Regels
De lidstaten willen AI-verwerking op gerechtvaardigd belang laten steunen en pseudonimisering anders regelen. Wat er echt staat en wat je nu doet.
De ambassadeurs van de lidstaten hebben op 21 oktober 2026 een gezamenlijk standpunt vastgesteld over de digitale omnibus, een pakket dat onder meer de AVG wijzigt. Het opvallendste onderdeel: verwerking van persoonsgegevens voor de ontwikkeling en het gebruik van AI mag uitdrukkelijk op gerechtvaardigd belang steunen. Het is een onderhandelingspositie. De AVG zelf is nog niet veranderd.
De officiële tekst is het mandaat van de Raad, document 14756/26, gedateerd 22 oktober 2026. Het is een Engelstalig document van 170 pagina's met de wijzigingen ten opzichte van het voorstel van de Commissie: toevoegingen vet, schrappingen doorgehaald. Een Nederlandse versie is er nog niet. De citaten in dit artikel zijn daarom een eigen vertaling.
De Europese Commissie diende het voorstel in op 19 november 2025, onder het nummer COM(2025) 837. Het doel was vereenvoudiging: minder administratieve lasten, minder versnipperde meldplichten en meer duidelijkheid over AI. In de tekst van de Commissie heette de AI-bepaling artikel 88c. De Raad heeft haar ingekort en omgenummerd tot artikel 88bis.
Het mandaat kwam niet in één keer tot stand. Het voorzitterschap legde eerst verschillende compromisteksten voor, en het pakket gaat over meer dan de AVG: ook de cookieregels, de Dataverordening en het melden van incidenten. Wat er nu ligt, is de versie waarover de vertegenwoordigers van de lidstaten het eens werden.
Een mandaat is de positie waarmee de Raad de onderhandelingen ingaat. Het Europees Parlement moet zijn eigen standpunt nog bepalen. Daarna onderhandelen Parlement, Raad en Commissie in de zogeheten triloog over de definitieve tekst. Pas als beide instellingen die tekst aannemen en hij in het Publicatieblad staat, verandert er iets voor organisaties.
Wat de Raad heeft opgeschreven, kan dus nog veranderen, in beide richtingen. Het Parlement heeft over de AI-bepaling nog geen standpunt. Lees dit artikel daarom als een beschrijving van een richting, niet van de regels waar je je nu aan houdt.
Artikel 88bis heeft in het mandaat drie leden. Ze zijn kort, en de formulering doet ertoe. In vertaling staat er dit:
Voor een AI-systeem verwijst de bepaling naar de definitie in de AI-verordening. Dat is breed: ook een AI-assistent die een organisatie gebruikt, valt eronder, niet alleen het trainen van een groot taalmodel.
Vergelijk je de tekst met die van de Commissie, dan valt op wat er weg is. De Commissie schreef dat de verwerking op gerechtvaardigd belang kon steunen, "behalve waar ander Unie- of nationaal recht uitdrukkelijk toestemming vereist" en "waar die belangen moeten wijken voor de belangen of grondrechten van de betrokkene, in het bijzonder als dat een kind is". Beide zinsdelen heeft de Raad doorgehaald.
Ook het tweede lid van de Commissie is vervangen. Daarin stonden concrete waarborgen: dataminimalisatie bij het kiezen van bronnen en bij training, bescherming tegen het lekken van gegevens die in een model achterblijven, meer transparantie en een onvoorwaardelijk recht van bezwaar. Daarvoor in de plaats kwam de algemene verwijzing naar maatregelen en het gewone bezwaarrecht van artikel 21. De twee overwegingen waarin de Commissie uitlegde hoe de afweging bij AI moest verlopen, zijn eveneens geschrapt.
Daar verschillen de lezingen sterk. De privacyorganisatie noyb noemt het mandaat een digitale onteigening en leest artikel 88bis als een algemene toestemming om persoonsgegevens voor AI te gebruiken, ongeacht het doel. In die lezing wordt AI een etiket: wat je in een AI-systeem stopt, krijgt vanzelf een grondslag. Op LinkedIn en in de vakpers wordt het artikel daardoor ook samengevat als "toestemming is niet meer nodig".
De tekst zelf is voorzichtiger dan die samenvatting. Het eerste lid verwijst naar artikel 6, lid 1, onder f, en die bepaling bevat de afweging al: de verwerking is alleen rechtmatig als de belangen van de betrokkene niet zwaarder wegen. Het tweede lid zegt uitdrukkelijk dat je nog steeds de juiste grondslag moet kiezen. Juristen die het voorstel steunen, wijzen erop dat er daarmee weinig nieuws in staat. Critici wijzen er juist op dat een bepaling zonder nieuws in een wet toch iets betekent: ze geeft een signaal aan rechters en toezichthouders.
Ja. Zolang de bepaling verwijst naar artikel 6, lid 1, onder f, van de AVG, geldt de toets in drie stappen: is er een gerechtvaardigd belang, is de verwerking daarvoor noodzakelijk, en wegen de belangen van de betrokkene niet zwaarder? Artikel 88bis zegt dat AI een gerechtvaardigd belang kán dienen. Het zegt niet dat de afweging altijd in je voordeel uitvalt.
