AI Act en de AVG: wat is het verschil en waar overlappen ze?

Kort antwoord

De AI Act en de AVG zijn twee aparte wetten met een ander doel. De AI Act stelt eisen aan AI-systemen zelf: hoe ze zijn gebouwd, wat ze mogen doen en welke informatie u als gebruiker moet geven. De AVG stelt eisen aan de verwerking van persoonsgegevens: welke grondslag u heeft, hoe lang u gegevens bewaart en welke rechten betrokkenen hebben. Zodra een AI-systeem persoonsgegevens verwerkt, gelden beide wetten tegelijk. Dat is bij de meeste zakelijke AI-toepassingen het geval.

Wat regelt de AI Act?

De AI Act (officieel: Verordening (EU) 2024/1689) is gericht op AI-systemen als zodanig. De wet deelt systemen in naar risiconiveau: verboden praktijken, hoog-risico, beperkt risico en minimaal risico. Afhankelijk van die categorie gelden verplichtingen voor de aanbieder (provider) of de gebruiker (deployer).

Voor het mkb zijn de meest relevante verplichtingen op dit moment:

• Verboden AI-toepassingen niet gebruiken (Art. 5, geldt sinds 2 februari 2025).
• Zorgen dat medewerkers voldoende AI-geletterd zijn (Art. 4, geldt sinds 2 februari 2025).
• Transparantie bieden bij chatbots, deepfakes en AI-gegenereerde content (Art. 50, deadline 2 augustus 2026).
• Extra verplichtingen bij hoog-risico AI-systemen, zoals die voor werving of kredietbeoordeling (Art. 6 en 26, deadline 2 december 2027).

De AI Act gaat dus over het systeem: wat het doet, hoe het werkt en wat u de gebruiker of betrokkene vertelt.

Wat regelt de AVG?

De AVG (Algemene Verordening Gegevensbescherming) regelt de verwerking van persoonsgegevens van natuurlijke personen. De wet stelt eisen aan rechtmatigheid, transparantie, doelbinding, dataminimalisatie, beveiliging en de rechten van betrokkenen.

De AVG is al jaren van kracht en geldt voor elke organisatie die persoonsgegevens verwerkt, ongeacht of daarbij AI wordt gebruikt. Denk aan namen, e-mailadressen, IP-adressen, gedragsgegevens of biometrische kenmerken.

Waar overlappen ze?

De overlap ontstaat zodra een AI-systeem persoonsgegevens verwerkt. Dat is bijna altijd het geval bij zakelijke AI-toepassingen. Voorbeelden:

• Een chatbot op uw website die vragen van klanten beantwoordt, verwerkt gespreksinhoud die persoonsgegevens kan bevatten. De AI Act verplicht u de gebruiker te informeren dat hij met een AI praat (Art. 50). De AVG verplicht u een grondslag te hebben voor die gegevensverwerking en de gebruiker te informeren via een privacyverklaring.
• Een AI-tool die cv's beoordeelt bij werving, valt onder hoog-risico AI (Annex III, Art. 6). De AI Act stelt eisen aan menselijk toezicht (Art. 14) en documentatie (Art. 11). De AVG stelt eisen aan geautomatiseerde besluitvorming (Art. 22 AVG) en vereist mogelijk een gegevensbeschermingseffectbeoordeling (DPIA).
• Een AI-systeem dat klantgedrag analyseert voor marketingdoeleinden, verwerkt persoonsgegevens. De AVG vraagt om een grondslag (vaak toestemming of gerechtvaardigd belang). De AI Act vraagt of het systeem in een verboden categorie valt, zoals manipulatie of ongeoorloofde profilering.

Drie praktische verschillen om te onthouden

1. Onderwerp: De AI Act gaat over het AI-systeem. De AVG gaat over de persoonsgegevens die worden verwerkt.

2. Toezichthouder: De AI Act wordt in Nederland gehandhaafd door de Autoriteit Persoonsgegevens (tijdelijk) en straks door een nog aan te wijzen markttoezichthouder. De AVG wordt gehandhaafd door de Autoriteit Persoonsgegevens.

3. Verplichtingen: De AI Act legt verplichtingen op aan providers en deployers van AI-systemen. De AVG legt verplichtingen op aan verwerkingsverantwoordelijken en verwerkers van persoonsgegevens. Uw bedrijf kan tegelijk deployer (AI Act) en verwerkingsverantwoordelijke (AVG) zijn.

Wat betekent dit voor uw administratie?

U hoeft geen twee volledig aparte dossiers bij te houden, maar u moet wel beide wetten adresseren. In de praktijk betekent dat:

• Uw verwerkingsregister (AVG) uitbreiden met de AI-systemen die persoonsgegevens verwerken.
• Bij hoog-risico AI-systemen een DPIA overwegen (AVG) en tegelijk de technische documentatie bijhouden die Art. 11 van de AI Act vereist.
• Uw privacyverklaring aanvullen met informatie over AI-gebruik waar dat relevant is voor betrokkenen.
• Uw transparantieverplichtingen onder Art. 50 van de AI Act afstemmen op wat u al communiceert in uw cookiebanner of privacyverklaring.

Welke wet heeft voorrang bij conflict?

In de meeste gevallen vullen de wetten elkaar aan in plaats van dat ze botsen. Waar ze allebei van toepassing zijn, moet u aan beide voldoen. De AI Act bevat in Art. 2 een expliciete bepaling dat de wet de AVG onverlet laat. U kunt dus niet zeggen dat naleving van de AI Act automatisch AVG-compliance oplevert, of andersom.

Nuchtere volgende stap

Weet u nog niet precies welke AI-systemen uw bedrijf gebruikt en of die persoonsgegevens verwerken? Dat is het startpunt. Maak een korte inventarisatie van de tools die uw medewerkers gebruiken, check of er persoonsgegevens in gaan en beoordeel daarna pas welke verplichtingen uit de AI Act en de AVG van toepassing zijn. De gratis zelfscan op nuchter.ai helpt u die inventarisatie gestructureerd te maken.