--- title: "AI Act en GDPR: waar de twee kaders elkaar raken | Pitch" description: "Hoe de AI-verordening en de GDPR naast elkaar gelden voor hetzelfde AI-systeem: rollen, effectbeoordelingen, geautomatiseerde besluiten, transparantie,…" url: https://pitch.law/nl/academy/ai-act-meets-gdpr-where-frameworks-overlap --- [pitch](https://pitch.law/nl) [Academy](https://pitch.law/nl/academy) [Juridische aspecten van artificiële intelligentie](https://pitch.law/nl/academy/topics/legal-aspects-of-artificial-intelligence) # AI Act en GDPR: waar de twee kaders elkaar raken Hoe de AI-verordening en de GDPR naast elkaar gelden voor hetzelfde AI-systeem: rollen, effectbeoordelingen, geautomatiseerde besluiten, transparantie, datakwaliteit en bijzondere categorieën. - - Door [Bart Lieben](https://pitch.law/nl/team/bart-lieben), Advocaat - 25 februari 2026 - Bijgewerkt 30-10-2026 ## Het juridisch kader De AI-verordening ([Verordening (EU) 2024/1689](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32024R1689)) en de GDPR ([Verordening (EU) 2016/679](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:32016R0679)) gelden tegelijk. De AI Act zegt dat zelf: ze laat het Unierecht inzake gegevensbescherming onverlet ([artikel 2, lid 7](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R1689#art_2)). De GDPR gaat aan zodra je persoonsgegevens verwerkt. De AI Act gaat aan zodra je een AI-systeem in de handel brengt of gebruikt, met of zonder persoonsgegevens. De meeste zakelijke AI-systemen vallen onder allebei. ### De rollen vallen niet samen De AI Act spreekt van aanbieders en deployers. De GDPR spreekt van verwerkingsverantwoordelijken en verwerkers. Een [deployer](https://pitch.law/nl/academy/provider-vs-deployer-ai-act) is meestal verwerkingsverantwoordelijke voor de persoonsgegevens die hij in een systeem invoert. Een aanbieder kan verwerker, gezamenlijk verwerkingsverantwoordelijke of zelfstandig verwerkingsverantwoordelijke zijn, bijvoorbeeld als hij klantgegevens gebruikt om zijn model te verbeteren. Bepaal je rol onder elk regime apart en zet die in het contract. ### Effectbeoordelingen - Een **DPIA** (GDPR [artikel 35](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32016R0679#art_35)) heb je nodig als een verwerking waarschijnlijk een hoog risico voor personen inhoudt. Denk aan systematische beoordeling met aanzienlijke gevolgen, grootschalige verwerking van bijzondere categorieën en systematische monitoring. - Een **beoordeling van de gevolgen voor de grondrechten** (FRIA, AI Act [artikel 27](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R1689#art_27)) is nodig vóór de eerste ingebruikname van een hoogrisicosysteem door overheidsinstanties, private entiteiten die openbare diensten verlenen en deployers van bepaalde kredietscoring- en verzekeringssystemen. Ze gaat over alle grondrechten, niet alleen privacy. - Gelden allebei, dan kan de FRIA de DPIA aanvullen ([artikel 27, lid 4](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R1689#art_27)). De beoordelingen overlappen, maar geen van beide vervangt de andere. Deployers van hoogrisicosystemen gebruiken de informatie van de aanbieder voor hun DPIA ([artikel 26, lid 9](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R1689#art_26)). ### Geautomatiseerde besluiten en transparantie GDPR [artikel 22](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32016R0679#art_22) geeft mensen het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen heeft. Er zijn uitzonderingen, maar die vragen waarborgen, zoals menselijke tussenkomst. In _SCHUFA_ ([C-634/21](https://eur-lex.europa.eu/legal-content/NL/TXT/?uri=CELEX:62021CJ0634)) oordeelde het Hof van Justitie dat een waarschijnlijkheidsscore zelf zo'n besluit kan zijn als een derde er sterk op steunt. De AI Act voegt een recht op uitleg toe over de rol van een hoogrisicosysteem in een besluit ([artikel 86](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R1689#art_86)), menselijk toezicht (artikel 14) en de informatieplichten van artikelen 13 en 26. GDPR artikelen 13 tot 15 vragen betekenisvolle informatie