De AVG geldt in elke fase van een generatieve-AI-workflow: scraping, training, inference en logging, terwijl de AI Act daar alleen systeem- en modelplichten bovenop legt. Leg per fase vast wie verwerkingsverantwoordelijke of verwerker is en op welke rechtsgrond gegevens worden verwerkt.
De aanleiding is concreet. De European Data Protection Board (EDPB) nam op 7 juli 2026 Guidelines 03/2026 over webscraping in de context van generatieve AI aan. Kort daarna publiceerde de Autoriteit Persoonsgegevens (AP) een handreiking over generatieve AI en de AVG, samengevat door Praxikon. Beide documenten wijzen dezelfde richting: AI-verwerking van persoonsgegevens is en blijft gewone AVG-verwerking, met extra aandachtspunten.
Naar onze inschatting is de praktische consequentie dat organisaties AVG en AI Act niet langer als twee losse compliance-dossiers kunnen behandelen. Dit is redactionele analyse, geen bronuitspraak.
Wat zeggen de EDPB-richtsnoeren 03/2026 over webscraping voor AI-training?
Volgens de EDPB valt het scrapen van online persoonsgegevens voor het trainen van generatieve AI onder de AVG. De richtsnoeren werken uit dat beginselen zoals doelbinding, transparantie, gegevensminimalisatie en juistheid gelden vóórdat een organisatie überhaupt naar een rechtsgrond kijkt. De EDPB wijst een generieke vrijstelling voor AI-training af.
Als een organisatie gerechtvaardigd belang (artikel 6 AVG) als rechtsgrond gebruikt, moet dat volgens de EDPB door een driestappentoets: een legitiem doel, de noodzakelijkheid van de verwerking en een belangenafweging tegen de rechten van betrokkenen. De richtsnoeren stonden bij publicatie open voor consultatie, wat betekent dat de precieze formuleringen nog kunnen worden aangescherpt.
De juridische analyse van Licentium onderstreept dat de richtsnoeren gelden voor drie rollen tegelijk: partijen die zelf scrapen, partijen die scraping uitbesteden en organisaties die kant-en-klare gescrapete datasets of modellen inkopen. Die laatste groep heeft volgens die analyse een due-diligence-plicht: u kunt de AVG-verantwoordelijkheid niet volledig afschuiven op een dataleverancier of een extern AI-lab.
Waar ligt de grens tussen de AVG en de AI Act in een AI-workflow?
De EDPB-themapagina over kunstmatige intelligentie stelt dat bestaande AVG-beginselen — rechtmatigheid, transparantie, doelbinding, dataminimalisatie, juistheid en vertrouwelijkheid — de basis vormen voor het gebruik van persoonsgegevens in AI-modellen. De AI Act komt daar niet voor in de plaats van, maar bovenop.
Naar onze inschatting is de scheidslijn zo samen te vatten:
- De AVG regelt de dataverwerking: welke persoonsgegevens worden verwerkt, op welke rechtsgrond, met welke transparantie en met welke rechten voor betrokkenen — in elke fase van scraping tot logging.
- De AI Act regelt het systeem en het model: risicoclassificatie, technische documentatie, risicobeheer, modelinformatie en transparantieverplichtingen op systeemniveau.
Wie deze twee sporen als gescheiden dossiers behandelt, mist de overlap. Een enkele AI-actie kan tegelijk een AVG-verwerking én een AI Act-verplichting raken. Hoe u dat structureel inricht, bespreken we ook in ons overzicht van governance specifiek afgestemd op generatieve AI en in de bredere pleidooien voor één governance-systeem voor privacy, cyber en AI.
Wat betekent het dat de AP in Nederland zowel AVG als AI Act toetst?
Volgens de analyse van Loyens & Loeff over de Nederlandse implementatie van de AI Act wordt de AP aangewezen als markttoezichthouder voor verboden AI-praktijken, voor het merendeel van de high-risk-systemen uit Annex III en voor de transparantieverplichtingen van de AI Act. Dat toezicht loopt parallel aan haar bestaande AVG-taken.
