Artikel 88c en AI-trainingsdata: wat het EU-voorstel werkelijk zou veranderen

De discussie over de Europese Digital Omnibus wordt vaak samengevat als: bedrijven mogen straks AI trainen met persoonsgegevens zonder toestemming. Dat is te stellig.

Het relevante voorstel is AVG-artikel 88c. Dit artikel zou gerechtvaardigd belang uit artikel 6, lid 1, onder f, AVG expliciet erkennen als een mogelijke grondslag voor de verwerking van persoonsgegevens die functioneel noodzakelijk is voor het rechtmatig ontwerpen, ontwikkelen of gebruiken van een AI-systeem of -model. Daarmee verdwijnen de AVG, de vereisten rond toestemming en de regels voor webscraping niet.13

Cruciaal is het onderscheid tussen twee dossiers. Artikel 88c hoort bij het nog onderhandelde Digital Omnibus-datapakket. Het is dus geen geldend recht en de uiteindelijke tekst staat niet vast. De al aangenomen Digital Omnibus on AI is een ander dossier.

Wat artikel 88c zou kunnen veranderen

Volgens de voorgestelde formulering zou een verwerkingsverantwoordelijke of derde zich mogelijk op gerechtvaardigd belang kunnen beroepen voor persoonsgegevensverwerking gedurende de levenscyclus van een AI-systeem of -model, mits die verwerking functioneel noodzakelijk is voor het rechtmatige ontwerp, de ontwikkeling of het gebruik ervan.3

Dat zou een route die onder de AVG in sommige gevallen al mogelijk is, nadrukkelijker maken voor AI. De European Data Protection Board (EDPB) – de Europese koepel van privacytoezichthouders – concludeerde eerder al dat gerechtvaardigd belang in bepaalde gevallen een geschikte grondslag kan zijn voor het ontwikkelen en inzetten van AI-modellen of -systemen.45

Maar dat betekent niet dat een bedrijf zelf kan verklaren dat zijn belang altijd zwaarder weegt. De gewone toets voor gerechtvaardigd belang blijft gelden:

• er moet een reëel gerechtvaardigd belang zijn;
• de verwerking moet noodzakelijk zijn voor dat belang; en
• dat belang moet worden afgewogen tegen de rechten en vrijheden van de betrokken personen.15

Ook andere Europese en nationale regels die toestemming vereisen, blijven van kracht. Artikel 88c zou dus geen algemene toestemming zijn om alle openbare of besloten persoonsgegevens te verzamelen voor modeltraining.1

Waarborgen bepalen de praktische betekenis

De kern van het debat is niet alleen óf gerechtvaardigd belang bij AI kan worden gebruikt, maar vooral welke bescherming daarbij hoort.

In de voorstellen en discussies rond artikel 88c gaat het onder meer om dataminimalisatie bij bronselectie en training, technische en organisatorische maatregelen, betekenisvolle transparantie en systemen die machineleesbare bezwaren of opt-outs herkennen. Ook wordt uitgegaan van een onvoorwaardelijk recht van bezwaar tegen de betreffende AI-verwerking.13

Dat zijn geen bijzaken. Dataminimalisatie begrenst de redenering dat een ontwikkelaar alles mag binnenhalen omdat het misschien later nuttig blijkt. Transparantie moet mensen duidelijk maken wat er met hun gegevens gebeurt. En een recht van bezwaar heeft weinig waarde als het achter een onvindbare instelling zit of technisch niet uitvoerbaar is.

