Hoe de AVG in de praktijk uitpakte, en wat dat leert over de AI Act
Zeven lessen uit de tekst van de AVG en handhavingsbesluiten, en waar de EU AI Act verschilt.
Belangrijkste inzichten
- 1.De Algemene verordening gegevensbescherming (AVG) is van toepassing sinds 25 mei 2018. Boetes van 50 miljoen EUR (Google, januari 2019) tot 1,2 miljard EUR (Meta, mei 2023; beroep loopt) kwamen later. De sanctieregels van de AI Act (artikel 99) gelden sinds 2 augustus 2025 (artikel 113). De hoogrisicoverplichtingen (artikelen 8 tot en met 27) gelden vanaf 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). Boetes daarvoor kunnen er niet eerder komen, omdat artikel 99, lid 4, de verplichtingen zelf noemt. Voorbeelden zijn artikel 16 (aanbieders) en artikel 26 (gebruiksverantwoordelijken). Bijlage III noemt hoogrisicotoepassingen zoals werving of kredietscoring. Bijlage I somt de harmonisatiewetgeving van de Unie voor producten op (artikel 6, lid 1). Afdeling B van bijlage I somt andere harmonisatiewetgeving van de Unie op. De artikelen 8 tot en met 27 gelden niet voor hoogrisicosystemen die verband houden met die producten (artikel 2, lid 2).
- 2.Beide wetten reiken tot bedrijven buiten de EU, met verschillende toetsen. Artikel 3, lid 2, AVG gaat over het aanbieden van goederen of diensten aan personen in de Unie of het monitoren van hun gedrag. Artikel 2, lid 1, AI Act gaat over aanbieders die systemen in de Unie in de handel brengen. Het gaat ook over bedrijven elders wier output in de Unie wordt gebruikt.
- 3.Beide wetten gelden tegelijk voor een AI-systeem dat persoonsgegevens verwerkt (artikel 2, lid 7, AI Act). Aanbieders en gebruiksverantwoordelijken moeten aan beide voldoen. Gebruiksverantwoordelijken gebruiken een AI-systeem onder eigen verantwoordelijkheid, behalve voor persoonlijk niet-beroepsmatig gebruik (artikel 3, punt 4).
- 4.Boetes onder de AVG lopen op tot 20 miljoen EUR of 4 % van de wereldwijde jaaromzet. Het hoogste bedrag geldt (artikel 83, lid 5). Voor verboden praktijken lopen boetes onder de AI Act op tot 35 miljoen EUR of 7 % van de wereldwijde omzet. Het hoogste bedrag geldt (artikel 99, lid 3). Voor de hoogrisicoverplichtingen van aanbieders en gebruiksverantwoordelijken lopen boetes op tot 15 miljoen EUR of 3 % van de wereldwijde omzet. Het hoogste bedrag geldt (artikel 99, lid 4). Voor kleine en middelgrote ondernemingen (mkb) bedraagt elke boete maximaal het laagste van de twee bedragen (artikel 99, lid 6). Artikel 3, punt 14 bis, definieert het mkb. Beide wetten noemen schadebeperking, medewerking en genomen maatregelen bij het vaststellen van het bedrag. Zie artikel 83, lid 2, AVG en artikel 99, lid 7, AI Act.
Volgende stap: maak een lijst van de AI-systemen die persoonsgegevens verwerken en breng hun rol onder beide wetten in kaart.
Les 1: AVG-boetes van 50 miljoen EUR tot 1,2 miljard EUR kwamen binnen vijf jaar
De AVG is van toepassing sinds 25 mei 2018. Deze boetes volgden:
- Google, 50 miljoen EUR (Franse gegevensbeschermingsautoriteit CNIL, januari 2019). De Conseil d’État bevestigde de boete in juni 2020.
- Amazon, 746 miljoen EUR (Luxemburgse gegevensbeschermingsautoriteit CNPD, juli 2021). Op 12 maart 2026 vernietigde de Luxemburgse Cour administrative het besluit en stuurde het terug naar de CNPD. Het hof oordeelde dat de CNPD de schuld niet had beoordeeld en de corrigerende maatregel niet naar behoren had gekozen. Het hof bevestigde de door de CNPD vastgestelde inbreuken grotendeels.
- WhatsApp, 225 miljoen EUR (Ierse gegevensbeschermingsautoriteit DPC, augustus 2021). De boetepagina van de DPC (bijgewerkt op 21 september 2026) vermeldt de boete als “Pending Appeal” (beroep loopt).
- Meta, 1,2 miljard EUR (Ierse DPC, mei 2023). De boetepagina van de DPC (bijgewerkt op 21 september 2026) vermeldt de boete als “Pending Appeal” (beroep loopt).
