AI-modellen en privacy: Keuzes voor AVG-compliance

De integratie van grote taalmodellen (LLM's) in bedrijfsprocessen belooft aanzienlijke efficiëntiewinst, maar stelt organisaties tegelijkertijd voor complexe juridische en technische uitdagingen. Zodra een AI-model wordt gevoed met prompts die persoonsgegevens bevatten — zoals klantnamen, personeelsdossiers, medische gegevens of financiële historie — treedt de Algemene Verordening Gegevensbescherming (AVG) onverkort in werking. Veel organisaties veronderstellen onterecht dat een simpele geheimhoudingsverklaring of een standaard API-contract volstaat om aan de Europese privacywetgeving te voldoen.

In de praktijk vereist AVG-compliance een grondige evaluatie van de gehele gegevensverwerkingsketen: van de fysieke locatie van de rekeninfrastructuur tot het beleid rondom modeltraining, retentieperiodes en logbestanden. Voor een gestructureerde inventarisatie van alle AVG-verplichtingen binnen uw organisatie kunt u de praktische AVG-privacy-checklist voor Nederlandse organisaties doorlopen voordat u modellen selecteert. In dit artikel analyseren we de belangrijkste privacy-aspecten bij de keuze voor AI-modellen, vergelijken we gesloten cloudmodellen met lokaal gehoste open-weight alternatieven, en bieden we een concreet toetsingskader voor privacy-officers en softwarearchitecten.

1. De AVG-pijlers bij het gebruik van Large Language Models

Wanneer een organisatie persoonsgegevens verwerkt via een AI-model, moet deze verwerking voldoen culinary aan de kernbeginselen van artikel 5 van de AVG. Het belangrijkste juridische knelpunt bij commerciële LLM's is de rechtmatigheid en het doel van de verwerking. Persoonsgegevens die aan een model worden meegegeven via een prompt mogen uitsluitend worden gebruikt voor het specifieke doel waarvoor ze zijn verzameld. Commerciële AI-providers die inputdata hergebruiken om hun toekomstige modellen te trainen of te verfijnen, handelen in strijd met het beginsel van doelbinding, tenzij de betrokkenen daar expliciete en geïnformeerde toestemming voor hebben gegeven.

Een tweede cruciaal beginsel is minimale gegevensverwerking. LLM's hebben van nature de neiging om rijke context op te slokken. Het meesturen van volledige documenten of ongeschoonde e-mailketens leidt er vaak toe dat er meer persoonsgegevens naar het model worden gestuurd dan strikt noodzakelijk is voor het behalen van het gewenste resultaat. Organisaties moeten daarom technische maatregelen treffen om prompts vooraf te filteren.

Daarnaast speelt het transparantiebeginsel een grote rol. Betrokkenen hebben het recht om te weten dat hun persoonsgegevens worden verwerkt door een geautomatiseerd systeem. Wanneer AI-modellen besluiten nemen of adviezen genereren die invloed hebben op individuen, zoals bij cv-screening of kredietbeoordeling, gelden bovendien de strenge regels van artikel 22 AVG inzake geautomatiseerde individuele besluitvorming.

2. Open-source versus Closed-source: Privacy-architectuur vergeleken

De fundamentele keuze bij het bouwen van AI-toepassingen ligt tussen gesloten API-gebaseerde modellen (zoals OpenAI GPT-4o, Anthropic Claude of Google Gemini) en open-weight modellen (zoals Llama 3, Mistral of Qwen) die op eigen of dedicated infrastructuur draaien. Beide benaderingen kennen een uitgesproken privacy-profiel en vereisen een andere beheersaanpak.

Gesloten cloudmodellen bieden weliswaar geavanceerde prestaties, maar introduceren een afhankelijkheid van externe verwerkers. Gegevens verlaten de perimeter van uw organisatie en worden verwerkt op servers van een commerciële partij. Hoewel grote providers enterprise-contracten aanbieden waarin wordt gegarandeerd dat prompts niet worden gebruikt voor modeltraining, blijft de data doorgestuurd worden over het internet. Als u wilt weten hoe licentievoorwaarden juridisch samenhangen met intellectueel eigendom en commerciële inzet, raadpleeg dan onze gids over commerciële gebruiksrechten van open modellen voor een gedetailleerd overzicht van licentievormen.

