--- title: "AI Act en GDPR: waar de twee kaders elkaar raken | Pitch" description: "Hoe de AI-verordening en de GDPR naast elkaar gelden voor hetzelfde AI-systeem: rollen, effectbeoordelingen, geautomatiseerde besluiten, transparantie,…" url: https://www.pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap --- [pitch](https://www.pitch.law/nl) [Academy](https://www.pitch.law/nl/academy) [Juridische aspecten van artificiële intelligentie](https://www.pitch.law/nl/academy/topics/legal-aspects-of-artificial-intelligence) # AI Act en GDPR: waar de twee kaders elkaar raken Hoe de AI-verordening en de GDPR naast elkaar gelden voor hetzelfde AI-systeem: rollen, effectbeoordelingen, geautomatiseerde besluiten, transparantie, datakwaliteit en bijzondere categorieën. - Door Door Bart Lieben, Advocaat - Gepubliceerd 25 februari 2026 ## Het juridisch kader De AI-verordening (Verordening (EU) 2024/1689) en de GDPR (Verordening (EU) 2016/679) gelden tegelijk. De AI Act zegt dat zelf: ze laat het Unierecht inzake gegevensbescherming onverlet (artikel 2, lid 7). De GDPR gaat aan zodra je persoonsgegevens verwerkt. De AI Act gaat aan zodra je een AI-systeem in de handel brengt of gebruikt, met of zonder persoonsgegevens. De meeste zakelijke AI-systemen vallen onder allebei. ### De rollen vallen niet samen De AI Act spreekt van aanbieders en deployers. De GDPR spreekt van verwerkingsverantwoordelijken en verwerkers. Een [deployer](https://www.pitch.law/nl/academy/provider-vs-deployer-ai-act) is meestal verwerkingsverantwoordelijke voor de persoonsgegevens die hij in een systeem invoert. Een aanbieder kan verwerker, gezamenlijk verwerkingsverantwoordelijke of zelfstandig verwerkingsverantwoordelijke zijn, bijvoorbeeld als hij klantgegevens gebruikt om zijn model te verbeteren. Bepaal je rol onder elk regime apart en zet die in het contract. ### Effectbeoordelingen - Een **DPIA** (GDPR artikel 35) heb je nodig als een verwerking waarschijnlijk een hoog risico voor personen inhoudt. Denk aan systematische beoordeling met aanzienlijke gevolgen, grootschalige verwerking van bijzondere categorieën en systematische monitoring. - Een **beoordeling van de gevolgen voor de grondrechten** (FRIA, AI Act artikel 27) is nodig vóór de eerste ingebruikname van een hoogrisicosysteem door overheidsinstanties, private entiteiten die openbare diensten verlenen en deployers van bepaalde kredietscoring- en verzekeringssystemen. Ze gaat over alle grondrechten, niet alleen privacy. - Gelden allebei, dan kan de FRIA de DPIA aanvullen (artikel 27, lid 4). De beoordelingen overlappen, maar geen van beide vervangt de andere. Deployers van hoogrisicosystemen gebruiken de informatie van de aanbieder voor hun DPIA (artikel 26, lid 9). ### Geautomatiseerde besluiten en transparantie GDPR artikel 22 geeft mensen het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen heeft. Er zijn uitzonderingen, maar die vragen waarborgen, zoals menselijke tussenkomst. In _SCHUFA_ (C-634/21) oordeelde het Hof van Justitie dat een waarschijnlijkheidsscore zelf zo'n besluit kan zijn als een derde er sterk op steunt. De AI Act voegt een recht op uitleg toe over de rol van een hoogrisicosysteem in een besluit (artikel 86), menselijk toezicht (artikel 14) en de informatieplichten van artikelen 13 en 26. GDPR artikelen 13 tot 15 vragen betekenisvolle informatie over de onderliggende logica. ### Datakwaliteit, bias en bijzondere categorieën Aanbieders van hoogrisicosystemen moeten trainings-, validatie- en testdata gebruiken die relevant, representatief en zo foutloos mogelijk zijn (artikel 10). Om bias op te sporen en te corrigeren mogen aanbieders volgens artikel 10, lid 5 onder strikte voorwaarden bijzondere categorieën van persoonsgegevens verwerken: het moet noodzakelijk zijn, er moeten technische waarborgen zijn en de data worden na gebruik verwijderd. Dat is een AI Act-grondslag voor dat doel. De algemene GDPR-beginselen, waaronder minimale gegevensverwerking en doelbinding, blijven gelden. De Europese Gegevensbeschermingsraad behandelde het gebruik van persoonsgegevens in AI-modellen in zijn Advies 28/2024. ### Andere raakpunten - **Registers en verantwoording.** Houd de registers van artikel 30 GDPR en de technische documentatie van de AI Act het best samen bij, zodat ze elkaar niet tegenspreken. - **Melding van inbreuken en incidenten.** Een datalek meld je binnen 72 uur aan de gegevensbeschermingsautoriteit (artikel 33). Ernstige incidenten met hoogrisicosystemen meld je op grond van artikel 73 AI Act. Eén gebeurtenis kan dus beide meldingen uitlokken. - **Toezicht.