De Europese toezichthouders zagen dat al bij het voorstel van de Commissie. Volgens de samenvatting van noyb schreven de EDPB en de EDPS in hun gezamenlijke advies dat de bepaling de zaak niet echt verduidelijkt: een organisatie moet de drie stappen nog steeds doorlopen. Dat geldt voor de kortere tekst van de Raad net zo goed.
Wie zijn verwerking op gerechtvaardigd belang baseert, krijgt te maken met artikel 21. Een betrokkene kan bezwaar maken, en je stopt dan, tenzij je dwingende gerechtvaardigde gronden hebt die zwaarder wegen. Het onvoorwaardelijke recht van bezwaar dat de Commissie wilde, is weg. Het gewone bezwaarrecht blijft, en het derde lid noemt het met zoveel woorden.
De zinsnede over ander recht dat toestemming vereist, is geschrapt. Dat maakt zulke regels niet ongeldig. Een beroepsgeheim, een geheimhoudingsplicht uit een sectorwet of een regel over gezondheidsgegevens blijft gewoon van toepassing. Bijzondere persoonsgegevens vallen bovendien onder het verbod van artikel 9, en daar verandert artikel 88bis niets aan.
Het mandaat voegt een nieuw artikel 25a toe over pseudonimisering. Voor organisaties die met gepseudonimiseerde gegevens werken, is dit misschien wel het belangrijkste onderdeel. De Commissie wilde de definitie van persoonsgegevens in artikel 4 zelf aanpassen. De Raad liet die definitie staan en regelt het in een eigen artikel.
Het eerste lid beschrijft pseudonimisering als een maatregel om risico's te verkleinen: de gegevens zijn niet meer aan een persoon te koppelen zonder aanvullende informatie, en die informatie is met technische en organisatorische maatregelen afgeschermd. Het tweede lid is de kern. Gepseudonimiseerde gegevens zijn geen persoonsgegevens voor een derde die niet in staat is de persoon te identificeren.
Daarop volgen twee grenzen. Geeft die derde de gegevens door aan iemand die de persoon redelijkerwijs wél kan identificeren, dan is zowel het doorgeven als de verwerking daarna een verwerking van persoonsgegevens. En een verwerker die gegevens namens een verwerkingsverantwoordelijke verwerkt, verwerkt altijd persoonsgegevens en blijft aan de AVG gebonden. De EDPB moet een advies uitbrengen over pseudonimisering en anonimisering.
Voor jou als organisatie verandert er niets. Jij hebt de koppeling tussen pseudoniem en persoon, dus voor jou blijven het persoonsgegevens, met alle plichten die daarbij horen. Het verschil tussen pseudonimiseren en anonimiseren blijft dus overeind. Ook een AI-aanbieder of andere dienstverlener die als verwerker voor je werkt, verwerkt volgens het vierde lid persoonsgegevens.
Het nieuwe artikel helpt vooral bij het delen met een echte derde die de sleutel niet heeft en niet kan krijgen. De overweging bij het artikel noemt de rechtspraak van het Hof van Justitie als aanleiding, en zegt dat de vraag per geval wordt beoordeeld: wie heeft toegang, wie heeft de controle en wat is de verhouding tussen de partijen. Wat persoonsgegevens zijn, blijft daarmee een vraag van context.
Het mandaat raakt meer artikelen dan het AI-artikel. De wijzigingen die voor de meeste organisaties tellen, staan hieronder. "Nu" is de huidige AVG; "mandaat" is het standpunt van de Raad.
| Onderwerp | Nu | Mandaat van de Raad |
|---|---|---|
| Bijzondere persoonsgegevens in AI | Verboden tenzij een uitzondering uit artikel 9, lid 2 geldt | Nieuwe uitzondering alleen voor resten die je niet wilde verwerken; verwijderen zodra je ze vindt |
| Melden van een datalek | Binnen 72 uur, tenzij een risico onwaarschijnlijk is | Alleen bij een hoog risico, binnen 96 uur, via een nationaal meldpunt |
| Lijst van verwerkingen met een DPIA-plicht | Per land, door de toezichthouder | Eén Europese lijst van de EDPB; de nationale lijsten gelden tot die er is |
| Informatieplicht | Altijd informeren bij verzamelen | Uitzondering als de betrokkene het al weet en het risico niet hoog is |
| Misbruik van het inzagerecht | Weigeren bij kennelijk ongegronde of buitensporige verzoeken | Ook weigeren als een misbruikende bedoeling aantoonbaar is |
De nieuwe uitzondering in artikel 9 is smal. Ze geldt alleen voor bijzondere persoonsgegevens die toevallig en als restant in de gegevens zitten waarmee een AI-systeem wordt ontwikkeld of getest, terwijl je ze niet wilde verwerken en maatregelen nam om ze eruit te houden. Vind je ze, dan verwijder je ze. Lukt dat niet, dan scherm je ze af. Volgens de overweging geldt de uitzondering uitdrukkelijk niet voor gegevens die tijdens het gebruik aan het AI-systeem worden gegeven. Wie een dossier met gezondheidsgegevens bewust aan een AI-assistent voorlegt, heeft er dus niets aan. Zie bijzondere persoonsgegevens voor wat er nu geldt.