Gevoelige persoonsgegevens blijven geen vrije buit

Bij de bespreking in de Raad van de EU is een mogelijke uitzondering voor bijzondere persoonsgegevens nadrukkelijk beperkt tot incidentele en resterende verwerking. Het gaat dan om situaties waarin de verwerkingsverantwoordelijke niet van plan was gevoelige gegevens te verwerken, maar dergelijke gegevens onvermijdelijk in beperkte mate in de hoofdverwerking voorkomen. Dat is iets anders dan bewust gevoelige persoonsgegevens verzamelen als trainingsmateriaal.2

Waarom EDPB en EDPS kritisch zijn

De EDPB en de Europese Toezichthouder voor gegevensbescherming (EDPS) betwisten niet dat gerechtvaardigd belang soms een grondslag voor AI-gerelateerde verwerking kan zijn. Hun hoofdbezwaar is dat een speciaal artikel 88c daarvoor niet nodig is: de bestaande AVG-analyse laat die mogelijkheid in passende gevallen al toe.45

De toezichthouders vrezen dat een AI-specifieke bepaling meer kan doen dan alleen verduidelijken en zo onzekerheid kan veroorzaken over bestaande AVG-bescherming. Hun advies is niet bindend, maar weegt wel mee in het wetgevingsdebat.5

Status: omstreden en nog onderhandelbaar

Uit beschikbaar wetgevingsmateriaal blijkt dat de Raad van de EU verdeeld is. Een geplande stemming in COREPER – het orgaan waarin lidstaten onderhandelingen voorbereiden – over een onderhandelingsmandaat werd geannuleerd omdat over open punten geen akkoord was bereikt. Het werk ging daarna verder onder het Ierse voorzitterschap van de Raad.

Het programma van het Ierse voorzitterschap noemt als doel om uiterlijk eind 2026 overeenstemming met het Europees Parlement te bereiken over het Digital Omnibus-pakket. De beschikbare officiële stukken bewijzen echter niet onafhankelijk dat artikel 88c definitief is teruggezet in een uiteindelijke Raadspositie.

De veiligste conclusie is daarom: artikel 88c is politiek omstreden en nog onderhandelbaar. Bedrijven kunnen het niet behandelen als een reeds geldende grondslag die de bestaande AVG-vereisten vervangt.

Verwar dit niet met de al aangenomen AI-Omnibus

De Digital Omnibus on AI is wel al aangenomen: Verordening (EU) 2026/1744. Deze maatregel wijzigt de invoeringsplanning van delen van de AI Act.

Voor zelfstandige hoogrisico-AI-systemen uit bijlage III gaan de verplichtingen gelden vanaf 2 december 2027. Voor hoogrisicosystemen die onderdeel zijn van gereguleerde producten geldt een later tijdpad.1920

Zodra de regels voor bijlage III van toepassing zijn, omvatten zij onder meer risicoanalyse en -beperking, datasets van hoge kwaliteit om discriminerende uitkomsten te beperken, logging en traceerbaarheid, documentatie, informatie voor gebruikers die het systeem inzetten, menselijk toezicht, robuustheid en cybersecurity.20

Die AI Act-verplichtingen staan los van de AVG-vraag op welke grond persoonsgegevens voor AI-training mogen worden verwerkt. Het uitstellen van hoogrisicoverplichtingen voert artikel 88c dus niet in.

Wat betekent dit voor bedrijven en burgers?

Voor AI-ontwikkelaars zou artikel 88c meer tekstuele duidelijkheid kunnen bieden, maar geen snelle compliance-route. Een verdedigbare aanpak blijft vragen om een gedocumenteerde noodzaak- en belangenafweging, dataminimalisatie, heldere informatie en werkende processen voor bezwaren.

Voor mensen van wie gegevens mogelijk worden gebruikt, draait het om de vraag of de uiteindelijke wet echte grenzen bewaart: is het datagebruik werkelijk noodzakelijk, blijven gevoelige gegevens strikt begrensd en werkt bezwaar technisch in de praktijk?

Europa laat preventieve AI-regulering daarmee niet los. De aangenomen AI-Omnibus stelt bepaalde hoogrisicoverplichtingen uit, terwijl het afzonderlijke datapakket zoekt naar een duidelijkere route voor specifieke AI-gerelateerde gegevensverwerking. De uiteindelijke balans hangt af van de onderhandelingen tussen Raad en Europees Parlement én van de interpretatie en handhaving van een eventueel aangenomen tekst.19