We kunnen niet voorspellen wanneer autoriteiten voor het eerst een boete opleggen onder de AI Act
Les 2: Compliance loopt via contracten en documenten
Artikel 28, lid 3, AVG regelt verwerkers (organen die persoonsgegevens verwerken namens de verwerkingsverantwoordelijke, artikel 4, punt 8). Het vereist een overeenkomst of andere rechtshandeling die de verwerker aan de verwerkingsverantwoordelijke bindt.
De AI Act verschuift ook verplichtingen langs de toeleveringsketen. Hoogrisicosystemen gaan vergezeld van gebruiksinstructies voor gebruiksverantwoordelijken (artikel 13, lid 2). Aanbieders van AI-modellen voor algemene doeleinden (modellen die op competente wijze een breed scala aan verschillende taken kunnen uitvoeren, artikel 3, punt 63) moeten documentatie verstrekken. Zij geven die aan aanbieders die het model in AI-systemen integreren (artikel 53, lid 1, punt b)). Die aanbieders zijn aanbieders verder in de AI-waardeketen (artikel 3, punt 68). Artikel 25, lid 4, vereist een schriftelijke overeenkomst tussen de aanbieder van een hoogrisicosysteem en derden. Die derden leveren hem AI-systemen, AI-modellen, tools, diensten, componenten of processen. De regel geldt niet voor derden die tools, diensten, processen of componenten, behalve AI-modellen voor algemene doeleinden, openbaar toegankelijk maken onder een vrije en opensourcelicentie.
De AI Act vereist documenten en schriftelijke overeenkomsten langs de AI-toeleveringsketen, vanaf verschillende data
Les 3: Beide wetten reiken tot bedrijven buiten de EU
Artikel 3, lid 2, AVG reikt tot organisaties buiten de EU die goederen of diensten aanbieden aan personen in de Unie of hun gedrag monitoren. De boetes uit les 1 troffen vier bedrijven: Google LLC, Amazon Europe Core S.à r.l., WhatsApp Ireland Ltd en Meta Platforms Ireland Limited. De laatste drie zijn gevestigd in de EU, dus deze boetes laten artikel 3, lid 2, niet in werking zien.
De AI Act hanteert een andere toets. Artikel 2, lid 1, punt c), betreft aanbieders en gebruiksverantwoordelijken die in een derde land zijn gevestigd, wanneer de output van het systeem in de Unie wordt gebruikt. Artikel 2, lid 1, punt a), betreft aanbieders die AI-systemen in de Unie in de handel brengen, waar zij ook zijn gevestigd.
Aanbieders van hoogrisicosystemen en van AI-modellen voor algemene doeleinden uit derde landen moeten een gemachtigde in de Unie aanwijzen (artikelen 22 en 54)
Les 4: Bouw compliance in de engineering in
Artikel 25 AVG vereist gegevensbescherming door ontwerp en door standaardinstellingen. De verwerkingsverantwoordelijke (het orgaan dat de doeleinden en middelen van de verwerking bepaalt, artikel 4, punt 7) treft passende technische en organisatorische maatregelen. Dat doet hij bij het bepalen van de verwerkingsmiddelen en tijdens de verwerking zelf (artikel 25, lid 1).
De AI Act stelt ontwerpeisen aan hoogrisicosystemen. Artikel 12, lid 1, vereist dat ze technisch de automatische registratie van gebeurtenissen (logs) mogelijk maken. Artikel 14, lid 1, vereist dat natuurlijke personen er doeltreffend toezicht op kunnen uitoefenen. Artikel 15, lid 1, vereist een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging. Het risicobeheersysteem loopt gedurende de hele levenscyclus (artikel 9, lid 2).
Les 5: Beide wetten gelden tegelijk
Onverminderd de artikelen 4 bis en 59 laat de AI Act de AVG onverlet (artikel 2, lid 7). Een AI-systeem dat persoonsgegevens verwerkt, moet aan beide wetten voldoen.
Drie onderwerpen komen in beide wetten voor. Het eerste is geautomatiseerde besluitvorming en menselijk toezicht (artikel 22 AVG; artikel 14 AI Act). Het tweede is transparantie (artikelen 13 en 14 AVG; artikelen 13 en 50 AI Act). Het derde zijn effectbeoordelingen. Artikel 35 AVG vereist een beoordeling van het effect op de bescherming van persoonsgegevens wanneer een verwerking waarschijnlijk een hoog risico inhoudt. Artikel 27 AI Act vereist een beoordeling van het effect op de grondrechten. Het geldt voor gebruiksverantwoordelijken die publiekrechtelijke instellingen zijn of particuliere entiteiten die openbare diensten verlenen. Het geldt ook voor gebruiksverantwoordelijken van systemen uit bijlage III, punt 5, onder b) en c). Systemen op het gebied van bijlage III, punt 2, zijn uitgezonderd.
