Op 7 juli 2026 nam de European Data Protection Board de Guidelines 02/2026 on Anonymisation aan. Dat document legt in detail vast wanneer een dataset zo ver is bewerkt dat hij als anoniem geldt en daarmee buiten de AVG valt. De EDPB introduceert daarvoor een cumulatieve toets met drie criteria: geen isolatie van records (No Record Isolation), geen koppelbaarheid (No Linkage) en geen afleidbaarheid (No Inference). Alleen wie alle drie doorstaat, mag van anonieme data spreken.
Voor professionals die AI inzetten op gevoelige of hoog-trust informatie is de praktische consequentie direct: pseudoniem gemaakte AI-data is volgens deze lezing geen route buiten de AVG. Wie modellen traint of inference draait op gehashte, getokeniseerde of gecodeerde gegevens blijft volledig onder de AVG vallen, met alle verplichtingen die daarbij horen.
De drie-criteriatest en contextuele herleidbaarheid
Volgens de Guidelines 02/2026 moeten heridentificatiekansen contextueel en over tijd worden beoordeeld. Een dataset is niet automatisch anoniem omdat een naam is vervangen door een code; de EDPB benadrukt dat anonimiteit per relevante entiteit en over tijd langs de cumulatieve criteria moet worden getoetst, inclusief nieuwe re-identificatietechnieken.
De EDPB-topicpagina over anonymisation/pseudonymisation vat het onderscheid bondig samen: pseudonimisering is een safeguard die linkability reduceert, maar de koppeling met een individu niet volledig verbreekt, terwijl geanonimiseerde gegevens niet langer aan een identificeerbare persoon relateerbaar zijn en daarom buiten de reikwijdte van de EU-dataprotectiewet vallen. Pseudoniem gemaakte AI-data blijft juridisch persoonsgegevens; anonimisering is een strengere, kwalitatief andere status.
Een overzichtsanalyse van MDP Data bespreekt dezelfde drie cumulatieve criteria en benadrukt dat klassieke technieken als hashing en tokenisering slechts pseudonimisering opleveren zolang re-identificatie technisch mogelijk blijft. Pseudoniem gemaakte gegevens blijven daarmee persoonsgegevens onder de AVG en de CJEU-jurisprudentie. De redactionele lezing hiervan: veel data die in de praktijk als 'anoniem' wordt gelabeld, is in werkelijkheid pseudoniem en valt dus onder strengere verplichtingen.
Wat dit betekent voor training, inference en publicatie
De analyse van SecurePrivacy koppelt het drie-criteriakader expliciet aan AI-contexten en de webscraping-richtsnoeren: anonimiteit wordt entity-relatief beoordeeld en organisaties moeten pseudonimisering blijven zien als verwerking van persoonsgegevens die onder GDPR-regels valt. Pseudonimisering bij dataverzameling en AI-training is een veiligheidsmaatregel, geen uitweg uit de AVG. Dit stuk verbindt pseudonimisering ook aan Guidelines 01/2025 over pseudonymisation als afzonderlijke techniek.
Een sectorcase maakt dit concreet. De analyse van Iliomad Health Data beschrijft hoe de Guidelines 02/2026 in klinische trials moeten worden toegepast: anonimisering vergt een cumulatieve drie-criteriatest en contextuele risico-analyse per relevante entiteit, terwijl pseudonimisering, zoals re-coded subject IDs, onder artikel 4(5) AVG blijft vallen en volledige GDPR-compliance vereist, inclusief sleutelbeheer en beperking van re-identificatiepaden. AI-gedreven analyses en modeltraining op pseudoniem gemaakte trialdata blijven feitelijk verwerking van persoonsgegevens en vragen dus DPIA's, contracten en technische safeguards.
Voor hoog-trust professionals betekent dit dat pseudonimisering en anonimisering niet langer als uitwisselbare privacylabels gelden. Het zijn twee verschillende ontwerp- en governancecategorieën. Wie AI-workflows opzet, moet expliciet modelleren welke datalagen doelbewust pseudoniem worden gehouden als veiligheidssafeguard binnen persoonsgegevens, welke datasets na een rigoureuze drie-criteriatest werkelijk anoniem zijn en dus anders mogen worden gedeeld of gepubliceerd, en waar herleidbaarheidspaden en sleutelbeheer moeten worden vastgelegd.
Een verificatielaag zoals IamVera.ai kan helpen die scheidslijn per workflow zichtbaar te maken: welke datasets pseudoniem en welke anoniem zijn, welke re-identificatiescenario's en toetsingen zijn uitgevoerd, en waar governance en audits zich moeten richten. De verwerking is zo ontworpen dat voorbewerking en privacybescherming op EU-infrastructuur plaatsvinden en dat de workflow ernaar streeft alleen inhoud te sturen die volgens de interne toetsing als geanonimiseerd geldt naar de geselecteerde AI-modellen; bij een mislukte privacycontrole wordt niets doorgestuurd. Dat geeft meer zicht op de vraag of geen enkele 'pseudonieme' AI-verwerking per vergissing als anoniem is behandeld. Het professionele eindoordeel blijft bij de gebruiker.