AI Act × AVG: dubbel geregeld, geen dubbel werk
AI Act en AVG overlappen bij effectbeoordelingen en geautomatiseerde besluiten, en de AVG houdt voorrang. Zo maak je van twee trajecten één werkstroom.
AI Act Advies · · 4 min lezen
Organisaties die met AI en persoonsgegevens werken, hebben met twee kaders tegelijk te maken: de AI-verordening (AI Act) en de Algemene verordening gegevensbescherming (AVG). Dat voelt al snel als dubbel werk. Dat hoeft het niet te zijn — mits je begrijpt hoe de twee zich tot elkaar verhouden en waar ze elkaar overlappen zonder elkaar te vervangen.
De AVG houdt voorrang
Het vertrekpunt is duidelijk in de wet zelf verankerd. Artikel 2(7) van de AI Act bepaalt dat de verordening geldt “onverminderd” de EU-gegevensbeschermingswetgeving, en overweging 10 bevestigt de voorrang van de AVG bij de verwerking van persoonsgegevens. Praktisch betekent dit: de AVG blijft het volledige toetsingskader voor de rechtmatigheid van je gegevensverwerking. De AI Act legt daar een tweede laag overheen — een regime dat meer lijkt op productveiligheidswetgeving en zich richt op het ontwerp, de ontwikkeling en het gebruik van AI-systemen.
De twee bijten elkaar dus niet; ze stapelen. Voldoen aan de AI Act ontslaat je nooit van je AVG-verplichtingen, en andersom. De verhouding tussen de AI Act en het bredere EU-digitale wetgevingspakket is uitgebreid geanalyseerd in de studie van het Europees Parlement PE 778.575.
DPIA en FRIA: overlappen, maar niet inwisselbaar
Het duidelijkste raakvlak zijn de effectbeoordelingen. De AVG kent de gegevensbeschermingseffectbeoordeling (data protection impact assessment, DPIA): op grond van artikel 35 AVG moet je die uitvoeren bij een verwerking die waarschijnlijk een hoog risico voor de rechten en vrijheden van mensen oplevert. De AI Act kent daarnaast de grondrechteneffectbeoordeling (fundamental rights impact assessment, FRIA): artikel 27 verplicht bepaalde gebruiksverantwoordelijken van hoogrisicosystemen — met name publieke instanties en sommige financiële dienstverleners — om vóór eerste gebruik de gevolgen voor grondrechten te beoordelen.
Die twee overlappen deels, maar zijn niet inwisselbaar. Goed nieuws voor de werklast: artikel 27(4) staat uitdrukkelijk toe dat je een reeds uitgevoerde DPIA herbenut voor de FRIA. Je hoeft dus niet vanaf nul te beginnen; je kunt voortbouwen op wat je voor de AVG al hebt gedaan.
Tegelijk is er een eerlijk voorbehoud. De risicobegrippen in beide kaders zijn niet gelijk gedefinieerd. Het AVG-risico is contextueel en dynamisch — het hangt af van de concrete verwerking. Het AI Act-risico is een formele, vooraf vastgestelde categorisering op basis van Bijlage III. Daardoor is niet volledig uitgekristalliseerd of een AI Act-hoogrisicoclassificatie automatisch ook een DPIA-plicht meebrengt. Dat punt is bij de vaststelling van de AI Act niet opgelost, en het loont om het per geval te beoordelen in plaats van er een vaste regel van te maken.
Wie beslist er bij geautomatiseerde besluiten?
Een tweede belangrijk raakvlak zijn besluiten die (mede) door een systeem worden genomen. Artikel 22 AVG verbiedt in beginsel volledig geautomatiseerde besluiten met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen, met uitzonderingen zoals een contractuele noodzaak, een wettelijke grondslag met waarborgen, of expliciete toestemming. Daarbij hoort het recht op “zinvolle informatie” over de onderliggende logica (artikel 15(1)(h) AVG).
De AI Act regelt vergelijkbare bescherming, maar via een andere route: als organisatorische en ontwerpverplichtingen. Denk aan artikel 14 (menselijk toezicht), artikel 26(11) (de plicht van de gebruiksverantwoordelijke om betrokkenen te informeren) en artikel 86 (het recht op uitleg bij een besluit met rechtsgevolgen dat mede op een hoogrisicosysteem berust). De twee zijn complementair, maar procedureel niet in elkaar geschoven — je moet ze allebei afdekken.
Nog een detail dat vaak wordt gemist: artikel 10(5) AI Act staat toe dat je bijzondere categorieën persoonsgegevens verwerkt om bias in hoogrisicosystemen op te sporen en te corrigeren. Maar dat artikel creëert géén zelfstandige AVG-grondslag; het verwijst terug naar artikel 9(2)(g) AVG. De rechtmatigheid moet je dus nog steeds onder de AVG regelen.
Eén werkstroom in plaats van twee
De rode draad is dat de overlap een kans is, geen last — als je hem organiseert. In plaats van een DPIA-traject en een FRIA-traject los naast elkaar te laten lopen, richt je één gecombineerde werkstroom in die beide kaders bedient. Concreet betekent dat: begin bij de verwerking en het systeem, breng in één analyse zowel de gegevensbeschermings- als de grondrechtenrisico’s in kaart, en documenteer één keer wat voor beide relevant is. Waar de FRIA verder reikt dan de DPIA (of andersom), vul je gericht aan. Betrek je functionaris voor gegevensbescherming en de mensen die verantwoordelijk zijn voor AI-governance vanaf het begin samen, zodat je niet twee keer dezelfde vragen stelt.
Houd daarbij de actualiteit in de gaten. De European Data Protection Board werkt sinds eind 2025 samen met de Commissie aan gezamenlijke richtsnoeren over het samenspel tussen de AVG en de AI Act; de definitieve vaststelling daarvan was op 17 juli 2026 nog niet bevestigd. Wel bracht de EDPB samen met de EDPS al de Joint Opinion 1/2026 (21 januari 2026) uit over de Digital Omnibus, en verschenen in juli 2026 conceptrichtsnoeren over webscraping en anonimisering die direct raken aan AI-trainingsdata. De kaders zijn dus nog in beweging.
Wil je je AVG- en AI Act-verplichtingen bundelen tot één overzichtelijke aanpak in plaats van twee losse trajecten? Neem contact op — we helpen je de overlap in kaart te brengen en er een werkbare, gecombineerde werkstroom van te maken.