Les 6: Beide wetten wegen de genomen maatregelen mee bij het vaststellen van boetes
Artikel 83, lid 2, AVG noemt de factoren waarmee een autoriteit rekening houdt bij het vaststellen van een boete. Daartoe behoren maatregelen om de schade te beperken, de mate van verantwoordelijkheid gezien de technische en organisatorische maatregelen, en de medewerking met de toezichthoudende autoriteit.
Artikel 99, lid 7, AI Act noemt vergelijkbare factoren. Daartoe behoren de mate van medewerking (f) en de mate van verantwoordelijkheid gezien de technische en organisatorische maatregelen (g). Ook de wijze waarop de inbreuk ter kennis is gekomen (h) en maatregelen om de schade te beperken (j) behoren daartoe.
Houd bij welke maatregelen u neemt
Les 7: De wettelijke plicht blijft bij de organisatie
De AVG schiep verplichtingen voor toestemming (artikel 7), verwerkingsregisters (artikel 30) en effectbeoordelingen (artikel 35). De verwerkingsverantwoordelijke blijft daarvoor verantwoordelijk (artikel 24).
De AI Act werkt op dezelfde manier. De plicht blijft bij de aanbieder van een hoogrisicosysteem (artikel 16) en bij de gebruiksverantwoordelijke (artikel 26).
De AVG gold in één keer; de verplichtingen van de AI Act gelden gefaseerd van 2025 tot 2028
| Fase | AVG | AI Act |
|---|---|---|
| Aangenomen | April 2016 | Juni 2024 |
| Inwerkingtreding | Mei 2016 | Augustus 2024 |
| Eerste verplichtingen | 25 mei 2018 (alles tegelijk) | 2 februari 2025 (verboden praktijken en AI-geletterdheid; uitzondering: artikel 5, lid 1, punten ba) en bb), lid 1 bis en lid 1 ter, toegevoegd door Verordening (EU) 2026/1744, gelden vanaf 2 december 2026); 2 augustus 2025 (verplichtingen voor AI-modellen voor algemene doeleinden en sanctieregels, behalve artikel 101); 2 augustus 2026 (boetes uit artikel 101 voor aanbieders van AI-modellen voor algemene doeleinden) |
| Belangrijkste verplichtingen gelden (AI Act: hoogrisicosystemen) | 25 mei 2018 | 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I, behalve producten uit afdeling B; artikel 2, lid 2) |
| Max. boete (omzet %) | 20 miljoen EUR of 4 % van de wereldwijde jaaromzet, naargelang welk bedrag hoger is (artikel 83, lid 5) | Verboden praktijken: 35 miljoen EUR of 7 % van de wereldwijde jaaromzet, naargelang welk bedrag hoger is (artikel 99, lid 3). Hoogrisicoverplichtingen van aanbieders en gebruiksverantwoordelijken: 15 miljoen EUR of 3 %, naargelang welk bedrag hoger is (artikel 99, lid 4). Mkb: het laagste van de twee bedragen (artikel 99, lid 6). Kleine midcapondernemingen (artikel 3, punt 14 ter): hetzelfde voor boetes op grond van artikel 99, leden 4 en 5 (artikel 99, lid 6 bis). |
| Geldt buiten de EU | Ja (artikel 3, lid 2) | Ja (artikel 2, lid 1, punten a) en c)) |
Gerelateerde lectuur
Bronnen & referenties
- Regulation (EU) 2024/1689 — EU Artificial Intelligence Act
- Regulation (EU) 2026/1744 — Digital Omnibus on AI
- Regulation (EU) 2016/679 — General Data Protection Regulation (GDPR)
- Conseil d’État, decision no. 430810 of 19 June 2020 (Google; CNIL deliberation SAN-2019-001 of 21 January 2019)
- CNPD Luxembourg, news item on the decision of 15 July 2021 (Amazon)
- Luxembourg Cour administrative, judgment of 12 March 2026, no. 52757C (Amazon)
- CNPD Luxembourg, statement on the judgment of 12 March 2026
- Irish Data Protection Commission, decision IN-18-12-2 of 20 August 2021 (WhatsApp), summary
- Irish Data Protection Commission, decision of 12 May 2023 (Meta Platforms Ireland, data transfers)
- Irish Data Protection Commission, fines page (status “Pending Appeal” for WhatsApp and Meta; updated 21 September 2026)
Veelgestelde vragen
Hoe zag AVG-handhaving er in de praktijk uit?
