Een uitgelekt document van 3 september laat zien hoe ver een deel van de EU-lidstaten de AVG wil oprekken zodra het over AI gaat. De Oostenrijkse privacyorganisatie noyb publiceerde op 21 september compromistekst 12535/26 van het Ierse voorzitterschap over de Digital Omnibus. Het stuk draagt de markering LIMITE en was dus niet bedoeld voor publiek.
Wat regelt artikel 88bis over AI en persoonsgegevens
De kern zit in artikel 88bis, in het Commissievoorstel van november 2025 nog artikel 88c. Persoonsgegevens mogen volgens de tekst worden verwerkt voor de ontwikkeling en werking van AI-systemen en AI-modellen op basis van gerechtvaardigd belang. De extra waarborgen die de Commissie eraan koppelde, waaronder een onvoorwaardelijk recht van bezwaar, zijn uit het artikel verdwenen. Een deel van die taal is verhuisd naar een overweging, en die is niet bindend. Privacyactivist Max Schrems spreekt van een digitale onteigening van Europeanen. Formeel blijft de belangenafweging van artikel 6 lid 1 sub f overeind, maar in de praktijk zien we die afweging te vaak verworden tot een invuloefening. Duitsland wil nog verder en stelt voor dat bij AI-training een gerechtvaardigd belang word verondersteld.
Wat verandert er voor datalekmeldingen en incidentrapportage
Voor IT-afdelingen staat er meer in het document. Een datalek hoeft alleen nog aan de toezichthouder gemeld te worden als het waarschijnlijk een hoog risico oplevert, dezelfde drempel die nu geldt voor het informeren van betrokkenen. Documenteren blijft verplicht. Lidstaten moeten een nationaal meldpunt inrichten waar organisaties incidenten onder NIS2, AVG, DORA, eIDAS en de CER-richtlijn via één kanaal kwijt kunnen. Dat is een wel verstandig plan. Wie ooit midden in een incident drie meldformulieren tegelijk heeft ingevuld, weet waarom. Daarnaast wordt de reikwijdte van het begrip persoonsgegeven bij gepseudonimiseerde data kleiner en mogen organisaties inzageverzoeken weigeren als ze misbruik kunnen aantonen.
Wat dit inhoud voor ons
Nog helemaal niets, dit is nog lang geen wet maar een conceptvoorstel. De Raad moet zijn standpunt nog vastellen, daarna volgt de triloog met het Europees Parlement, waar de meningen sterk verdeeld zijn. Afdoen als Brussels gerommel zou ik het toch niet. Organisaties die al jaren klant- en personeelsdata bij Amerikaanse clouddiensten onderbrengen, doen er goed aan zich af te vragen wat verwerking “in de context van AI” straks betekend voor die gegevens. De huidige AVG blijft volledig van kracht. Bouw je beleid op de regels van nu, niet op een concepttekst die nog alle kanten op kan.
