Geen enkel groot AI-model voldoet aan de Europese privacy- en AI-wetgeving. Het best scorende systeem overtreedt de wet in bijna de helft van de gevallen, het slechtste in 93 procent. Dat blijkt uit onderzoek van het Amsterdamse AI-instituut Aithos. Voor jou als ondernemer betekent dit dat je niet blind kunt vertrouwen op AI-tools die je inzet voor klantcontact, marketing of personeelszaken. De verantwoordelijkheid voor naleving ligt namelijk bij jou, niet alleen bij de maker van het model.

Wat er aan de hand is

Het onderzoeksinstituut Aithos testte toonaangevende commerciële AI-modellen met een eigen instrument genaamd Lara (Legal Assessment for Real-world Agents). Dit instrument toetste de modellen op tien fundamentele grondrechten uit de AVG en de EU AI-verordening. De resultaten zijn zorgwekkend. Het best presterende model, Anthropic’s Claude-opus-4-7, haalde een wettelijke naleving van circa 54 procent. Dat betekent dat het in bijna de helft van de getoetste gevallen de wet overtreedt. Google’s Gemini 3.1 Pro bleef steken op 10 procent naleving. OpenAI’s GPT-5.5 scoorde rond de 38 procent. Geen enkel model haalde dus een voldoende.

De onderzoekers vonden op grote schaal schendingen op het gebied van gegevensbescherming, manipulatie, emotieherkenning en psychologische profilering. Ook worden verplichtingen genegeerd om menselijke supervisie toe te passen. De overtredingen zijn niet abstract: ze raken direct aan de rechten van jouw klanten en medewerkers.

Wat dit betekent

Deze cijfers zijn niet alleen een probleem voor de techbedrijven achter de modellen. De EU AI-verordening legt de primaire verantwoordelijkheid bij bedrijven die AI-agents bouwen en op de markt brengen. Maar organisaties die zo’n agent vervolgens inzetten, zijn daarvoor eveneens aansprakelijk. Dat betekent dat jij als ondernemer een boete kunt krijgen als de AI-tool die je gebruikt de wet overtreedt. De boetes kunnen oplopen tot 35 miljoen euro of 7 procent van de wereldwijde omzet op grond van de AI-verordening, en tot 20 miljoen euro of 4 procent van de omzet op grond van de AVG.

Voor het mkb is dit extra riskant, omdat je vaak geen juridische afdeling hebt die dit controleert. Je vertrouwt op de belofte van de leverancier, maar uit dit onderzoek blijkt dat die belofte lang niet altijd wordt waargemaakt.

Hoe je dit kunt toepassen

Als je een chatbot of AI-assistent inzet voor klantcontact, overweeg om een eenvoudige audit uit te voeren. Vraag je leverancier schriftelijk om een complianceverklaring waarin staat aan welke artikelen van de AVG en AI Act het model voldoet. Je zou kunnen testen of de chatbot klanten ongevraagd profileert op emotie of psychologische kenmerken. Stel een paar scenario’s op waarin je vraagt naar gevoelige informatie, en kijk hoe de tool reageert. Als de tool geen duidelijke grenzen kent, is dat een risico.

Als je AI gebruikt voor het screenen van sollicitanten, is voorzichtigheid geboden. De AI-verordening verbiedt bepaalde vormen van profilering en emotieherkenning. Een mogelijkheid is om je proces te beperken tot objectieve criteria zoals opleiding en ervaring, en geen AI in te zetten voor het beoordelen van persoonlijkheid of emotionele intelligentie. Overweeg om een menselijke stap in te bouwen voordat een beslissing wordt genomen.

Als je AI inzet voor marketing of klantanalyse, check of je tool persoonsgegevens gebruikt voor profilering zonder dat je daar toestemming voor hebt. De AVG vereist een grondslag, zoals toestemming of gerechtvaardigd belang. Je zou kunnen nagaan of de tool data opslaat of deelt met derden. Vraag je leverancier om een dataverwerkingsovereenkomst (DPA) als je die nog niet hebt.

Als je een AI-tool overweegt aan te schaffen, neem compliance mee in je selectiecriteria. Vraag niet alleen naar functionaliteit, maar ook naar de resultaten van onafhankelijke tests zoals die van Aithos. Een optie is om te kiezen voor een model dat relatief goed scoort, zoals Claude-opus-4-7, maar ook dan blijf je zelf verantwoordelijk. Overweeg om een juridisch adviseur in te schakelen die bekend is met de AI Act, vooral als de tool een kernonderdeel van je bedrijfsvoering wordt.

Bron: Computable