De meldplicht wordt lichter: alleen een lek met een waarschijnlijk hoog risico meld je nog bij de toezichthouder, binnen 96 uur. De plicht om elk lek intern vast te leggen blijft. De EDPB maakt lijsten van situaties met en zonder hoog risico. Tot de nieuwe regel geldt, blijft de huidige termijn staan; zie wat is een datalek. Voor de DPIA komt er één Europese lijst en een gezamenlijk sjabloon. De beoordeling zelf blijft nodig; zie een DPIA voor AI-tools.
Nog niet. Eerst bepaalt het Europees Parlement zijn standpunt, in de commissies en daarna in de plenaire vergadering. Dan volgt de triloog. Volgens een analyse van het mandaat door legal247 is aanneming op zijn vroegst in 2027 te verwachten, zodat de grote wijzigingen niet voor 2028 merkbaar zijn.
Volgens het mandaat treedt de verordening in werking op de derde dag na publicatie. Artikel 88bis en artikel 25a gelden dan meteen. De nieuwe regels voor het melden van een datalek gelden pas 18 maanden later, en het melden via een nationaal meldpunt pas na 30 maanden. Ook dat zijn data uit het standpunt van de Raad, die in de triloog kunnen schuiven.
Je houdt je aan de huidige AVG. Een standpunt van de Raad is geen grondslag. Wat wel verstandig is: je werk zo inrichten dat het onder de huidige regels klopt en onder de nieuwe regels niet hoeft te worden overgedaan.
Wie nu al op het mandaat vooruitloopt, loopt het risico op regels die er nooit komen. Wie niets vastlegt, staat onder de oude en de nieuwe tekst met lege handen.
PrivaSearch kiest geen grondslag voor je. Het maakt documenten doorzoekbaar nadat persoonsgegevens zijn vervangen door pseudoniemen en een collega dat heeft gecontroleerd. De AI-assistent krijgt alleen vrijgegeven, gepseudonimiseerde passages met een bronverwijzing, geen originele bestanden. De stappen staan op Hoe PrivaSearch werkt.
Je omgeving schrijft een startdocument voor de grondslag met de belangenafweging in drie stappen en het bezwaarrecht. Die opbouw volgt de huidige AVG, en artikel 88bis haalt geen van die stappen weg. Wat erin staat, lees je op AVG en EU AI Act. Het is een startdocument en geen juridisch advies.
Over pseudonimisering verandert de boodschap niet. Voor jouw organisatie blijven gepseudonimiseerde gegevens persoonsgegevens, ook onder artikel 25a, omdat jij de koppeling hebt. Pseudonimisering is een maatregel die het risico verkleint en die in de afweging meetelt. Het is geen route om buiten de AVG te komen. Wil je zien hoe dat er in de praktijk uitziet, vraag dan een demo aan.
Nee. Artikel 88bis staat in het onderhandelingsmandaat van de Raad van de EU van 21 oktober 2026. Het Europees Parlement moet zijn standpunt nog bepalen, en daarna onderhandelen Parlement, Raad en Commissie over de definitieve tekst. Tot die tekst is aangenomen en in werking is getreden, geldt de huidige AVG.
Dat mag nu al, als een andere grondslag past, zoals gerechtvaardigd belang. Artikel 88bis bevestigt dat gerechtvaardigd belang bij AI kan, maar verwijst naar de bestaande toets: het belang moet echt zijn, de verwerking noodzakelijk en de afweging moet in het voordeel van de organisatie uitvallen. Een betrokkene houdt het recht van bezwaar.
Artikel 88c is de bepaling uit het voorstel van de Europese Commissie van november 2025. Artikel 88bis is de versie van de Raad. De Raad schrapte de lijst met concrete waarborgen, het onvoorwaardelijke recht van bezwaar en de zinsnede over wetten die toestemming vereisen. Daarvoor kwam een algemene verwijzing naar passende maatregelen en het gewone bezwaarrecht in de plaats.
Alleen voor een derde die de persoon niet kan identificeren. Voor de organisatie die pseudonimiseert en de sleutel heeft, blijven het persoonsgegevens. Een verwerker die namens die organisatie werkt, verwerkt volgens het mandaat ook altijd persoonsgegevens. De regel helpt vooral bij het delen met partijen die geen enkele weg naar de sleutel hebben.
Volgens het mandaat 96 uur in plaats van 72, en alleen voor een lek met een waarschijnlijk hoog risico. Die wijziging gaat pas 18 maanden na de inwerkingtreding van de verordening in. Tot dan meld je een lek binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het risico voor de betrokkenen onwaarschijnlijk is.
Niet vanwege het mandaat. Het is verstandig om de belangenafweging voor je AI-gebruik vast te leggen en het bezwaarrecht te regelen, maar dat vraagt de huidige AVG al. Pas procedures voor datalekken, DPIA's en de informatieplicht pas aan als de definitieve tekst is aangenomen en duidelijk is wanneer hij geldt.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →