Dossier · Regelgeving voor het MKB
AVG & AI voor ondernemers
AI-tools beloven tijdwinst, maar zodra er klantgegevens in gaan, gelden de AVG én de EU AI Act. Dit dossier houdt op één plek bij wat je als ondernemer mag, wat je moet regelen en wanneer, zonder juridisch jargon, met praktische stappen.
23 stukken · bijgewerkt 10 november 2026
In het kort
Je mag AI in je bedrijf gebruiken, ook met klantdata, maar alleen met een geldige AVG-grondslag en een verwerkersovereenkomst met de leverancier, en je moet weten of je invoer voor modeltraining wordt gebruikt. Daarnaast geldt de EU AI Act, ook voor het MKB: je ondersteunt de AI-geletterdheid van je medewerkers, en sinds 2 augustus 2026 moet een chatbot laten weten dat klanten met AI praten. Twijfel je over persoonsgegevens? Anonimiseer waar het kan en kies een zakelijke versie met dataverwerkingsafspraken.
Wat geldt wanneer
- 21 aug 2026
AP-boete: software mag niet alleen beslissen
De Autoriteit Persoonsgegevens beboette Uber met bijna 825 miljoen euro voor automatische blokkades van chauffeurs zonder betekenisvolle menselijke check (artikel 22 AVG). Die regel kent geen ondergrens: ook een MKB-bedrijf dat software over mensen laat beslissen, valt eronder.
- 2 aug 2026
Transparantieplichten (EU AI Act art. 50)
Een chatbot moet laten weten dat de klant met AI praat, en makers van generatieve AI moeten hun output als AI-gemaakt markeren. Raakt iedere ondernemer die AI naar klanten toe inzet.
- 27 jul 2026
AI Omnibus in werking
Verordening (EU) 2026/1744 past de AI Act aan: de hoog-risico-eisen schuiven op, de plicht rond AI-geletterdheid is afgezwakt en AI die zonder toestemming seksueel expliciete beelden van echte personen maakt, is verboden.
Toon de hele tijdlijn (6 mijlpalen)
- 15 jul 2026
Europese richtsnoeren over webscraping
De Europese privacytoezichthouders (EDPB) publiceerden richtsnoeren over het scrapen van gegevens voor generatieve AI; de consultatie loopt tot 30 oktober 2026. Relevant als je AI-tools websites laat uitlezen voor marktonderzoek.
- doorlopend
AVG: grondslag vóór je persoonsgegevens verwerkt
Klantdata in een AI-tool stoppen is "verwerken". Dat mag alleen met een geldige grondslag, een verwerkersovereenkomst met de leverancier en duidelijkheid of je data voor training wordt gebruikt.
- 2 feb 2025
AI-geletterdheid (EU AI Act art. 4)
Wie AI gebruikt of aanbiedt in de EU moet werk maken van de AI-kennis van medewerkers die ermee werken, ook in het MKB. Sinds de AI Omnibus (27 juli 2026) vraagt de wet maatregelen die AI-geletterdheid "ondersteunen" in plaats van een gegarandeerd niveau. Een verplichte cursus of certificaat is er niet.
Laatst bijgewerkt: 10 november 2026. Nieuwste eerst. De lijn volgt onze berichtgeving; bronnen staan bij de gekoppelde artikelen hieronder. De brede tijdlijn en NL-toezicht van de wet zelf houden we bij in het dossier EU AI Act. Wat AI doet met de gegevens van jou en je klanten, van ChatGPT tot AI-agents, volgen we in het dossier AI en jouw data. Blader ook door al onze praktische AI-gidsen en artikelen over AI-regelgeving.
Al onze gidsen en duiding (23)
- ChatGPT Business, Claude Team, Copilot of Gemini: welk zakelijk abonnement?
- DeepSeek review: goedkope Chinese AI, maar waar gaan je bedrijfsgegevens heen?
- Kling review: AI-video voor je marketing, wat kost het en waar gaan je bestanden heen?
- Zoho Recruit review: werven met AI-matching, wat kost het en wat mag je ermee?
- Amberscript review: opnames omzetten naar tekst, wat kost het en waar blijft je data?
- ChatGPT review: welk abonnement past bij je bedrijf?
- Clay review: leads verrijken met AI, voor welk bedrijf loont het?
- Perplexity review: AI-zoekmachine met bronnen, wat heb je eraan als ondernemer?
- CV's lezen met AI: mag dat? Zo zet je het verantwoord in
- Notuleren met AI: zo laat je je vergadering automatisch uitwerken
- AI Act en HR: wat nu al geldt voor je werving en wat pas in 2027
- AI-sollicitatiegesprekken: 3 regels die nu al voor jou gelden
- Laat jij software over mensen beslissen? Dan geldt artikel 22
- AI Act: in welk risiconiveau valt jouw AI-tool?
