Welke AI-tools zijn AVG-compliant voor gebruik in Nederland?

Femke de Vries

AI-Automatisering Consultant voor het MKB

De AI-trein dendert door en iedereen wil mee. Of je nu een marketeer bent die snellere teksten wil of een ondernemer die klantenservice wil automatiseren: kunstmatige intelligentie is overal.

Maar terwijl we druk zijn met nieuwe tools testen, ligt er in Nederland een strenge bewaker op de loer: de AVG (Algemene Verordening Gegevensbescherming). Je kunt niet zomaar lukraak persoonsgegevens in een AI-tool gooien.

Maar welke tools kun je nu écht veilig gebruiken? In dit artikel lees je een scherp overzicht van AI-tools die, mits je slim omgaat met privacy, compliant zijn met de Nederlandse wet.

Waarom de AVG en AI niet altijd vriendjes zijn

Voordat we in de tools duiken, even de basis. De AVG is er om de privacy van mensen te beschermen.

AI-systemen draaien vaak op enorme hoeveelheden data. Dat botst weleens. De Autoriteit Persoonsgegevens (AP) in Nederland kijkt kritisch naar hoe AI omgaat met persoonsgegevens. Het is een misverstand dat een tool "AVG-proof" is omdat de leverancier dat zegt.

Het draait om hoe jij de tool gebruikt. Verwerk je persoonsgegevens? Dan ben jij verantwoordelijk.

Of je nu een eigen model bouwt of een kant-en-klare oplossing zoals ChatGPT gebruikt.

De kern van de AVG blijft: zorg voor een rechtmatige grondslag, beperk de data en beveilig alles goed.

De vijf principes voor AI en privacy

Voordat je een tool kiest, moet je deze principes in je achterhoofd houden. Ze zijn de leidraad voor elke AI-toepassing onder de AVG:

• Rechtmatigheid: Je mag persoonsgegevens alleen verwerken als dit mag volgens de wet (bijvoorbeeld toestemming of een contract).
• Doelbinding: Gebruik data alleen voor het doel waarvoor je ze hebt gekregen. Stop ze niet zomaar in een AI-model voor een ander doel.
• Minimalisatie: Verzamel alleen de data die echt nodig is. Vraag niet om een heel adres als je alleen een naam nodig hebt.
• Integriteit en vertrouwelijkheid: Zorg dat data niet op straat komt te liggen. Beveilig je accounts en versleutel gegevens.
• Verantwoordelijkheid: Jij bent de baas over de data. Jij moet kunnen aantonen dat je je aan de regels houdt.

AI-tools die (mits goed ingericht) compliant zijn

Er zijn legio tools op de markt. Hieronder licht ik er een aantal uit die, met de juiste instellingen, veilig te gebruiken zijn in Nederland.

1. OpenAI (via API)

Let op: compliance hangt af van je contract en configuratie. ChatGPT is een publiekslieveling, maar de webversie is berucht omdat je invoer mogelijk wordt gebruikt om het model verder te trainen. Dat is riskant voor privacygevoelige data.

De oplossing? De API van OpenAI.

Via de API kun je GPT-modellen (zoals GPT-4) integreren in je eigen omgeving. Het grote voordeel is dat OpenAI contracten aanbiedt waarin staat dat je data niet wordt gebruikt voor het trainen van hun modellen (opt-out van "model training"). Je betaalt per token (stukje tekst), variërend vanaf ongeveer €0,0002 per 1000 tokens voor simpele modellen tot meer voor geavanceerde versies. Belangrijk is dat je een verwerkersovereenkomst (DPA) sluit met OpenAI en data anonimiseert voordat je deze verstuurt.

2. Google Cloud AI Platform

Google is een gigant met veel aandacht voor compliance. Hun Cloud AI Platform biedt diensten voor machine learning, taalverwerking en beeldherkenning.

Google staat bekend om zijn uitgebreide certificeringen (zoals ISO 27001 en SOC 2/3). Voor de EU is het belangrijk dat Google Data Processing Agreement (DPA) aanbiedt die voldoet aan de AVG-richtlijnen voor ondernemers. Ze bieden ook "Privacy-enhancing technologies" (PETs) zoals federated learning, waarbij data lokaal blijft en alleen de leerresultaten worden gedeeld.

