Een AI-leverancier noemt zijn data anoniem. Vraag vóór een besluit om een afgebakende uitleg: over welke dataset gaat de claim, voor welke ontvanger en welk gebruik? Een verkoopzin is onvoldoende om uw eigen privacyvraag af te sluiten.
Stand van zaken op 13 september 2026: de EDPB publiceerde in juli nieuwe richtsnoeren over anonimisering en webscraping voor generatieve AI. Beide zijn consultatieversies; reacties zijn mogelijk tot 30 oktober 2026. Presenteer ze dus niet als definitieve nieuwe wetgeving.1
Wat betekent anoniem in deze beoordeling?
De conceptrichtsnoeren kijken naar de relevante ontvanger en diens mogelijkheden om iemand te onderscheiden. Het voorgestelde toetsingskader onderzoekt isolatie van records, koppeling en gevolgtrekkingen. Een ongunstige uitkomst op een criterium vraagt nadere analyse; het is geen automatische eindconclusie.2
Onze praktische vertaling: vraag de leverancier om de beoordeling achter de claim, inclusief de onderzochte gegevensversie en aannames. Laat een technisch deskundige de testopzet toelichten en laat legal beoordelen of de conclusie past bij uw gebruik.
En als de trainingsdata van internet komen?
De afzonderlijke conceptrichtsnoeren gaan over webscraping door private partijen voor generatieve AI. Bij verwerking van persoonsgegevens blijft de AVG relevant. De richtsnoeren behandelen onder meer grondslag, transparantie en beperking van de verzameling.3
Vraag daarom eerst of de leverancier zelf verzamelt of een bestaande dataset gebruikt. Een algemene verwijzing naar openbare bronnen beantwoordt uw concrete inkoopvragen nog niet.
Vijf vragen voor het leveranciersgesprek
Dit is onze werkagenda voor een review, geen officiële EDPB-checklist:
-
Welke data vallen precies onder de claim? Een versiegebonden beschrijving, met expliciete uitzonderingen.
-
Wie heeft de beoordeling uitgevoerd? Naam of functie, datum en uitleg van de aanpak.
-
Wat ontbreekt nog in het dossier? Een lijst open vragen met een aanspreekpunt.
-
Wat verandert er bij een nieuwe model- of datasetversie? Een afgesproken moment om gewijzigde aannames opnieuw te bespreken.
-
Wie neemt bij ons het besluit? Een eigenaar die advies, resterende onzekerheid en vervolgstappen vastlegt.
Voorbeeld: een assistent voor klantvragen
Stel dat een leverancier een klantenserviceassistent aanbiedt. Zijn verklaring over anonieme trainingsdata zegt nog niet welke gegevens uw medewerkers straks in de toepassing invoeren. Vraag twee afzonderlijke beschrijvingen op: de onderbouwing van de trainingsdataclaim en de inrichting van uw eigen gebruik. Zo voorkomt u dat één antwoord twee verschillende dossiers afsluit. Dit is een fictief voorbeeld, geen klantcase.
Maak er een afgebakende adviesvraag van
Verzamel de leveranciersverklaring, beschikbare documentatie en uw beoogde toepassing. Benoem vervolgens het besluit waarvoor u advies nodig heeft. Embed AI kan helpen met een privacy- en contractreview of een afzonderlijke privacybeoordeling.
Voor een breder overzicht: privacy en AVG in de praktijk. Wilt u eerst prioriteiten bepalen, gebruik dan de gratis privacy- en AI-scan.
Zijn deze EDPB-richtsnoeren al definitief?
Nee. De besproken versies staan op de publicatiedatum open voor consultatie. Controleer bij een latere beoordeling of een definitieve versie beschikbaar is.
Vervangt deze checklist een privacybeoordeling?
Nee. De vragen helpen een leveranciersgesprek voorbereiden. De conclusie hangt af van de feitelijke gegevens, partijen en toepassing.
Bronnen
1. EDPB announcement, 8 July 2026: anonymisation and web scraping — European Data Protection Board.
2. Guidelines 02/2026 on Anonymisation, version 1.0 for public consultation — European Data Protection Board.
3. Guidelines 03/2026 on web scraping in the context of generative AI, version 1.0 for public consultation — European Data Protection Board.
