AVG in juli 2026: richtlijnen van de AP voor AI en fraudesignalen

In haar toezichtstrategie wil de AP bij AI vooraf betrokken zijn

ICTRecht beschreef op 5 februari 2026 aan de hand van het jaarplan 2026 dat de AP haar toezicht in 2026 tot en met 2028 richt op massasurveillance, AI en digitale weerbaarheid. Begin juli zetten we die toezichtstrategie van de AP op een rij. De AP maakt daarin keuzes, omdat niet elk privacyvraagstuk dezelfde prioriteit kan krijgen. Vooral grootschalige systemen en organisaties met grote maatschappelijke impact krijgen aandacht, in de publieke sector en in het bedrijfsleven.

Bij AI wil de AP vooraf betrokken zijn, omdat ingrijpen achteraf bij AI-systemen vaak moeilijk of onmogelijk is. Heldere kaders vooraf werken volgens de AP beter dan correcties achteraf, en transparantie, verklaarbaarheid en het voorkomen van structurele bias worden daarbij belangrijker. Naast toezicht investeert de AP in kennisopbouw en in ondersteuning van organisaties en overheden. Later in juli berichtten we over publicaties van de AP voor generatieve AI en voor het verwerken van fraudesignalen.

Voor generatieve AI kwamen er een handreiking en een checklist

Op 13 juli 2026 publiceerde de AP een AVG-handreiking voor ontwikkelaars van generatieve AI en een hulpmiddel voor organisaties die generatieve AI willen gebruiken, zoals we meldden in AP publiceert handreiking en checklist voor generatieve AI en AVG. De handreiking geeft een 1e interpretatie van de AVG voor organisaties die generatieve AI-modellen ontwikkelen of verantwoordelijk zijn voor de ingebruikname ervan. Ze beschrijft onder welke voorwaarden persoonsgegevens verwerkt mogen worden, welke grondslagen kunnen gelden en welke waarborgen nodig zijn om de rechten van betrokkenen te beschermen. Ook het beheren, opschonen, verrijken en bewaren van data komt aan bod, net als indirecte dataverzameling en het trainen van modellen.

Wie generatieve AI aanschaft en gebruikt, heeft vooral iets aan het hulpmiddel. Dat is een checklist waarmee privacyspecialisten, projectleiders en andere verantwoordelijken stap voor stap beoordelen of hun organisatie generatieve AI wil, kan en mag gebruiken, welke AVG-verplichtingen gelden en welke technische en organisatorische maatregelen nodig zijn. De AP adviseert daarbij eerst te onderzoeken of generatieve AI ook zonder verwerking van persoonsgegevens kan worden ingezet.

Tegelijk publiceerde de AP het advies waarop het hulpmiddel is gebaseerd. Dat advies kwam voort uit een voorafgaande raadpleging over een voorgenomen verwerking van persoonsgegevens via Microsoft 365 Copilot. Voor beheerders en IT-partners die Copilot uitrollen, ligt de checklist daardoor dicht bij de eigen praktijk.

Bij fraudesignalen noemt de AP 11 basisvoorwaarden

Accountant.nl meldde op 20 juli 2026 dat de AP een advies heeft gepubliceerd over het verwerken van persoonsgegevens bij signalen en meldingen van mogelijke fraude, met 11 basisvoorwaarden. Het advies richt zich op overheidsorganisaties die uitkeringen, subsidies, kredieten of andere financiële voorzieningen verstrekken, en op toezichthouders. Zij ontvangen regelmatig ongevraagde signalen over mogelijke fraude. Verwerken ze daarbij persoonsgegevens, dan gelden de eisen uit de AVG.

Een deel van de voorwaarden noemt het bericht bij naam. Vooraf moet duidelijk zijn waarom een organisatie persoonsgegevens verwerkt, ze verwerkt niet meer persoonsgegevens dan noodzakelijk, en ze beoordeelt de betrouwbaarheid van signalen zorgvuldig. Ook bijzondere en strafrechtelijke persoonsgegevens, passende beveiligingsmaatregelen en de rechten van betrokkenen komen in het advies aan bod. Verwerkingen die al in wet- of regelgeving zijn geregeld, zoals onder de WGS en de Wbsrz, vallen erbuiten.

In de berichten van juli komen dezelfde vragen terug

Beide publicaties stellen de vraag hoeveel persoonsgegevens nodig zijn. Het fraudeadvies vraagt niet meer persoonsgegevens te verwerken dan noodzakelijk, en in de AI-checklist laat de AP eerst onderzoeken of het ook zonder persoonsgegevens kan. Waarborgen of maatregelen en de rechten van betrokkenen staan zowel in de handreiking als in het fraudeadvies. De AI-checklist is bedoeld voor organisaties die generatieve AI willen aanschaffen en gebruiken, en dat past bij de strategie waarin de AP vooraf betrokken wil zijn.

Het 3e thema van de strategie is digitale weerbaarheid, waarbij de AP zich onder meer richt op bewustzijn van cybersecurity en digitale afhankelijkheden. Volgens ICTRecht gaat het daarbij ook om de omgang met leveranciers, ketens en data. Bij de voorbereiding van een Copilot-uitrol kan de checklist van de AP als volgorde dienen.

• Onderzoeken of generatieve AI ook zonder verwerking van persoonsgegevens kan worden ingezet
• Beoordelen of de organisatie generatieve AI wil, kan en mag gebruiken
• Vaststellen welke AVG-verplichtingen gelden en welke grondslag de verwerking heeft
• Bepalen welke technische en organisatorische maatregelen nodig zijn
• De checklist stap voor stap laten doorlopen door de privacyspecialist, de projectleider en andere verantwoordelijken

Een organisatie die Copilot wil gebruiken, kan de checklist van 13 juli met haar privacyspecialist doorlopen voordat de 1e gebruikers ermee werken. De beoordeling ligt er dan voordat de verwerking begint, zoals de AP het in haar strategie voor AI beschrijft.