De kosten zijn pay-as-you-go. Een basisopslag kost bijvoorbeeld €0,023 per GB per maand.

3. Microsoft Azure AI

Voor bedrijven die al in het Google-ecosysteem zitten, is dit vaak een veilige keuze. Net als Google biedt Microsoft Azure een robuust platform voor AI-toepassingen. Denk aan Azure Cognitive Services voor tekst- en beeldanalyse.

Microsoft staat sterk op het gebied van data-opslag in Europa. Veel Europese bedrijven kiezen voor Azure omdat ze duidelijke garanties geven over waar data staat (bijvoorbeeld in datacenters in West-Europa).

Dit vermindert het risico op onbedoelde datatransfers naar derde landen. De prijzen zijn variabel.

4. Hugging Face

Een dienst als Text Analytics kost ongeveer €0,000001 per 1000 tekens. Ook hier is het cruciaal om een verwerkersovereenkomst te tekenen en de toegangsrechten strikt te beheren. Hugging Face is het Walhalla voor developers die met open-source modellen willen werken.

Je hebt hier ontzettend veel controle. Waarom is dit compliant?

Omdat je de modellen vaak lokaal of in je eigen private cloud kunt draaien. Je stuurt je data niet naar een externe partij (tenzij je hun betaalde inference-endpoints gebruikt). Dit geeft maximale controle over de vertrouwelijkheid. De bibliotheek zelf is gratis.

5. Synthesia

De kosten zitten in de rekenkracht (compute) die je nodig hebt om de modellen te draaien, bijvoorbeeld via cloud providers of je eigen servers. Dit vraagt wel technische kennis.

Synthesia is een populaire tool voor het maken van video’s met AI-avatars. Handig voor bedrijfstrainingen of marketing zonder camera. Hoe zit het met privacy?

Synthesia stelt duidelijk dat ze geen persoonsgegevens verwerken zonder toestemming. Je kunt video’s maken met standaard-avatars, of je kunt een eigen avatar maken.

Bij een eigen avatar moet je toestemming hebben van de persoon (of je eigen toestemming vastleggen). Synthesia biedt opties om gevoelige data te filteren. De prijzen beginnen rond de €30 per maand voor een basisabonnement. Let op: deel geen vertrouwelijke info in de prompts, tenzij je een zakelijk contract hebt waarbij data niet wordt opgeslagen.

Praktische tips voor compliant AI-gebruik

Welke tool je ook kiest, de verantwoordelijkheid ligt bij jou. Hier zijn concrete tips om je AI-gebruik AVG-proof te maken:

• Anonimiseer data: Voordat je persoonsgegevens in een AI-tool stopt, vervang namen en nummers door dummy-data. Dit heet pseudonimisatie.
• Sluit een verwerkersovereenkomst: Vraag altijd een DPA (Data Processing Agreement) aan bij de tool-leverancier. Dit is wettelijk verplicht als je persoonsgegevens verwerkt.
• Voer een DPIA uit: Een Data Protection Impact Assessment (DPIA) is een risicoanalyse. Doe dit voordat je een nieuwe AI-tool op grote schaal inzet, vooral als het om gevoelige data gaat.
• Transparantie: Wees eerlijk tegen je klanten. Geef aan dat je AI gebruikt en wat voor data je verwerkt. Dit bouwt vertrouwen op.
• Log je activiteiten: Wie heeft toegang tot de AI-tool? Wie voert prompts in? Logging helpt bij het controleren van datalekken.

Conclusie: Kies met je hoofd

Er bestaat geen tool die "automatisch" AVG-compliant is; het is een samenspel tussen techniek en beleid.

Tools zoals Google Cloud AI, Microsoft Azure en de API-versies van OpenAI bieden de beste garanties omdat ze contractuele waarborgen bieden en data-opslag in Europa faciliteren. Voor Nederlandse bedrijven is het advies: begin klein, kies tools met een duidelijk Europees vestigingsadres en zorg altijd voor een sluitende verwerkersovereenkomst. Blijf kritisch en laat je niet verblinden door de gemakken van AI. Alleen zo profiteer je optimaal zonder in de gevarenzone te belanden.