Artikel 88c AVG: een nieuwe route voor AI-verwerking

Een nieuwe AVG-route voor AI? Wat organisaties moeten weten over het voorgestelde artikel 88c AVG 

Bedrijven gebruiken steeds vaker persoonsgegevens om AI-systemen te ontwikkelen, te verbeteren en te gebruiken. Dit roept een belangrijke juridische vraag op: welke grondslag onder de AVG stelt organisaties in staat om persoonsgegevens voor deze doeleinden te gebruiken? 

De Europese Commissie heeft met de voorgestelde Digital Omnibus, gepubliceerd op 19 november 2025, meer duidelijkheid willen bieden. Het voorstel introduceert een nieuw artikel 88c AVG. Deze bepaling zou expliciet erkennen dat organisaties onder bepaalde voorwaarden een beroep kunnen doen op het gerechtvaardigd belang bij de verwerking van persoonsgegevens voor de ontwikkeling en het gebruik van AI-systemen en AI-modellen. Tegelijkertijd introduceert de bepaling aanvullende waarborgen die specifiek gelden voor AI-gerelateerde verwerkingen. 

Deze blog maakt deel uit van een reeks over het Digital Omnibus-pakket van de Europese Commissie. In een eerdere blog bespraken wij de voorgestelde wijzigingen in het juridische kader voor cookies. 

Voorgesteld artikel 88c AVG: gerechtvaardigd belang voor AI 

De Digital Omnibus heeft als doel onderdelen van het Europese digitale regelgevingskader te vereenvoudigen, administratieve lasten te verminderen en bedrijven meer rechtszekerheid te bieden. Het voorgestelde artikel 88c AVG maakt deel uit van die doelstelling. De bepaling erkent expliciet dat het gerechtvaardigd belang als grondslag kan worden gebruikt voor bepaalde AI-gerelateerde verwerkingen van persoonsgegevens. 

Dit is relevant omdat het verkrijgen van geldige toestemming bij de ontwikkeling van AI-systemen lastig kan zijn. AI-systemen worden vaak getraind met grote en complexe datasets die persoonsgegevens van veel verschillende personen kunnen bevatten. In de praktijk hebben organisaties niet altijd direct contact met alle personen van wie persoonsgegevens in dergelijke datasets zijn opgenomen, waardoor het moeilijk kan zijn om van ieder van hen geldige toestemming te verkrijgen. 

Het gerechtvaardigd belang kan een alternatieve grondslag bieden. Wanneer een organisatie zich beroept op het gerechtvaardigd belang, moet zij aantonen dat zij een duidelijk en specifiek gerechtvaardigd doel heeft voor het gebruik van persoonsgegevens, dat de verwerking noodzakelijk is om dat doel te bereiken en dat hetzelfde resultaat redelijkerwijs niet op een minder ingrijpende manier kan worden bereikt. Daarnaast moet de organisatie waarborgen dat haar belangen niet zwaarder wegen dan de rechten en belangen van de betrokken personen. Bij deze belangenafweging moet onder meer rekening worden gehouden met factoren zoals of betrokkenen redelijkerwijs kunnen verwachten dat hun persoonsgegevens op deze manier worden gebruikt, het type gegevens dat wordt verwerkt, de omvang van de verwerking, de mogelijke gevolgen voor betrokkenen en eventuele waarborgen die zijn getroffen om risico's te beperken. Deze beoordeling wordt doorgaans vastgelegd in een Legitimate Interest Assessment, of LIA. 

Het voorgestelde artikel 88c AVG zou meer duidelijkheid bieden door expliciet te bevestigen dat het gerechtvaardigd belang ook kan worden gebruikt voor bepaalde AI-gerelateerde verwerkingsactiviteiten. Dat betekent echter niet dat persoonsgegevens automatisch mogen worden gebruikt zodra AI in beeld komt. Organisaties zullen nog steeds per individueel geval moeten beoordelen of het gebruik van persoonsgegevens gerechtvaardigd is. 