** De Gegevensbeschermingsautoriteit houdt toezicht op de GDPR. De AI Act werkt met markttoezichtautoriteiten die elke lidstaat aanwijst. Check wie in jouw sector bevoegd is. ## In de praktijk Een Hasseltse verzekeringsmakelaar gebruikt een AI-tool om schadegevallen te triëren en vermoedelijke fraude te signaleren. De makelaar is verwerkingsverantwoordelijke en heeft een rechtsgrond nodig, privacyverklaringen die de profilering vermelden en een DPIA. Een signalering kan tot een geweigerde claim leiden. Daarom eist artikel 22 dat een schadebehandelaar de echte beslissing neemt en van de aanbeveling van de tool kan afwijken. De makelaar documenteert het toezicht onder de AI Act en gebruikt één beoordelingsdossier voor beide kaders, met aparte delen waar de juridische toetsen verschillen. ## Veelgestelde vragen ### Als we de GDPR naleven, leven we dan ook de AI Act na? Nee. De AI Act bevat vereisten die de GDPR niet kent, zoals risicobeheer, documentatie en conformiteitsbeoordeling. ### Voldoet een DPIA aan de grondrechteneffectbeoordeling? Niet zomaar. Ze kan als basis dienen, maar de FRIA moet bredere rechten dekken en de inhoudsvereisten van de AI Act halen. ### Mogen we bijzondere categorieën van gegevens gebruiken om op bias te testen? Onder artikel 10, lid 5 AI Act wel, als aan de voorwaarden is voldaan en andere data niet volstaan. Documenteer de noodzaak en de waarborgen. ### Wie beantwoordt het verzoek van een betrokkene over een AI-besluit? De verwerkingsverantwoordelijke. De aanbieder moet die contractueel ondersteunen. ## Hoe dit samenhangt Bij [naleving van de AI-verordening](https://www.pitch.law/nl/solutions/ai-act-compliance) pakken we beide kaders in één keer aan. [Onze nalevingsregisters](https://www.pitch.law/nl/technologies/privacy-register) houden het GDPR-verwerkingsregister naast de AI Act-registers bij, en in [onze DPIA-tool](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) werk je samen met je jurist aan beoordelingen in één werkdossier. Zie ook [een AI-governancekader opbouwen](https://www.pitch.law/nl/academy/building-an-ai-governance-framework). ## In het kort - Waarom naleving van het ene kader het andere niet vervangt - DPIA en grondrechteneffectbeoordeling vergeleken - Geautomatiseerde besluiten en transparantie - Biastests en bijzondere categorieën van gegevens ## Hier helpen we mee - [Oplossingen](https://www.pitch.law/nl/solutions/ai-act-compliance) ### [AI Act-compliance](https://www.pitch.law/nl/solutions/ai-act-compliance) [We zoeken uit welke van jouw AI-systemen onder de Europese AI-verordening vallen, in welke rol, en wat je wanneer geregeld moet hebben.](https://www.pitch.law/nl/solutions/ai-act-compliance) ## Tech die we gebruiken - [Technologie](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) ### [AI Act-register en beoordelingen](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) [Eén register waarin je AI-systemen staan, geclassificeerd en per rol opgevolgd, met beoordelingen, incidenten en een AI Act-tijdlijn. Een advocaat kijkt alles na.](https://www.pitch.law/nl/technologies/ai-act-governance-toolkit) - [Technologie](https://www.pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://www.pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://www.pitch.law/nl/technologies/privacy-register) - [Technologie](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) ### [DPIA](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) [Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal.](https://www.pitch.law/nl/technologies/digital-data-protection-impact-assessment) ## Meer over Juridische aspecten van artificiële intelligentie - ### [AI Act-tijdlijn: wat geldt wanneer](https://www.pitch.law/nl/academy/ai-act-compliance-timeline) [De toepassingsdata van de AI-verordening per oktober 2026, inclusief het in 2026 aangenomen uitstel van de hoogrisicoregels.](https://www.pitch.law/nl/academy/ai-act-compliance-timeline) - ### [Risicoclassificatie onder de AI-verordening](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) [Zo check je of een AI-systeem verboden is, hoogrisico, onder transparantieverplichtingen valt of vrij is van specifieke verplichtingen.](https://www.pitch.law/nl/academy/ai-act-risk-classification-explained) - ### [AI-clausules in leverancierscontracten](https://www.pitch.law/nl/academy/ai-clauses-in-vendor-contracts) [Welke clausules je mag verwachten en moet bespreken als je AI koopt of levert: verdeling onder de AI-verordening, datagebruik, eigendom van output, IP-vrijwaring, aansprakelijkheid en wijzigingsbeheer.](https://www.pitch.law/nl/academy/ai-clauses-in-vendor-contracts) - ### [AI in HR en recrutering](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) [Welke AI-tools in recrutering en personeelsbeheer verboden of hoog risico zijn onder de AI-verordening, wat werkgevers moeten doen en wat het nationale arbeidsrecht en de GDPR toevoegen.](https://www.pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) - ### [AI en intellectuele eigendom: trainingsdata, auteursrecht en openbaarmaking](https://www.pitch.law/nl/academy/ai-intellectual-property-training-data-copyright-disclosure) [Hoe het Europese auteursrecht en de AI-verordening omgaan met trainingsdata, opt-outs van rechthebbenden, samenvattingen van trainingsinhoud en de bescherming van AI-output en uitvindingen.](https://www.pitch.law/nl/academy/ai-intellectual-property-training-data-copyright-disclosure) - ### [De verplichting inzake AI-geletterdheid](https://www.pitch.law/nl/academy/ai-literacy-obligation-businesses-overlooking) [Artikel 4 van de AI-verordening geldt sinds februari 2025 voor elk bedrijf dat AI gebruikt. Wat het vraagt, wat de wijziging van 2026 veranderde en wat je best op papier zet.](https://www.pitch.law/nl/academy/ai-literacy-obligation-businesses-overlooking) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://www.pitch.law/nl/schedule)