over de onderliggende logica. ### Datakwaliteit, bias en bijzondere categorieën Aanbieders van hoogrisicosystemen moeten trainings-, validatie- en testdata gebruiken die relevant, representatief en zo foutloos mogelijk zijn ([artikel 10](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R1689#art_10)). Om bias op te sporen en te corrigeren mogen aanbieders volgens [artikel 4 bis](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32026R1744#art_1), dat de Digitale Omnibus voor AI in de plaats van artikel 10, lid 5 heeft gezet, onder strikte voorwaarden bijzondere categorieën van persoonsgegevens verwerken: het moet strikt noodzakelijk zijn, er moeten technische waarborgen zijn, de data worden na gebruik verwijderd en je register van verwerkingsactiviteiten vermeldt waarom het nodig was. Dat is een AI Act-grondslag voor dat doel. De algemene GDPR-beginselen, waaronder minimale gegevensverwerking en doelbinding, blijven gelden. De Europese Gegevensbeschermingsraad behandelde het gebruik van persoonsgegevens in AI-modellen in zijn [Advies 28/2024](https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en). ### Andere raakpunten - **Registers en verantwoording.** Houd de registers van artikel 30 GDPR en de technische documentatie van de AI Act het best samen bij, zodat ze elkaar niet tegenspreken. - **Melding van inbreuken en incidenten.** Een datalek meld je binnen 72 uur aan de gegevensbeschermingsautoriteit ([artikel 33](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32016R0679#art_33)). Ernstige incidenten met hoogrisicosystemen meld je op grond van [artikel 73](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32024R1689#art_73) AI Act. Eén gebeurtenis kan dus beide meldingen uitlokken. - **Toezicht.** De Gegevensbeschermingsautoriteit houdt toezicht op de GDPR. De AI Act werkt met markttoezichtautoriteiten die elke lidstaat aanwijst. Check wie in jouw sector bevoegd is. ## In de praktijk Een Hasseltse verzekeringsmakelaar gebruikt een AI-tool om schadegevallen te triëren en vermoedelijke fraude te signaleren. De makelaar is verwerkingsverantwoordelijke en heeft een rechtsgrond nodig, privacyverklaringen die de profilering vermelden en een DPIA. Een signalering kan tot een geweigerde claim leiden. Daarom eist artikel 22 dat een schadebehandelaar de echte beslissing neemt en van de aanbeveling van de tool kan afwijken. De makelaar documenteert het toezicht onder de AI Act en gebruikt één beoordelingsdossier voor beide kaders, met aparte delen waar de juridische toetsen verschillen. ## Veelgestelde vragen ### Als we de GDPR naleven, leven we dan ook de AI Act na? Nee. De AI Act bevat vereisten die de GDPR niet kent, zoals risicobeheer, documentatie en conformiteitsbeoordeling. ### Voldoet een DPIA aan de grondrechteneffectbeoordeling? Niet zomaar. Ze kan als basis dienen, maar de FRIA moet bredere rechten dekken en de inhoudsvereisten van de AI Act halen. ### Mogen we bijzondere categorieën van gegevens gebruiken om op bias te testen? Onder [artikel 4 bis](https://eur-lex.europa.eu/legal-content/NL/TXT/HTML/?uri=CELEX:32026R1744#art_1) AI Act (vroeger artikel 10, lid 5) wel, als aan de voorwaarden is voldaan en andere data niet volstaan. Documenteer de noodzaak en de waarborgen. ### Wie beantwoordt het verzoek van een betrokkene over een AI-besluit? De verwerkingsverantwoordelijke. De aanbieder moet die contractueel ondersteunen. ## Hoe dit samenhangt Bij [naleving van de AI-verordening](https://pitch.law/nl/solutions/ai-act-compliance) pakken we beide kaders in één keer aan. [Onze nalevingsregisters](https://pitch.law/nl/technologies/privacy-register) houden het GDPR-verwerkingsregister naast de AI Act-registers bij, en in [onze DPIA-tool](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) werk je samen met je jurist aan beoordelingen in één werkdossier. Zie ook [een AI-governancekader opbouwen](https://pitch.law/nl/academy/building-an-ai-governance-framework). ## In het kort - Waarom naleving van het ene kader het andere niet vervangt - DPIA en grondrechteneffectbeoordeling vergeleken - Geautomatiseerde