De databank voor en door Innovatieve meesters

Als u in uw organisatie AI gebruikt is de kans groot dat u te maken heeft met de verwerking van persoonsgegevens. Naast de AI-act, die het gebruik van AI-systemen en AI-modellen reguleert, moet u zich dan houden aan de Algemene Verordening Gegevensbescherming (‘AVG’). Voor ontwikkelaars van AI geldt dat eveneens zodra zij hun AI-model trainen met persoonsgegevens. Onder de huidige AVG is het nog onduidelijk of en wanneer persoonsgegevens gebruikt mogen worden voor het trainen van AI-modellen. De Europese Commissie heeft daarom recent een wetsvoorstel gepresenteerd dat meer duidelijkheid moet bieden: de zogeheten Digital Omnibus Package. Hoewel dit voorstel nog geen geldend recht is, geeft het een duidelijk beeld van de richting waarin de Europese wetgever denkt. Lees hier wat dit voor u betekent.

Het gebruik van AI-chatbots zoals ChatGPT heeft al geleid tot tientallen datalekken, dit maakte de Autoriteit Persoonsgegevens (‘AP’) onlangs bekend in diverse media (het FD en RTL Z). Aanleiding hiervoor was een datalek bij de gemeente Eindhoven waarbij medewerkers cv’s, jeugdzorgdocumenten en interne verslagen hadden geüpload in AI-tools. Met daarin gevoelige persoonsgegevens. Op 18 december 2025 meldde de gemeente Eindhoven dat er een datalek had plaatsgevonden door het gebruik van een aantal medewerkers van openbare AI-chatbots.

In deze blog bespreken wij o.m. een tweetal recente uitspraken in Duitsland en het Verenigd Koninkrijk over de vraag of men met het trainen van generatieve AI-modellen door middel van zogeheten ‘memorisatie’ auteursrechtinbreuk pleegt. 

Bij de uitleg van overeenkomsten speelt naast de tekst ook de verwachting van partijen doorgaans een belangrijke rol. In een overeenkomst wordt soms een ‘fatale’ termijn opgenomen waar partijen zich aan moeten houden, bijvoorbeeld: “er wordt binnen 14 dagen geleverd”. Wordt een fatale termijn niet gehaald, dan kan de andere partij juridische stappen ondernemen. Uit sommige overeenkomsten volgt ook duidelijk dat partijen geen fatale termijn hebben willen afspreken. Maar wat als een leveringsverwachting wordt afgesproken, bijvoorbeeld; 'wij verwachten binnen x dagen te kunnen leveren'? Wat mag men dan verwachten van die ‘verwachting’? 

Bent u een organisatie met een publieke taak? Houdt u zich bezig met besluitvorming die burgers direct raakt? En maakt u bij die besluitvorming gebruik van algoritmen (vaak AI-systemen)? Dan kan dat naar alle waarschijnlijkheid niet zomaar. Bij het toepassen van algoritmes bent u wettelijk verplicht er voor te zorgen dat u de grondrechten van burgers voldoende beschermt. De toeslagenaffaire is hier een belangrijke aanleiding voor geweest: het Nederlandse bestuursrecht kijkt steeds kritischer naar de manier waarop de overheid algoritmes inzet. Daar is het volgende, recente vonnis van de rechtbank Den Haag een voorbeeld van. In deze uitspraak oordeelde de rechter dat het Ministerie van Buitenlandse Zaken (BZ) niet adequaat omging met een algoritme om visumaanvragen te behandelen. Wat betekent deze uitspraak voor u, en waar moet u op letten als u besluit om algoritmes in te zetten?

In de praktijk verlopen IT-projecten vaak anders dan partijen van tevoren dachten. Vertragingen, misverstanden en hogere kosten komen regelmatig voor, waarbij partijen elkaar dikwijls verwijten dat de overeengekomen verplichtingen niet zijn nagekomen. In zulke gevallen komt er veel betekenis toe aan de inhoud van de overeenkomst. Zo ook in de hierna te behandelen uitspraak. Deze uitspraak onderstreept dat zorgvuldig geformuleerde afspraken essentieel zijn. Wij leggen u uit wat u ervan kunt leren.   

Sinds 2 februari 2025 zijn organisaties die gebruikmaken van artificiële intelligentie (AI) naar Europees recht verplicht om de zogeheten interne ‘AI-geletterdheid’ te bevorderen. Maar wat betekent het om als organisatie ‘AI-geletterd’ te zijn? En welke stappen kan een organisatie zetten om ervoor te zorgen dat haar medewerkers AI op verantwoorde wijze inzetten? Hoewel de precieze omvang van ‘AI-geletterdheid’ op deze punten nog nader dient te worden uitgewerkt, heeft de Autoriteit Persoonsgegevens (de AP) geprobeerd om enige houvast te bieden aan organisaties door middel van een handreiking. Met deze handreiking geeft zij de basis voor een meerjarig actieplan welke organisaties kunnen gebruiken om de AI-geletterdheid te bevorderen.

Een recente uitspraak van het Gerechtshof 's-Hertogenbosch onderstreept nogmaals hoe belangrijk het is dat IT-leveranciers hun zorgplicht serieus nemen. En dat ze niet blind varen op de instructies van de afnemer. Goed opdrachtnemerschap – zoals de wet dat vereist – betekent méér dan uitvoeren wat de klant vraagt: het vereist meedenken, waarschuwen en het actief toetsen van de haalbaarheid van klantwensen.