AI is in een stroomversnelling geraakt. Van diagnostiek in de zorg tot voorspellend onderhoud in de industrie, van gepersonaliseerd onderwijs tot fraudedetectie bij financiële dienstverleners: organisaties in alle sectoren zetten AI in om sneller en slimmer te werken. Tegelijkertijd komen drie juridische kaders samen in één actuele vraag: wie heeft de regie over de data die je AI-toepassingen voedt?  

In dit artikel lopen we drie belangrijke wetten langs en krijg je meer inzicht in de huidige wetgevingen rondom AI. In het vervolgartikel Van AI-risico naar AI-strategie gaan we dieper in op hoe je de wetten concreet toepast in een organisatie, met een classificatieframework en een stappenplan. 

De belofte en het risico van AI 

Een ziekenhuis dat met beeldherkenning sneller diagnoses stelt. Een gemeente die met tekstanalyse burgerverzoeken afhandelt. Een financiële dienstverlener die transacties met AI op fraude screent. Het werkt, en het levert wat op. 

Gebruik je een AI-dienst van een Amerikaanse aanbieder? Dan kunnen de aanbieder en de verwerkte data onder het bereik van Amerikaanse wetgeving vallen, ook als die data in Europa wordt opgeslagen. Dat kan gaan om patiëntgegevens, leerlingdossiers, transactiedata of vertrouwelijke beleidsstukken. Geen reden om AI links te laten liggen, wel reden om te weten waar je aan begint. 

De CLOUD Act: een risico dat je niet wegcontracteert 

De Amerikaanse CLOUD Act (Clarifying Lawful Overseas Use of Data Act) uit 2018 geeft Amerikaanse autoriteiten de bevoegdheid om elektronische gegevens op te vragen bij Amerikaanse aanbieders, zelfs als die data fysiek in een Nederlands of Europees datacenter staat [2]. Voor juridische kantoren die AI gebruiken voor contractanalyse, accountants die cliëntgegevens laten samenvatten en zorginstellingen die AI inzetten bij patiëntdossiers, raakt dit direct aan de regie over gevoelige informatie. 

Een verwerkersovereenkomst of privacyverklaring neemt dit risico niet weg. Zolang de aanbieder onder Amerikaans recht valt, blijft de mogelijkheid bestaan dat data wordt opgevraagd. Wat wel werkt: bewust kiezen waar je data wordt verwerkt, door wie, en via welke infrastructuur die reist. 

De AI Act: transparantie als startpunt 

Sinds 2 augustus 2026 zijn de transparantieverplichtingen uit artikel 50 van de Europese AI Act van kracht [1]. Chatbots moeten zich kenbaar maken als AI en bepaalde AI-gegenereerde of gemanipuleerde content moet duidelijk worden gelabeld. Boetes voor het niet nakomen van deze transparantieregels kunnen oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet [1]. 

Deze plicht regelt of gebruikers weten dat ze met AI te maken hebben. Ze regelt niet waar de onderliggende data terechtkomt. Ook als de transparantie op orde is, moet je dus nog steeds naar de infrastructuur eronder kijken. 

De Cyberbeveiligingswet: digitale weerbaarheid als wettelijke plicht 

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse implementatie van de Europese NIS2-richtlijn [3]. De wet geldt voor organisaties in 18 sectoren, waaronder energie, gezondheidszorg, overheid, vervoer en digitale infrastructuur. Wie eronder valt, moet passende maatregelen nemen om risico's te beheersen en incidenten gefaseerd melden, te beginnen met een waarschuwing binnen 24 uur [4]. Het bestuur is hierbij eindverantwoordelijk [5]. 

Voor AI-toepassingen heeft dit directe gevolgen. Verwerk je gevoelige data via AI-tools op infrastructuur waarover je onvoldoende controle hebt, dan loop je het risico dat je niet aan de zorgplicht kunt voldoen. Dat begint bij weten waar je data staat, wie er toegang toe heeft en hoe die data reist. 

Drie wetten, één gemeenschappelijke vraag 

De AI Act, de CLOUD Act en de Cyberbeveiligingswet benaderen data-risico's ieder vanuit een andere hoek: transparantie, jurisdictie en weerbaarheid. Ze komen uit op dezelfde vraag: weet je waar je data staat, wie erbij kan, en kun je dat aantonen? 

Kun je die vraag nog niet volledig beantwoorden? Dat is niet vreemd: de adoptie van AI gaat vaak sneller dan het gesprek over de infrastructuur eronder. De drie stappen hierboven zijn een begin. Voor de structurele aanpak, inclusief een classificatieframework en een concreet stappenplan, lees je verder in Van AI-risico naar AI-strategie. 

Aanvullende referenties

[1] Europese Commissie. (2026, 2 augustus). Safer and more transparent AI. 

[2] U.S. Department of Justice. (z.d.). CLOUD Act Resources. 

[3] Rijksoverheid. (2026, 15 augustus). Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht. 

[4] Nationaal Cyber Security Centrum. (z.d.). Meld incidenten onder de Cyberbeveiligingswet (meldplicht). 

[5] Nationaal Coördinator Terrorismebestrijding en Veiligheid. (z.d.). Bestuurlijke aansprakelijkheid en trainingsplicht.