Bij open-weight modellen behoudt de organisatie de volledige controle over de gegevensstroom. Het model draait binnen de eigen virtuele private cloud (VPC) of op fysieke servers op locatie. Er vindt geen datatransport plaats naar externe partijen, wat het risico op ongeautoriseerde toegang of datalekken bij derden tot nul reduceert. De keerzijde hiervan is dat de organisatie zelf verantwoordelijk is voor de fysieke en logische beveiliging van de modelservers, inclusief toegangsbeheer en encryptie.

3. Data Processing Agreements (DPA) en Zero Data Retention (ZDR)

Voor organisaties die gebruikmaken van externe AI-providers is het afsluiten van een AVG-compliant Verwerkersovereenkomst (Data Processing Agreement of DPA) wettelijk verplicht. Een standaard consumentenaccount of algemene voorwaarden van een AI-dienst volstaan nimmer voor zakelijke verwerkingen van persoonsgegevens. In de DPA moet expliciet worden vastgelegd dat de provider optreedt als verwerker en de data uitsluitend verwerkt volgens schriftelijke instructies van de verwerkingsverantwoordelijke.

Een cruciaal onderdeel van de DPA bij AI-diensten is het retentiebeleid. Standaard bewaren veel API-aanbieders prompts en gegenereerde antwoorden gedurende 30 dagen voor doeleinden van misbruikdetectie en moderatie. Om te beoordelen of de documentatie van een leverancier voldoende transparantie biedt over de trainingsdata, kunt u de richtlijnen raadplegen voor het lezen van modelkaarten en modellicenties voor productie-omgevingen.

Voor gevoelige toepassingen moeten organisaties bedingen dat er een beleid van Zero Data Retention (ZDR) geldt. Onder ZDR worden de prompts en outputs uitsluitend in het werkgeheugen (RAM) van de server verwerkt en direct na het genereren van de responstoken gewist. Er vindt geen opslag op schijf plaats, noch voor moderatie, noch voor caching. Zonder ZDR-overeenkomst blijft het risico bestaan dat persoonsgegevens gedurende de retentieperiode betrokken raken bij een beveiligingsincident aan de zijde van de provider.

4. Internationale doorgifte en het Data Privacy Framework

Veel vooraanstaande AI-providers zijn gevestigd in de Verenigde Staten. Het versturen van persoonsgegevens naar Amerikaanse servers kwalificeert als een internationale doorgifte van persoonsgegevens naar een derde land buiten de Europese Economische Ruimte (EER). Onder de AVG is een dergelijke doorgifte slechts toegestaan indien er sprake is van een passend beschermingsniveau.

Sinds de aanwijzing van het EU-U.S. Data Privacy Framework (DPF) kunnen EU-organisaties persoonsgegevens doorgiften aan gecertificeerde Amerikaanse organisaties zonder dat daarvoor aanvullende waarborgen vereist zijn. Veel grote techbedrijven zijn onder het DPF gecertificeerd. Organisaties dienen echter zorgvuldig te verifiëren of de specifieke AI-entiteit van de provider op de DPF-lijst staat geregistreerd en of de certificering betrekking heeft op commerciële klantgegevens.

Als een provider niet onder het DPF valt, moeten Standard Contractual Clauses (SCC's) worden overeengekomen, gecombineerd met een Transfer Impact Assessment (TIA). In zo'n TIA moet worden beoordeeld of de wetgeving in het ontvangende land (zoals de Amerikaanse Foreign Intelligence Surveillance Act, FISA Section 702) afbreuk doet aan het beschermingsniveau. Voor streng gereguleerde sectoren, zoals de zorg of de juridische sector, kan het risico van Amerikaanse overheidstoegang tot cloudgegevens reden zijn om doorgifte naar de VS volledig uit te sluiten en te kiezen voor Europese cloudproviders of lokale hosting.

5. On-device en On-premise hosting voor maximale gegevensbeheersing

Wanneer de verwerking van persoonsgegevens valt onder bijzondere categorieën (zoals medische gegevens, strafrechtelijke gegevens of biometrische data), of wanneer de regelgeving van een specifieke sector externe cloudverwerking verbiedt, biedt de inzet van lokale AI-modellen uitkomst. Door een kwantiseerbaar open-weight model uit te voeren op eigen hardware binnen de eigen kantoorinfrastructuur of een lokaal datacenter, blijft de data binnen de juridische en fysieke grens van de organisatie.

