Toezichthouders en rechters komen tot een opvallend eenduidige boodschap: wie generatieve AI loslaat op privacygevoelige informatie, blijft zelf verantwoordelijk voor rechtmatige verwerking, vertrouwelijkheid en de rechten van betrokkenen. Dat geldt ook wanneer het onderliggende model door een derde partij is gebouwd of gehost. Recente ontwikkelingen in Singapore en een reeks juridische analyses uit de Verenigde Staten maken duidelijk dat de omgang met gevoelige data bij AI-gebruik vooral een governance-vraagstuk is, en niet louter een technische kwestie.
Singapore verduidelijkt hoe privacyregels op generatieve AI toepasbaar zijn
De Personal Data Protection Commission van Singapore publiceerde richtlijnen over het gebruik van persoonsgegevens in generatieve AI-systemen. De richtlijnen verduidelijken hoe de Personal Data Protection Act toepasbaar is op persoonsgegevens die worden gebruikt bij het ontwikkelen en inzetten van generatieve AI, inclusief de verdeling van verantwoordelijkheden tussen modelontwikkelaars, aanbieders en inzettende organisaties, en de behandeling van online data als "publiek beschikbaar". Organisaties kunnen niet alle online data als vrij herbruikbaar behandelen: zij moeten rechtmatige doeleinden definiëren, informatie beschermen gedurende de hele AI-levenscyclus en verantwoordelijk blijven voor het beschermen van de gegevens van individuen, ook bij het gebruik van AI-tools van derden.
Deze richtlijnen bouwen voort op de eerder gepubliceerde voorgestelde adviesrichtlijnen over het gebruik van persoonsgegevens in generatieve AI, die de verzameling en het gebruik van persoonsgegevens voor het ontwikkelen en exploiteren van generatieve AI uiteenzetten. Daarin komen de verdeling van verantwoordelijkheden over de gehele levenscyclus en de afhandeling van verzoeken van individuen over die verwerking aan bod. Toezichthouders bewegen zo naar expliciete, levenscyclusgerichte richtlijnen, waarbij organisaties moeten anticiperen op verplichtingen rond toestemming, transparantie en verantwoording bij AI-gebruik op privacygevoelige informatie.
Volgens een samenvatting van de International Association of Privacy Professionals (IAPP) moeten organisaties toestemming verkrijgen wanneer zij persoonsgegevens die individuen via producten of diensten hebben verstrekt, gebruiken om generatieve AI-modellen te ontwikkelen, tenzij een PDPA-uitzondering van toepassing is. Het hergebruik van servicedata voor AI-training of -analyse is dus niet automatisch toegestaan en vereist vaak nieuwe toestemming en duidelijke kennisgevingen, zeker bij privacygevoelige informatie.
Amerikaanse rechtspraak: publieke AI-tools kunnen bescherming vernietigen
Ook aan de andere kant van de wereld tekent zich een vergelijkbaar beeld af. Een analyse van IPWatchdog over generatieve AI en bescherming van bedrijfsgeheimen stelt dat het delen van vertrouwelijke of bedrijfseigen informatie met een publiek generatief AI-platform, zonder robuuste contractuele en structurele waarborgen, juridisch vergelijkbaar is met openbaarmaking. Onbeschermd gebruik van publieke AI-tools kan de geheimhoudingsbescherming vernietigen. Bedrijven moeten daarom toegangscontroles, logging, need-to-know-beperkingen en gecontroleerde, contractueel veilige AI-platforms inzetten voor de omgang met gevoelige informatie.
Nog scherper is een client alert van advocatenkantoor Dorsey & Whitney LLP, dat een uitspraak van een federale rechtbank in New York uit 2026 analyseert. Het gebruik van commercieel beschikbare generatieve AI-tools om bevoorrechte juridische informatie te verwerken, kan het verschoningsrecht en de bescherming van werkproduct doen vervallen, vanwege het privacybeleid van platforms en het ontbreken van een beschermde relatie. Gevoelige en bevoorrechte juridische informatie mag dus niet via ongecontroleerde, publieke AI-tools worden verwerkt; professionele gebruikers moeten de gegevensverwerking en vertrouwelijkheidsgaranties van elk AI-platform dat zij gebruiken verifiëren.
Van technische vraag naar levenscyclus-governance
Samen tonen deze ontwikkelingen dat privacygevoelige informatie en AI-gebruik vooral een governance- en verantwoordelijkheidsvraagstuk vormen. Organisaties en professionals doen er goed aan om enkele stappen scherp te onderscheiden. Ten eerste: maak een duidelijk onderscheid tussen publieke en niet-publieke data bij het aandragen van trainings- en invoermateriaal. Ten tweede: verkrijg of herbeoordeel toestemming wanneer servicedata voor AI-doeleinden worden hergebruikt. Ten derde: verdeel rollen en verantwoordelijkheden over de generatieve AI-keten, maar erken dat inzettende organisaties verantwoordelijk blijven. En ten vierde: vermijd het doorsturen van vertrouwelijke of bevoorrechte informatie via publieke AI-tools, tenzij binnen contractueel gecontroleerde, niet-trainende omgevingen.
Precies op dit snijvlak kan een verificatielaag als IamVera.ai ondersteunen. Vera is geen chatbot of eigen taalmodel, maar een verificatielaag die controle mogelijk maakt door de verificatiestappen zichtbaar te maken. Voorbewerking en anonimisering vinden plaats op EU-infrastructuur; de workflow is ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde AI-modellen te sturen, en bij een mislukte privacycontrole wordt niets doorgestuurd. Zo kan Vera helpen om in kaart te brengen waar gevoelige data een AI-workflow binnenkomen, contractuele en beleidsmatige waarborgen te toetsen, en via verifieerbare logs en controles meer zicht te geven op het gebruik. Het professionele eindoordeel blijft daarbij altijd bij de gebruiker, die zo AI kan inzetten zonder de bescherming van privacy, bedrijfsgeheimen of verschoningsrecht onnodig te ondermijnen.