Europese landen bespreken een wijziging van de privacyregels die het voor organisaties eenvoudiger kan maken om persoonsgegevens te gebruiken voor de ontwikkeling en toepassing van AI. Privacyorganisatie noyb waarschuwt dat de voorgestelde regels veel te ver gaan en spreekt zelfs van een vorm van “digitale onteigening”. Uit de onderliggende concepttekst blijkt inderdaad dat de Europese Raad zoekt naar meer ruimte voor het verwerken van persoonsgegevens voor AI, maar ook dat de bestaande AVG-​principes niet volledig aan de kant worden geschoven.

De discussie speelt rond de zogeheten Digital Omnibus, een pakket waarmee de Europese Unie bestaande digitale regelgeving wil vereenvoudigen. De Europese Commissie presenteerde het oorspronkelijke voorstel in november 2025. Het doel is onder meer om administratieve lasten te verminderen en Europese bedrijven meer ruimte te geven voor innovatie. Tegelijkertijd stelt de Commissie dat het beschermingsniveau voor persoonsgegevens overeind moet blijven.

De onderhandelingen zijn inmiddels terechtgekomen bij de EU-​lidstaten. Onder het Ierse voorzitterschap van de Raad ligt een herziene compromistekst op tafel. Een versie van 3 september 2026 is opgesteld voor verdere bespreking door de lidstaten.

Gerechtvaardigd belang voor AI

Een van de meest opvallende onderdelen is een nieuw artikel 88bis. Daarin staat dat de verwerking van persoonsgegevens bij de ontwikkeling en het gebruik van een AI-​systeem of AI-​model kan plaatsvinden op basis van het zogenoemde gerechtvaardigd belang van de organisatie die de gegevens verwerkt.

Dat is belangrijk, omdat daarvoor niet automatisch toestemming van de betrokken persoon nodig is. Het begrip “gerechtvaardigd belang” bestaat overigens al in de AVG. Organisaties mogen zich daarop beroepen wanneer zij een legitiem belang hebben bij een verwerking, de verwerking daarvoor noodzakelijk is en de belangen en grondrechten van de persoon van wie de gegevens afkomstig zijn niet zwaarder wegen.

De Commissie stelde eerder al dat deze AVG-​grondslag ook voor AI kan worden gebruikt. Volgens de Commissie moet daarbij wel steeds aan alle overige eisen van de AVG worden voldaan. Ook mogen andere Europese of nationale wetten de betreffende verwerking niet verbieden.

De nieuwste Raadstekst gaat in dezelfde richting. Daarin wordt expliciet vastgelegd dat persoonsgegevens in de context van de ontwikkeling en werking van AI op basis van gerechtvaardigd belang verwerkt kunnen worden. Tegelijkertijd staat in de tekst dat organisaties een passende wettelijke grondslag moeten kiezen en technische en organisatorische maatregelen moeten nemen om de rechten van betrokkenen te beschermen.

noyb vreest veel bredere toepassing

Volgens noyb kan deze formulering in de praktijk echter betekenen dat AI-​bedrijven veel gemakkelijker grote hoeveelheden bestaande persoonsgegevens kunnen gebruiken. De organisatie vreest dat gegevens die oorspronkelijk voor heel andere doeleinden zijn verzameld alsnog voor het trainen of gebruiken van AI-​systemen beschikbaar komen.

De privacyorganisatie noemt daarbij onder meer gegevens uit sociale media, online diensten en andere digitale systemen. Volgens noyb kan de nieuwe regeling ertoe leiden dat bedrijven veel minder vaak expliciete toestemming hoeven te vragen. (noyb​.eu)

Max Schrems, oprichter van noyb, gebruikt daarvoor de term „digitale onteigening”. Volgens hem dreigen de commerciële belangen van AI-​bedrijven zwaarder te gaan wegen dan de privacyrechten van Europese burgers. Dat is nadrukkelijk de interpretatie van noyb; de Europese Commissie stelt juist dat de bestaande bescherming uit de AVG behouden blijft.

Niet iedere verwerking wordt automatisch toegestaan

Daarbij is een belangrijke nuance nodig. De concepttekst zegt niet simpelweg dat ieder gebruik van persoonsgegevens voor AI voortaan automatisch rechtmatig is. Ook wanneer een organisatie zich beroept op gerechtvaardigd belang, blijven de voorwaarden uit artikel 6 van de AVG relevant.

In de begeleidende tekst bij het voorstel worden bijvoorbeeld de redelijke verwachtingen van betrokkenen genoemd. Ook moeten organisaties rekening houden met de gevolgen van een verwerking en passende maatregelen nemen om privacyrisico’s te beperken. In eerdere versies worden onder meer transparantie, mogelijkheden om bezwaar te maken en privacybeschermende technieken voor AI-​training genoemd.

Daarnaast blijven andere wetten gelden. AI-​toepassingen die bijvoorbeeld onder een expliciet verbod uit de AI Act vallen, worden door een soepelere juridische grondslag voor gegevensverwerking niet ineens toegestaan.

Dat onderscheid is relevant, omdat noyb in zijn publicatie stelt dat vrijwel iedere verwerking rechtmatig zou kunnen worden zodra deze „in de context van AI” plaatsvindt. De daadwerkelijke Raadstekst bevat meer voorwaarden dan die formulering suggereert. Tegelijkertijd zou het nieuwe artikel bedrijven wel duidelijk meer juridische basis geven om het gerechtvaardigd belang voor AI-​toepassingen te gebruiken.

Ook definitie van persoonsgegevens ter discussie

De discussie gaat bovendien verder dan alleen AI. De Digital Omnibus bevat ook voorstellen rond de vraag wanneer informatie juridisch nog als persoonsgegeven moet worden beschouwd. Daarbij speelt vooral het gebruik van gepseudonimiseerde gegevens.

De Commissie stelt dat gegevens onder bepaalde omstandigheden door een ontvangende partij niet als persoonsgegevens hoeven te worden behandeld wanneer die partij de betreffende persoon redelijkerwijs niet kan identificeren. De organisatie die de data heeft gepseudonimiseerd blijft volgens de Commissie wel onder de AVG vallen.

Ook hier ziet noyb risico’s. De organisatie vreest dat bedrijven daardoor vaker kunnen stellen dat bepaalde identifiers of datasets buiten de AVG vallen, terwijl gegevens in combinatie met andere informatie alsnog naar een persoon terug te leiden zouden kunnen zijn.

Onderdeel van bredere Europese koerswijziging

De discussie past in een bredere Europese poging om digitale regelgeving minder complex te maken. De Europese Commissie zegt hiermee het concurrentievermogen te willen verbeteren en de administratieve lasten voor bedrijven te verminderen. Bij de voorbereiding van de Digital Omnibus noemde de Commissie een vermindering van administratieve lasten met minimaal 25 procent voor bedrijven en 35 procent voor het mkb als bredere beleidsdoelstelling.

Daarmee ontstaat tegelijkertijd een principiële discussie over de balans tussen innovatie en gegevensbescherming. Voor AI-​bedrijven is toegang tot grote hoeveelheden data van groot belang voor het trainen en verbeteren van modellen. Privacyorganisaties vrezen dat de wens om Europa aantrekkelijker te maken voor AI-​ontwikkeling uiteindelijk leidt tot een structurele versoepeling van de AVG.

Voorlopig gaat het nog om wetgeving in ontwikkeling. Het document waar noyb zich op baseert is een compromistekst van het voorzitterschap van de Raad en dus geen definitief aangenomen Europese wet. De precieze tekst kan tijdens de verdere onderhandelingen tussen Raad en Europees Parlement nog veranderen.