Daarnaast verplicht het voorstel organisaties om passende organisatorische en technische maatregelen te nemen ter bescherming van betrokkenen. Het voorstel noemt daarbij verschillende AI-specifieke waarborgen. Organisaties zouden: 

• de hoeveelheid persoonsgegevens die wordt gebruikt bij de selectie van databronnen en bij het trainen en testen van AI-systemen of AI-modellen moeten beperken; 

• persoonsgegevens die in een AI-systeem of AI-model achterblijven moeten beschermen tegen openbaarmaking en zorgen voor meer transparantie richting betrokkenen; en 
• betrokkenen een onvoorwaardelijk recht moeten geven om bezwaar te maken tegen de verwerking van hun persoonsgegevens. 

EDPB en EDPS: behoefte aan verduidelijking, maar geen bredere AI-uitzondering 

In Joint Opinion 2/2026 erkennen de European Data Protection Board (EDPB) en de European Data Protection Supervisor (EDPS) dat het gerechtvaardigd belang al een rechtsgrond kan bieden voor bepaalde AI-gerelateerde verwerkingen. Daarom plaatsen zij vraagtekens bij de noodzaak van een afzonderlijke bepaling. 

Tegelijkertijd waarschuwen de toezichthouders dat artikel 88c AVG niet zo mag worden uitgelegd dat organisaties meer ruimte krijgen om persoonsgegevens te gebruiken enkel omdat de verwerking AI betreft. De bestaande belangenafweging onder de AVG blijft van toepassing. Organisaties zullen daarom nog steeds moeten aantonen dat de verwerking een gerechtvaardigd belang dient, noodzakelijk is en dat hun belangen niet zwaarder wegen dan de rechten en belangen van betrokkenen. 

De EDPB en EDPS verwelkomen de voorgestelde AI-specifieke waarborgen, maar bevelen aan duidelijk te maken dat deze waarborgen een aanvulling vormen op, en geen vervanging zijn van, de bestaande vereisten van artikel 6, lid 1, onder f, AVG. Ook steunen zij strengere transparantieverplichtingen en het onvoorwaardelijke recht van betrokkenen om bezwaar te maken. 

Wat artikel 88c AVG betekent voor AI-governance en compliance en hoe organisaties zich kunnen voorbereiden 

Organisaties hoeven niet te wachten tot artikel 88c AVG wordt aangenomen om hun AI-projecten te evalueren. Hoewel het voorstel de nalevingsverplichtingen waarschijnlijk niet zal verminderen, onderstreept het wel het belang van een goede governance en documentatie van AI-projecten, met specifieke aandacht voor de aanvullende waarborgen die gelden voor AI-gerelateerde verwerkingen. Organisaties doen er daarom goed aan om ervoor te zorgen dat hun LIA's ook aandacht besteden aan de hierboven beschreven AI-specifieke waarborgen. 

Hoewel artikel 88c AVG momenteel nog slechts een wetsvoorstel is, vloeien veel van deze vereisten al voort uit de huidige AVG. Organisaties kunnen daarom nu al hun bestaande LIA's voor AI-projecten beoordelen en waar nodig verbeteren. 

Daarnaast kunnen organisaties hun compliance nu al versterken door: 

• AI-projecten waarbij persoonsgegevens worden verwerkt in kaart te brengen; 

• databronnen te beoordelen en te documenteren; 

• juridische, privacy- en technische teams vroegtijdig te betrekken bij AI-ontwikkeling; 

• processen voor dataminimalisatie, filtering en monitoring te versterken; en 

• duidelijke procedures vast te stellen voor de behandeling van bezwaren en andere AVG-rechten.  

Organisaties die hun bestaande LIA's beoordelen en hun AI-governance nu versterken, zullen beter voorbereid zijn wanneer het voorstel wordt aangenomen. 

Bij Considerati volgen wij het wetgevingsproces op de voet en blijven wij ontwikkelingen rondom het Digital Omnibus-pakket delen. Wilt u bespreken welke gevolgen de voorgestelde wijzigingen kunnen hebben voor de ontwikkeling en inzet van AI binnen uw organisatie, of wat de bredere implicaties van de Digital Omnibus zijn? Dan plannen wij graag een vrijblijvend kennismakingsgesprek.