De AP-handreiking, samengevat door Praxikon, maakt generatieve AI expliciet tot handhavingsprioriteit voor 2026 en past de AVG-regels toe op zowel de ontwikkeling als de inzet van generatieve modellen. De praktische betekenis: in Nederland kijkt één en dezelfde autoriteit naar uw datastromen én naar het gedrag van uw AI-systeem. Een sterk privacy-dossier naast een zwak AI-dossier — of andersom — houdt bij die integrale toets geen stand.
Wie draagt welke verantwoordelijkheid per fase van de AI-workflow?
Voor een concrete workflow, bijvoorbeeld een interne kennisassistent of AI-ondersteunde klantcommunicatie, is het verantwoordelijkheidsmodel als volgt te ordenen:
- Ontwikkelaar/aanbieder: AVG-verantwoordelijke voor scraping en training (rechtsgrond, bijzondere categorieën, minimalisatie, transparantie) plus AI Act-plichten rond documentatie, risicobeheer en modelinformatie.
- Inkopende organisatie (verwerkingsverantwoordelijke): eigen AVG-verantwoordelijkheid voor welke persoonsgegevens in prompts, context en logs terechtkomen, plus AI Act-taken als deployer, zoals transparantie en menselijk toezicht waar relevant.
- Verwerker(s): contractuele en technische plichten voor beveiliging, logging en het faciliteren van de rechten van betrokkenen.
- Toezichthouders (AP en EDPB): toetsing van datastromen én systeemgedrag in samenhang.
Leg deze rolverdeling vast in contracten en in een DPIA. De auditrechten en bewijsverplichtingen in AI-contracten zijn daarbij het instrument om de due-diligence-plicht van de EDPB feitelijk afdwingbaar te maken.
Hoe maakt u aantoonbaar dat uw AI-workflow AVG- en AI Act-proof is?
Aantoonbaarheid vraagt om documentatie die per workflow herleidbaar is. Wij adviseren een controleagenda langs deze lijnen:
- Een datakaart per workflow: welke persoonsgegevens worden waar verwerkt en op basis van welke rechtsgrond.
- Documentatie van scraping- en trainingsherkomst: welke datasets, met welke juridische kwalificatie onder Guidelines 03/2026.
- Logging per AI-sessie: welke prompts, welke contextbronnen, welke output en welke menselijke controle.
- Een heldere rolverdeling tussen verwerkingsverantwoordelijke en verwerker in contracten en DPIA's.
- Een koppeling van deze elementen aan de toezichtsrol van de AP.
Verificatiegereedschap kan dit zicht ondersteunen, maar verandert de onderliggende plichten niet. Een verificatielaag zoals die van IamVera.ai is ontworpen om verwerking op EU-infrastructuur voor te bereiden en, waar het Semantic Privacy Shield wordt ingezet, alleen geanonimiseerde inhoud naar de geselecteerde AI-modellen te sturen; mislukt de privacycontrole, dan wordt niets doorgestuurd. Dat kan helpen om verificatiestappen en herkomst zichtbaar te maken, maar het is geen garantie van AVG-compliance. Het professionele eindoordeel blijft bij u. Meer context vindt u in de themahub over AI-privacy en de AVG.
Bronnen en referenties
- Guidelines 03/2026 on web scraping in the context of generative AI
- EDPB Adopts Guidelines 03/2026 on Web Scraping for Generative AI Training
- Dutch implementation of the AI Act: decentralised AI supervision
- Guidance on generative AI and the GDPR (Dutch Data Protection Authority)
- Artificial intelligence | European Data Protection Board
Bronnen: Het artikel steunt op de EDPB Guidelines 03/2026 en de EDPB-themapagina over AI, de AP-handreiking over generatieve AI en de AVG (via Praxikon) en de analyses van Licentium en Loyens & Loeff.