Voor situaties waarin gegevens de lokale hardware onder geen beding mogen verlaten, biedt onze uitgebreide gids over kleine modellen op apparaten en on-device AI een praktisch overzicht van de technische mogelijkheden. On-device modellen draaien direct op de werkplek van de gebruiker (bijvoorbeeld via Apple Silicon NPU's of lokale GPU-geheugens) en verwerken data zonder enige netwerkverbinding.

Het voornaamste zwakke punt van deze aanpak is de afweging tussen modelcapaciteit en hardwarevereisten. Kleinere modellen (zoals 7B of 14B parameter-varianten) kunnen uitstekend lokaal draaien, maar behalen op complexe redeneertaken niet het niveau van een gedistribueerd giga-model in de cloud. De financiële en operationele consequenties van deze keuzes worden uitgebreid doorgerekend in de analyse over de totale eigendomskosten van open versus closed AI-modellen waar privacy-investeringen worden afgewogen tegen infrastructuurkosten.

6. Anonimisering en Pseudonimisering in de Input-pijplijn

Een effectieve manier om het AVG-risico bij de inzet van AI-modellen te verlagen, is het toepassen van privacy-enhancing technologies (PET's) in de applicatielaag vóórdat een prompt naar het model wordt gestuurd. Door een middleware-component te plaatsen die automatisch persoonsgegevens herkent en vervangt, wordt de hoeveelheid verwerkte privacygevoelige data drastisch verminderd.

Bij pseudonimisering worden identificeerbare elementen (zoals namen, burgerservicenummers en telefoonnummers) vervangen door unieke tokens (bijvoorbeeld `[CLIENT_A]`, `[BSN_1]`). Het AI-model voert de gewenste analyse of tekstgeneratie uit op de gepseudonimiseerde tekst. Vervolgens vervangt een lokale post-processing stap de tokens weer door de originele waarden voordat het resultaat aan de gebruiker wordt getoond. Het AI-model en de eventuele externe provider zien zodoende nooit de daadwerkelijke identiteit van de betrokkenen.

Belangrijk juridisch onderscheid: Gepseudonimiseerde gegevens blijven onder de AVG kwalificeren als persoonsgegevens zolang de sleutel tot herleiding bestaat. Pas wanneer data dusdanig is geanonimiseerd dat herleiding voor niemand meer redelijkerwijs mogelijk is, valt de verwerking buiten het toepassingsbereik van de AVG.

Het bouwen van een robuuste anonimiseringspijplijn kent echter technische uitdagingen. Contextuele herleidbaarheid is een veelvoorkomend probleem: zelfs als directe identificatoren zoals namen worden verwijderd, kan de combinatie van specifieke functietitels, locaties en gebeurtenissen in een tekst alsnog leiden tot de unieke herleiding van een persoon. Regelgebaseerde filters (regex) schieten hierin vaak tekort, waardoor geavanceerde Named Entity Recognition (NER) modellen noodzakelijk zijn.

7. Logging, Auditing en de AVG op API-niveau

Artikel 32 van de AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen om een op het risico afgestemd beveiligingsniveau te waarborgen. Bij AI-toepassingen omvat dit het bijhouden van logbestanden om te kunnen verifiëren welke gebruikers toegang hebben gehad tot welke gegevens en welke prompts naar het model zijn gestuurd.

Hier ontstaat een duidelijke paradox: om aan de verantwoordingsplicht (accountability) te voldoen wil een organisatie gedetailleerde audit-logs bijhouden van alle AI-interacties, maar wanneer prompts persoonsgegevens bevatten, leidt het opslaan van deze logs tot éxtra opslag van persoonsgegevens met bijbehorende retentierisico's. Bewaartermijnen van audit-logs moeten daarom strikt worden afgebakend en voorzien van automatische opruimroutines.

Op technisch niveau leest u in de handleiding over audit-logging en compliance voor LLM-toepassingen hoe u prompts en API-responses op een AVG-compliant manier versleuteld opslaat. Het is aan te bevelen om in audit-logs uitsluitend de gepseudonimiseerde variant van de prompt op te slaan en cryptografische hashes te gebruiken voor integriteitscontrole.

8. Rechten van Betrokkenen: Het Recht op Wiswisbaarheid en LLM's

Artikel 17 van de AVG verleent betrokkenen het recht op verwijdering van hun persoonsgegevens (het 'recht op vergetelheid'). In de context van traditionele databases is het wissen van een record een overzichtelijke en technisch simpele operatie. Bij Large Language Models ligt dit fundamenteel anders zodra persoonsgegevens zijn opgenomen in de gewichten van het model tijdens het trainingsproces.

