AP-handreiking over generatieve AI legt organisaties een onderzoeksplicht op bij het inkopen van AI-tools
De Autoriteit Persoonsgegevens publiceerde in juli haar eerste handreiking over generatieve AI en de AVG, gericht op partijen die AI-modellen ontwikkelen en op organisaties die verantwoordelijk zijn voor de inzet ervan. Voor kantoren zit de kern in dat tweede spoor. Een kantoor dat een AI-tool aanschaft en gebruikt, draagt onder de AVG een eigen onderzoeksplicht: het moet vooraf beoordelen of het onderliggende model rechtmatig is getraind, en mag er niet van uitgaan dat een model van een leverancier vanzelf aan de regels voldoet.
Waarom een getraind model geen anoniem model is
De handreiking bouwt op een uitgangspunt dat de AP overneemt van de Europese privacytoezichthouders: een model dat op persoonsgegevens is getraind, is niet zonder meer anoniem. De geleerde patronen zitten in de parameters, getallen die voor mensen geen leesbare informatie vormen. Met de juiste prompts of technieken kan een model persoonsgegevens uit zijn trainingsdata alsnog naar buiten brengen. De AP noemt dat ophoesting. Omdat die gegevens in het model zitten, is de AVG van toepassing en is voor de verwerking een grondslag nodig. Het inzetten van zo'n model is daarmee geen neutrale handeling, ook niet als je het kant-en-klaar bij een leverancier afneemt.
De controle op de leverancier ligt bij het kantoor zelf
Hier zit de kern voor de praktijk. De AP schrijft dat een modelgebruiker, de partij die een getraind model in gebruik neemt, er niet automatisch van mag uitgaan dat een door een derde ontwikkeld model rechtmatig is. Je moet zelf beoordelen of het model aan de AVG voldoet, en je mag het niet gebruiken als je weet of redelijkerwijs kunt vermoeden dat het onrechtmatig is getraind. Sterker nog, je moet kunnen aantonen dat je die beoordeling daadwerkelijk hebt uitgevoerd.
Dat verschuift iets aan hoe je naar een aankoop kijkt. Een leverancier die zegt dat zijn tool voldoet aan de AVG, of die zich Europees noemt, neemt jouw onderzoeksplicht daarmee niet over. De verantwoordelijkheid om te controleren of het model achter de tool rechtmatig is opgebouwd, blijft bij het kantoor dat de tool inzet. Een geruststellende verkooptekst is geen bewijs, en de herkomst van een aanbieder zegt op zichzelf niets over de rechtmatigheid van de training.
Wat je bij de leverancier kunt opvragen
De AP erkent dat je als afnemer de volledige trainingsdata niet kunt controleren, en vindt dat ook onredelijk om te verlangen. In plaats daarvan verschuift de bewijslast naar de ontwikkelaar. Je kunt concreet om een aantal stukken vragen. Een rechtmatigheidsschema per trainingsset, met de herkomst en categorieën van de gegevens, de wijze van verkrijging en de gebruikte grondslag. Informatie over het trainingsprotocol, waaronder de maatregelen die reproductie van persoonsgegevens moeten voorkomen. Een Legitimate Interest Assessment die de rechtmatigheid van de training onderbouwt. En de bevindingen uit een eventuele DPIA, plus de manier waarop het model is getest. Waar de AI-verordening voor modellen voor algemene doeleinden geldt, hoort daarbij dat je nagaat of de ontwikkelaar de bijbehorende Code of Practice volgt.
Die afspraken horen niet in een mail, maar in je inkoop- of gebruiksvoorwaarden, zodat je de rechtmatigheid van het getrainde model contractueel vastlegt. De gemeente Amsterdam liet eerder zien hoe zo'n vertaalslag eruit kan zien met haar AI-inkoopvoorwaarden die ook commerciële kantoren kunnen gebruiken. De AP verwijst zelf naar het Amsterdamse overzicht van modelinformatie als voorbeeld van hoe je de herkomst en kwaliteit van modellen inzichtelijk maakt.
De grenzen van deze handreiking
De handreiking is nadrukkelijk een eerste en voorlopige uitleg. Ze is voor de AP leidend zolang de Europese toezichthouders geen eigen richtsnoeren hebben vastgesteld, en ze houdt rekening met een Europees voorstel van 19 november 2025 om de AVG te vereenvoudigen, dat het trainen van AI-modellen op grond van gerechtvaardigd belang uitdrukkelijk mogelijk wil maken. De inhoud kan dus nog schuiven. De handreiking gaat bovendien alleen over de modellaag en de inzet van het model, niet over de gegevens die je zelf in een tool invoert; daarvoor bracht de AP een aparte checklist uit. En ze beperkt zich tot closed-source modellen.
De rechtmatigheid van de training en het beroepsgeheim blijven daarbij twee losse vragen. Dat een model netjes is opgebouwd, zegt niets over de vraag of je er vertrouwelijke stukken in mag zetten. Een algemeen taalmodel is geschikt voor een juridische onderzoeksvraag of een modeltekst zonder cliëntgegevens. Voor stukken die onder het beroepsgeheim vallen blijft de eis van een afgeschermde omgeving met een verwerkersovereenkomst en zonder training op jouw invoer overeind, zoals we bespraken toen je eigen AI op je werk botste met het beroepsgeheim.