De Algemene verordening gegevensbescherming (AVG) is van toepassing sinds 25 mei 2018. Deze boetes volgden. Google, 50 miljoen EUR (Franse gegevensbeschermingsautoriteit CNIL, januari 2019). De Conseil d’État bevestigde de boete in juni 2020. Amazon, 746 miljoen EUR (Luxemburgse gegevensbeschermingsautoriteit CNPD, juli 2021). Op 12 maart 2026 vernietigde de Luxemburgse Cour administrative het besluit en stuurde het terug naar de CNPD. Het hof oordeelde dat de CNPD de schuld niet had beoordeeld en de corrigerende maatregel niet naar behoren had gekozen. Het hof bevestigde de door de CNPD vastgestelde inbreuken grotendeels. WhatsApp, 225 miljoen EUR (Ierse gegevensbeschermingsautoriteit DPC, augustus 2021). De boetepagina van de DPC (bijgewerkt op 21 september 2026) vermeldt de boete als “Pending Appeal” (beroep loopt). Meta, 1,2 miljard EUR (Ierse DPC, mei 2023). De boetepagina van de DPC (bijgewerkt op 21 september 2026) vermeldt de boete als “Pending Appeal” (beroep loopt). Stand op 26 oktober 2026; de bronnen staan op deze pagina.
Vervangt de AI Act de AVG?
Nee. Onverminderd de artikelen 4 bis en 59 laat de AI Act de AVG onverlet (artikel 2, lid 7). De AVG regelt de verwerking van persoonsgegevens. De AI Act regelt AI-systemen en AI-modellen voor algemene doeleinden. Een AI-systeem dat persoonsgegevens verwerkt, moet aan beide voldoen.
Hoe vergelijkbaar zijn de compliance-processen van de AVG en de AI Act?
Ze overlappen bij effectbeoordelingen. Waar van toepassing moet een gebruiksverantwoordelijke van een hoogrisicosysteem de informatie van de aanbieder uit artikel 13 gebruiken voor de gegevensbeschermingseffectbeoordeling (artikel 35 AVG; artikel 26, lid 9, AI Act). Elke verplichting van artikel 27 kan al zijn vervuld via de gegevensbeschermingseffectbeoordeling. Dan mag de gebruiksverantwoordelijke daarnaar verwijzen of delen ervan overnemen in de beoordeling van het effect op de grondrechten (artikel 27, lid 4).
Hoeveel tijd is er voordat de verplichtingen van de AI Act gelden?
De verplichtingen voor hoogrisicosystemen uit bijlage III (artikelen 8 tot en met 27) gelden vanaf 2 december 2027. Voor systemen uit bijlage I gelden ze vanaf 2 augustus 2028 (artikel 113). Verordening (EU) 2026/1744 heeft deze data verschoven. De eerdere data waren 2 augustus 2026 en 2 augustus 2027. Afdeling B van bijlage I somt andere harmonisatiewetgeving van de Unie op. Voor hoogrisicosystemen die verband houden met die producten gelden alleen artikel 6, lid 1, artikel 60 bis en de artikelen 102 tot en met 112 (artikel 2, lid 2). De artikelen 57, 58 en 59 gelden alleen voor zover de eisen voor hoogrisicosystemen in die wetgeving zijn opgenomen.
Wie handhaaft de AI Act?
Nationale markttoezichtautoriteiten handhaven de AI Act (artikelen 70 en 74). Dat zijn de nationale autoriteiten die optreden op grond van Verordening (EU) 2019/1020 (artikel 3, punt 26, van de AI Act). De Commissie heeft exclusieve bevoegdheden om toezicht te houden op de regels voor AI-modellen voor algemene doeleinden en deze te handhaven. Zij laat die taken uitvoeren door het AI-bureau (artikel 88, lid 1). Het AI-bureau is ook exclusief bevoegd voor AI-systemen die zijn gebaseerd op een AI-model voor algemene doeleinden. Dat geldt wanneer dezelfde aanbieder, of aanbieders binnen dezelfde onderneming, het model en het systeem hebben ontwikkeld. Artikel 75, lid 1, punt a), zoals vervangen door Verordening (EU) 2026/1744, noemt vier uitzonderingen. Het AI-bureau is ook exclusief bevoegd voor een tweede groep AI-systemen (artikel 75, lid 1, punt b)). Dat zijn systemen die een zeer groot onlineplatform of een zeer grote onlinezoekmachine vormen of daarin zijn geïntegreerd. Dat platform of die zoekmachine moet zijn aangewezen op grond van Verordening (EU) 2022/2065. De lidstaten bepalen hoe boetes van toepassing zijn op overheidsinstanties (artikel 99, lid 8).
Scanara bereidt bewijs voor vanuit uw repositories
Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.