Wat de Autoriteit Persoonsgegevens heeft gepubliceerd
De Autoriteit Persoonsgegevens (AP) publiceerde op 13 juli 2026 twee nieuwe documenten over generatieve kunstmatige intelligentie: een AVG-handreiking voor ontwikkelaars van generatieve AI-modellen en een praktisch hulpmiddel voor organisaties die zulke modellen willen aanschaffen, implementeren of gebruiken.
De handreiking geeft een eerste juridische interpretatie van de Algemene verordening gegevensbescherming (AVG) voor generatieve AI. Het document beschrijft onder welke voorwaarden persoonsgegevens mogen worden verwerkt bij de ontwikkeling van AI-modellen, welke grondslagen daarvoor kunnen gelden en welke waarborgen nodig zijn om de rechten van betrokkenen te beschermen. Ook komen het beheren, opschonen, verrijken en bewaren van data aan bod, net als indirecte dataverzameling en het gebruik van persoonsgegevens bij het trainen van modellen.
Het bijbehorende hulpmiddel is een checklist voor privacyprofessionals en projectleiders om stap voor stap te beoordelen of hun organisatie generatieve AI wil, kan en mag inzetten. De AP adviseert daarbij eerst te onderzoeken of een toepassing ook zonder verwerking van persoonsgegevens kan werken.
Katja Mur, bestuurslid van de AP, plaatst daar een duidelijke boodschap bij:
'Generatieve AI biedt volop mogelijkheden om de productiviteit te verhogen en innovatie te bespoedigen. Bijvoorbeeld in de gezondheidszorg, waar nieuwe medicijnen mogelijk sneller kunnen worden ontwikkeld. Maar dezelfde versnelling geldt ook voor de omvang en ernst van de risico's. Innovatie is welkom, maar wel voorzien van stevige vangrails.'
De publicaties bouwen voort op de eerder gepresenteerde visie van de AP op generatieve AI en kwamen tot stand na consultatie van bedrijven, wetenschappers, maatschappelijke organisaties en andere deskundigen, aldus de Autoriteit Persoonsgegevens.
Wat dit betekent voor marketingbureaus en adverteerders
Voor marketingbureaus is dit relevant omdat generatieve AI inmiddels op grote schaal wordt ingezet: voor het schrijven van advertentieteksten, het genereren van beeldmateriaal, het personaliseren van e-mailcampagnes en het analyseren van klantdata. Zodra daarbij persoonsgegevens worden verwerkt — namen, e-mailadressen, koopgedrag, browsegeschiedenis — is de AVG onverkort van toepassing, ook wanneer de AI-tool wordt afgenomen bij een externe partij zoals OpenAI, Google of Anthropic.
Bureaus die generatieve AI naast klantdata gebruiken, opereren daarmee op het snijvlak van twee Europese kaders: de AVG en de AI Act. Die laatste richt zich op de technologie zelf en de risico's die daarvan uitgaan, terwijl de AVG van toepassing is zodra persoonsgegevens worden verzameld, opgeslagen, bewerkt of verwijderd. Voor een marketingbureau betekent dat bijvoorbeeld dat het niet voldoende is om te weten dát een AI-tool 'AVG-proof' zou zijn; ook het gebruik binnen het eigen bureau — welke data wordt geüpload, wie er toegang toe heeft, hoe lang gegevens bewaard blijven — moet aantoonbaar in lijn zijn met de wet.
De AP benadrukt in de handreiking dat organisaties eerst moeten nagaan of een AI-toepassing ook zonder persoonsgegevens kan functioneren. Voor een bureau dat generatieve AI gebruikt om conceptteksten te schrijven zonder klantgegevens in de prompt, is het risico beperkter dan bij toepassingen die profielen opbouwen op basis van koopgedrag of surfgedrag om advertenties te personaliseren.
De sector had al eigen richtlijnen: Marketinggids Responsible AI
De AVG-richtlijnen van de AP komen niet als verrassing voor de Nederlandse marketingsector. Op 6 februari 2026 presenteerden de drie brancheverenigingen VIA Nederland, DDMA en bvA gezamenlijk de Marketinggids Responsible AI, een 'levend' document met concrete richtlijnen voor de verantwoorde inzet van kunstmatige intelligentie in marketingactiviteiten.
De gids bevat negen principes, verdeeld over drie pijlers: wetgeving en richtlijnen, menselijke tussenkomst en organisatiecultuur, en ethische overwegingen. Doel is marketeers een praktisch houvast te geven bij het vinden van een balans tussen de mogelijkheden van generatieve AI-tools zoals ChatGPT, Gemini en Midjourney enerzijds, en juridische en ethische verantwoordelijkheid anderzijds, zo blijkt uit de toelichting van DDMA.
Allisha Hosli, legal counsel bij DDMA, verwoordt de gedachte achter het initiatief zo:
'Als vertegenwoordigers van de sector zien wij het als onze verantwoordelijkheid om vooruit te lopen op technologische en maatschappelijke ontwikkelingen. De gids biedt praktische richtlijnen om ethisch, juridisch en verantwoord gebruik van AI te waarborgen.'
De drie organisaties tekenen daarbij aan dat de gids periodiek wordt bijgewerkt, zodat de principes actueel blijven naarmate zowel de AI-technologie als de wetgeving verandert — een aanpak die aansluit bij de manier waarop de AP haar eigen AVG-handreiking voor generatieve AI omschrijft: gebaseerd op de huidige stand van de techniek, niet in beton gegoten.
Praktische stappen voor bureaus die generatieve AI gebruiken
Voor marketingbureaus en marketingafdelingen die willen vaststellen of hun gebruik van generatieve AI voldoet aan de AVG, bieden de nieuwe AP-documenten en de marketinggids van DDMA, VIA Nederland en bvA samen een aantal concrete aandachtspunten:
- Ga eerst na of het zonder persoonsgegevens kan. De AP adviseert te onderzoeken of een AI-toepassing ook werkt zonder dat klant- of persoonsgegevens in een prompt of trainingsdataset terechtkomen.
- Bepaal een grondslag. Wordt er toch met persoonsgegevens gewerkt, dan is een geldige grondslag nodig — toestemming, gerechtvaardigd belang of contractuele noodzaak — zeker bij intensieve profilering voor gepersonaliseerde advertenties.
- Documenteer het gebruik. Leg vast welke AI-tools worden gebruikt, welke persoonsgegevens daarbij worden verwerkt en met welk doel, inclusief eventuele doorgifte naar AI-aanbieders buiten de EU.
- Beperk en bewaar bewust. Verwerk niet meer gegevens dan nodig voor het doel en bewaar ze niet langer dan noodzakelijk.
- Houd menselijke controle. Laat AI nooit volledig autonoom beslissingen nemen over klanten, bijvoorbeeld bij het bepalen van aanbiedingen.
- Wees transparant. Communiceer richting consumenten wanneer AI wordt ingezet en hoe hun gegevens daarbij worden behandeld.
Voor bureaus die met meerdere opdrachtgevers en dus meerdere datasets werken, is dat laatste punt in de praktijk vaak het lastigst: verschillende klanten stellen andere eisen aan datagebruik, terwijl eenzelfde AI-tool voor meerdere accounts wordt ingezet. De AP-checklist en de marketinggids bieden geen kant-en-klare antwoorden, maar wel een gedeeld beoordelingskader waarmee bureaus die afweging per klant en per toepassing kunnen maken.