- Open AI-modellen veilig zelf draaien: 5 checks voor je bedrijf
- AI-geletterdheid: wat de AI Act van je bedrijf vraagt
- UWV test Copilot onder strenge regels: vier lessen voor jou
- Firecrawl voor marktonderzoek in het MKB: voor wie werkt het?
- Europese AI-apps 2026: alternatieven voor ChatGPT op een rij
- AI-geletterdheid regelen in je team zonder dure cursus
- Granola voor MKB: vergader-notulen in 5 minuten klaar
- AI-contracten 2026: 20 inkoop-vragen vóór je tekent
- EU AI Act: welke 10 toezichthouders straks jouw MKB raken
Veelgestelde vragen over AVG & AI
Mag ik klantgegevens in ChatGPT of een andere AI-tool invoeren?
Alleen met een geldige AVG-grondslag en goede afspraken. Klantdata in een AI-tool stoppen is "verwerken" van persoonsgegevens. Je hebt een verwerkersovereenkomst met de leverancier nodig, je moet weten of je invoer voor het trainen van het model wordt gebruikt, en je gebruikt bij voorkeur een zakelijke of enterprise-versie waar training standaard uitstaat. Anonimiseer gegevens waar dat kan.
Geldt de EU AI Act ook voor mijn kleine onderneming?
Ja. De wet kent geen drempel naar bedrijfsomvang: zodra je AI gebruikt of aanbiedt in de EU, val je eronder. De AI-geletterdheidsplicht (artikel 4) geldt sinds 2 februari 2025; sinds de AI Omnibus (27 juli 2026) moet je maatregelen nemen die de AI-geletterdheid van je medewerkers ondersteunen. Sinds 2 augustus 2026 gelden ook de transparantieplichten, zoals melden dat een chatbot AI is. De zware hoog-risico-eisen, bijvoorbeeld voor AI bij werving, gelden pas vanaf 2 december 2027.
Mag ik met AI gegevens van websites scrapen voor marktonderzoek?
Wees voorzichtig. De Autoriteit Persoonsgegevens stelt dat het scrapen van persoonsgegevens bijna altijd op gespannen voet staat met de AVG, ook als die gegevens openbaar op een website staan. Voor niet-persoonsgebonden data (zoals prijzen of productinformatie) is er meer ruimte, maar let op de gebruiksvoorwaarden en robots.txt van de bron. De Europese privacytoezichthouders (EDPB) hebben richtsnoeren over scrapen voor generatieve AI in consultatie tot 30 oktober 2026.
Heb ik een verwerkersovereenkomst nodig met mijn AI-leverancier?
Ja, als de leverancier persoonsgegevens namens jou verwerkt. Een verwerkersovereenkomst legt vast wat de leverancier met de data mag doen, hoe die wordt beveiligd en dat hij de gegevens niet voor eigen doeleinden gebruikt. Zonder zo'n overeenkomst loop je een AVG-risico zodra er klant- of personeelsgegevens door de tool gaan.
Wat is AI-geletterdheid en hoe regel ik dat zonder dure cursus?
AI-geletterdheid betekent dat de mensen die met AI werken begrijpen wat de tool wel en niet kan, en de risico's herkennen. Sinds juli 2026 vraagt de wet dat je maatregelen neemt die dat ondersteunen; een vast niveau, urenaantal of certificaat schrijft ze niet voor. Voor een klein team kan dat met een korte interne sessie, duidelijke afspraken over welke data wél en niet in een tool mag, en gratis of goedkope basistrainingen, een uitgebreide externe cursus is niet verplicht.
Wie houdt in Nederland toezicht op de AI Act?
Dat is nog niet formeel geregeld. Het kabinet legde de Uitvoeringswet AI-verordening van 20 april tot 1 juni 2026 in internetconsultatie, met de Autoriteit Persoonsgegevens en de RDI als beoogde coördinerende toezichthouders. Zolang die wet er niet is, zijn de toezichthouders niet formeel aangewezen. Op de AVG houdt de Autoriteit Persoonsgegevens wel gewoon toezicht.
Mag software zelfstandig beslissen over klanten of personeel?
Niet bij besluiten met grote gevolgen. Artikel 22 van de AVG verbiedt besluiten die volledig automatisch worden genomen en iemand flink raken, zoals een afwijzing of blokkade, zonder betekenisvolle menselijke check. Die regel kent geen ondergrens naar bedrijfsomvang. De Autoriteit Persoonsgegevens beboette Uber daarvoor op 21 augustus 2026 met bijna 825 miljoen euro; voor een MKB-bedrijf liggen de bedragen veel lager, maar de plicht is dezelfde.