Kabinet steunt Europees compromis dat AI-training op persoonsgegevens zonder toestemming blijft toestaan

Kabinet gaat mee in het compromis van de lidstaten

Het kabinet kan zich vinden in het compromis dat de EU-lidstaten hebben bereikt over de Digitale Omnibus. Dat is het Europese pakket waarmee de Algemene verordening gegevensbescherming, de cookieregels en de meldplicht voor cyberincidenten moeten worden vereenvoudigd. De staatssecretarissen Aerdts en Van Bruggen, van respectievelijk Economische Zaken en Justitie en Veiligheid, lieten begin deze week weten dat de uitkomst voldoende in lijn is met de Nederlandse inzet en dat de juridische bescherming volgens hen overeind blijft.

Dit pakket is niet hetzelfde als de omnibus over kunstmatige intelligentie. Dat onderdeel is al afgerond en trad op 27 juli 2026 in werking als verordening 2026/1744, waarmee de zwaarste verplichtingen voor hoog-risico-AI opschoven naar december 2027 en augustus 2028. Wat nu op tafel ligt, gaat over de gegevensregels zelf.

Het artikel dat Nederland eruit wilde hebben

Het omstreden onderdeel is het artikel dat in de Raadstekst wordt aangeduid als 88bis. Daarin staat dat organisaties persoonsgegevens mogen gebruiken voor het ontwikkelen en inzetten van AI op grond van een gerechtvaardigd belang. Toestemming van de mensen om wie het gaat is dan niet nodig. Dat raakt ook gegevens die jaren eerder voor een heel ander doel zijn verzameld, en gegevens van mensen die nooit klant zijn geweest.

Nederland wilde dat artikel helemaal uit het voorstel halen, maar vond daarvoor niet genoeg medestanders. In de onderhandelingen is het wel aangescherpt. De ontwikkeling van AI geldt niet op zichzelf als gerechtvaardigd belang: per geval moet een afweging worden gemaakt, waarvoor een strengere driestappentoets geldt. Een andere Nederlandse wens haalde de wettekst niet. Het idee dat lidstaten zelf toestemming mogen blijven eisen, staat alleen in de toelichtende overwegingen en niet in het artikel.

Wat Nederland wel binnenhaalde

Op een paar punten ging het de andere kant op. De bredere definitie van persoonsgegevens is uit de tekst gehaald, en de Europese Commissie krijgt niet de bevoegdheid om zelf te bepalen wanneer iets een persoonsgegeven is. De bescherming tegen geautomatiseerde besluitvorming blijft staan. Ook is de beperking van verzoeken om overheidsinformatie teruggebracht tot gevallen waarin sprake is van misbruik.

Daar staat een versoepeling tegenover die verder reikt dan hij op het eerste gezicht lijkt. Het onbedoeld verwerken van bijzondere gegevens, zoals die over gezondheid, religie of seksuele gerichtheid, wordt onder voorwaarden toegestaan.

Cookies met een knop en vier maanden rust

Voor wie dagelijks het web gebruikt, zit de meest zichtbare verandering in de cookieregels. Websites moeten het mogelijk maken om met een enkele klik te accepteren of te weigeren. Wie weigert, mag vier maanden niet opnieuw dezelfde vraag krijgen. Toestemming blijft de regel, maar de lijst met uitzonderingen voor verwerkingen met een laag risico wordt groter.

Bij de meldplicht voor cyberincidenten liep het anders uit dan Den Haag had gehoopt. Er komt geen Europees meldpunt waar organisaties in een keer terecht kunnen. Melden blijft nationaal geregeld, wat voor bedrijven die in meerdere lidstaten actief zijn betekent dat zij een incident op meerdere plekken moeten melden.

Pseudonieme gegevens vallen deels buiten de boot

Een technisch ogende wijziging met grote gevolgen betreft pseudonieme gegevens. IP-adressen, gebruikersnummers en trackingcodes zouden niet langer automatisch als persoonsgegeven gelden. Dat is precies het soort gegevens waarop de advertentiemarkt en veel analysesoftware zijn gebouwd. Wie die categorie buiten de verordening plaatst, verkleint de kring van gegevens waarvoor de volle bescherming geldt, zonder dat er een regel over AI-training aan te pas komt.

Scherpe kritiek van privacyorganisaties

De privacyorganisatie noyb en haar oprichter Max Schrems noemden het besluit van de Raad digitale onteigening van Europese burgers. Volgens Schrems helpt de maatregel vooral Amerikaanse en Chinese techbedrijven, ten koste van de bescherming die Europese burgers nu hebben. Mensenrechtenorganisaties waarschuwden bij de oorspronkelijke publicatie van het pakket al voor het afbreken van digitale rechten en voor het risico op discriminatie wanneer de regels rond bijzondere gegevens worden opgerekt.

Wat dit voor Nederland betekent

Voor Nederlandse organisaties wordt de ruimte groter om bestaande gegevensverzamelingen voor AI te gebruiken, mits zij per geval een afweging maken en die kunnen onderbouwen. Dat is geen vrijbrief, maar wel een andere startpositie dan het vragen van toestemming aan iedereen in een bestand. Voor burgers verschuift het omgekeerde: wie niet wil dat zijn gegevens in een model belanden, moet zelf in actie komen in plaats van eerst iets te worden gevraagd.

De vraag die daaronder ligt, is wie die afweging controleert. Toezichthouders moeten per geval beoordelen of een beroep op gerechtvaardigd belang terecht is, en dat is aanzienlijk arbeidsintensiever dan nagaan of toestemming is gevraagd. Zonder extra capaciteit bestaat het risico dat de strengere driestappentoets op papier strenger is dan in de praktijk.

Wat er nog moet gebeuren

De tekst is nog geen wet. Het Europees Parlement moet zijn eigen positie bepalen en verwacht dat pas in maart 2027 te doen. Daarna volgt de triloog met de Raad en de Commissie, waarin de teksten naast elkaar worden gelegd. De fracties links van het midden hebben zich tot nu toe verzet tegen het schrappen van bestaande waarborgen, dus de uitkomst van dat overleg staat niet vast.

Tot die tijd geldt de AVG onverkort. Dat maakt het voor organisaties die nu al met AI aan de slag willen een lastige tussenfase, omdat de regel waarop zij zich straks mogelijk kunnen beroepen nog niet bestaat.