besluiten en transparantie - Biastests en bijzondere categorieën van gegevens ## Hier helpen we mee - [Oplossingen](https://pitch.law/nl/solutions/ai-act-compliance) ### [AI Act-compliance](https://pitch.law/nl/solutions/ai-act-compliance) [We zoeken uit welke van jouw AI-systemen onder de Europese AI-verordening vallen, in welke rol, en wat je wanneer geregeld moet hebben.](https://pitch.law/nl/solutions/ai-act-compliance) ## Tech die we gebruiken - [Technologie](https://pitch.law/nl/technologies/ai-act-governance-toolkit) ### [AI Act-register en beoordelingen](https://pitch.law/nl/technologies/ai-act-governance-toolkit) [Eén register waarin je AI-systemen staan, geclassificeerd en per rol opgevolgd, met beoordelingen, incidenten en een AI Act-tijdlijn. Een advocaat kijkt alles na.](https://pitch.law/nl/technologies/ai-act-governance-toolkit) - [Technologie](https://pitch.law/nl/technologies/privacy-register) ### [Verwerkingsregister en compliance-registers](https://pitch.law/nl/technologies/privacy-register) [Eén registermotor voor je AVG-verwerkingsregister en voor de registers onder de AI-verordening, NIS2 en DORA, met artikelverwijzingen, bewijsstukken en goedkeuring door de advocaat of DPO.](https://pitch.law/nl/technologies/privacy-register) - [Technologie](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) ### [Effectbeoordeling gegevensbescherming](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) [Begeleide gegevensbeschermingseffectbeoordelingen (DPIA's) als werkdossier dat jij en je advocaat samen invullen in het klantenportaal.](https://pitch.law/nl/technologies/digital-data-protection-impact-assessment) ## Meer over Juridische aspecten van artificiële intelligentie - ### [AI Act-tijdlijn: alle data van 2024 tot 2030](https://pitch.law/nl/academy/ai-act-compliance-timeline) [De AI Act geldt stap voor stap van 2 februari 2025 tot 31 december 2030. Elke datum, wat dan geldt en voor wie, met het uitstel van de hoogrisicoregels.](https://pitch.law/nl/academy/ai-act-compliance-timeline) - ### [Risicoclassificatie AI Act: de vier risiconiveaus](https://pitch.law/nl/academy/ai-act-risk-classification-explained) [De AI Act deelt AI in naar onaanvaardbaar (verboden), hoog, beperkt (transparantie) en minimaal risico. Zo check je in welk niveau je AI-systeem valt.](https://pitch.law/nl/academy/ai-act-risk-classification-explained) - ### [AI-clausules in contracten: 9 punten om te bespreken](https://pitch.law/nl/academy/ai-clauses-in-vendor-contracts) [Welke AI-clausules bespreek je als je AI koopt of levert? Rollen onder de AI Act, training op je data, eigendom van output, vrijwaring, aansprakelijkheid.](https://pitch.law/nl/academy/ai-clauses-in-vendor-contracts) - ### [AI Act in HR en recrutering: de hoogrisicoregels](https://pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) [AI voor werving en HR is meestal hoog risico onder de AI Act (vanaf 2 december 2027), emotieherkenning op het werk is verboden. Je plichten als werkgever.](https://pitch.law/nl/academy/ai-in-hr-and-recruitment-under-the-ai-act) - ### [AI en intellectuele eigendom: trainingsdata en auteursrecht](https://pitch.law/nl/academy/ai-intellectual-property-training-data-copyright-disclosure) [Hoe het Europese auteursrecht en de AI-verordening omgaan met trainingsdata, opt-outs van rechthebbenden, samenvattingen van trainingsinhoud en de bescherming van AI-output en uitvindingen.](https://pitch.law/nl/academy/ai-intellectual-property-training-data-copyright-disclosure) - ### [De verplichting inzake AI-geletterdheid](https://pitch.law/nl/academy/ai-literacy-obligation-businesses-overlooking) [Artikel 4 van de AI-verordening geldt sinds februari 2025 voor elk bedrijf dat AI gebruikt. Wat het vraagt, wat de wijziging van 2026 veranderde en wat je best op papier zet.](https://pitch.law/nl/academy/ai-literacy-obligation-businesses-overlooking) ## Even sparren? Vertel waar je mee bezig bent. We zetten de juiste persoon erop en je hoort binnen één werkdag van ons. Het eerste gesprek is gratis. [Plan een gesprek](https://pitch.law/nl/schedule)