een doorgifte als de afzender onder de AVG valt, gegevens beschikbaar stelt aan een andere verantwoordelijke of verwerker, en die ontvanger in een derde land zit. Ook toegang op afstand vanuit een derde land (zelfs alleen kijken bij ondersteuning) en opslag in een cloud buiten de EER tellen mee; kijk dus ook waar de support en de subverwerkers zitten.

Een doorgifte kan berusten op een adequaatheidsbesluit volgens artikel 45 AVG of op passende waarborgen volgens artikel 46 AVG, zoals standaardbepalingen; daarbij moet u volgens Schrems II (C-311/18) zelf nagaan of het recht van het ontvangende land voldoende bescherming biedt. Voor de VS bestaat het adequaatheidsbesluit van 10 juli 2023 voor het EU-VS Data Privacy Framework (DPF; Uitvoeringsbesluit (EU) 2023/1795): het geldt voor organisaties op de DPF-lijst. Het Gerecht verwierp op 3 september 2025 een beroep tot nietigverklaring (T-553/23); het hoger beroep (C-703/25 P) was op 5 november 2026 nog aanhangig. Controleer dus of de leverancier op de lijst staat (personeelsgegevens moeten bij de certificering uitdrukkelijk zijn aangemeld) en houd een alternatief gereed.

Hoe lang mag een agent gegevens onthouden?

Een agent mag gegevens niet langer bewaren dan nodig voor het doel (artikel 5 lid 1 onder e AVG). Agents hebben vaak een geheugen dat over taken heen blijft bestaan, ook nadat het doel is bereikt (EDPS), en dat geheugen is een database met persoonsgegevens. Maatregelen die de AEPD noemt: een vaste termijn per soort gegeven en per onderdeel (geheugen, logs, modelaanbieder), persistent geheugen uitzetten waar het niet hoeft, en bij de modelaanbieder een beleid dat de inhoud van prompts niet bewaart (no-log of zero data retention). Logs blijven nodig voor beveiliging en het vastleggen van een lek: kies per log een doel en een termijn.

Checklist: wat u moet regelen

Leg het resultaat vast in uw agentregister. De artikelen gelden zoals ze nu luiden; het digitale omnibusvoorstel van de Commissie, dat onder meer de AVG wijzigt (COM(2025) 837), is nog niet aangenomen (stand 5 november 2026). Het is iets anders dan de Digital Omnibus voor AI, die sinds 27 juli 2026 in werking is.

Terug naar de webwinkel: met een doel per taak, beperkte toegang en een geheugen dat u per persoon kunt doorzoeken en wissen, heeft de privacy officer zijn drie antwoorden. Wilt u dat iemand meekijkt naar het ontwerp van uw agent, van grondslag tot DPIA, dan kunt u Zahed Ashkara inhuren als juridisch adviseur voor AI en privacy. De Agent-check geeft vooraf een eerste beeld.