Het verwijderen van specifieke feiten of persoonsgegevens uit een reeds getraind neuraal netwerk — ook wel bekend als *machine unlearning* — is op dit moment een onopgelost wetenschappelijk probleem. Er is geen betrouwbare methode om een specifiek gegeven uit miljarden parameters te wissen zonder het model opnieuw te moeten trainen, wat miljoenen euro's en weken aan rekenkracht kost. Dit onderstreept waarom organisaties uitsluitend modellen moeten inzetten die niet getraind zijn op onrechtmatig verkregen persoonsgegevens en waarom eigen klantdata nooit als trainingsmateriaal aan externe providers mag worden verstrekt.

Voor de runtime-interactie (het ophalen van informatie via RAG of vector-databases) geldt dat het recht op wiswisbaarheid wél eenvoudig toepasbaar is. Persoonsgegevens die zijn opgeslagen in embeddings of document-stores moeten direct gewist kunnen worden. Zodra het bron-document uit de vector-database wordt verwijderd, kan het model er tijdens de contextuele generatie geen toegang meer toe krijgen.

9. DPIA en Risicobeoordeling voor AI-implementaties

Op grond van artikel 35 AVG is een Gegevensbeschermingseffectbeoordeling (Data Protection Impact Assessment, DPIA) verplicht wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Het gebruik van vernieuwende technologieën zoals grootschalige generative AI-modellen valt vrijwel altijd onder deze verplichting, zeker wanneer het gaat om grootschalige verwerkingen of geautomatiseerde besluitvorming.

Indien de gegevensverwerking een hoog risico inhoudt voor de rechten van betrokkenen, helpt het stappenplan voor een AI-risicoanalyse en DPIA-uitvoering bij het formeel vastleggen van de privacy-impact. Een volwaardige DPIA voor een AI-project moet ten minste de volgende onderdelen bevatten:

• Systematische beschrijving: Een gedetailleerde kaart van de datastromen, inclusief de voorverwerking, de API-transfers, de opslaglocaties van vectoren en de logbestanden.
• Noodzakelijkheids- en evenredigheidstoets: Beoordeling of het gekozen AI-model noodzakelijk is voor het beoogde doel, of dat een minder privacy-intrusieve oplossing (zoals een klassiek regelgebaseerd systeem) hetzelfde resultaat levert.
• Risico-inventarisatie: Analyse van specifieke AI-risico's, zoals hallucinaties die leiden tot verkeerde besluiten over personen, datalekken via prompt injection, en onbedoelde herleidbaarheid in modeloutputs.
• Mitigerende Maatregelen: Concrete technische en organisatorische waarborgen, zoals ZDR-overeenkomsten, versleuteling *at rest* en *in transit*, rolgebaseerde toegang (RBAC) en menselijke tussenkomst (human-in-the-loop).

10. Vergelijkend Overzicht: Privacy-eigenschappen per Deployment-model

Om organisaties te ondersteunen bij het maken van een weloverwogen architectuurkeuze, vat onderstaande tabel de privacy-kenmerken van de vier belangrijkste deployment-modellen voor AI samen:

Conclusie en Aanbevelingen

Het bereiken van AVG-compliance bij het gebruik van AI-modellen is geen eenmalige vinkje-oefening, maar een continu proces van risicobeheersing en technische waarborgen. Organisaties moeten afstappen van het idee dat cloudgebaseerde AI-modellen zonder meer veilig ingezet kunnen worden voor alle bedrijfsinformatie. Het scheiden van gegevensstromen op basis van gevoeligheid is hierbij de meest effectieve strategie.

Voor alledaagse, niet-gevoelige taken kunnen enterprise cloud-API's met strikte DPA's en Zero Data Retention-overeenkomsten een prima oplossing bieden. Zodra er echter sprake is van vertrouwelijke klantdata, medische dossiers of financiële gegevens, verschuift de voorkeur naar geanonimiseerde inputpijplijnen of het lokaal hosten van open-weight modellen op eigen infrastructuur. Door privacy vanaf de eerste conceptfase (Privacy by Design) te integreren in de AI-architectuur, kunnen organisaties profiteren van de kracht van moderne LLM's zonder het vertrouwen van hun gebruikers of de wet te schaden.