GDPR och big data: lagliga grunder för AI-utbildning i Nederländerna

Du kan använda stordata och träna AI-modeller enligt den allmänna dataskyddsförordningen (GDPR), men bara om du anger en laglig grund enligt artikel 6 i GDPR innan du börjar och behandlingen är nödvändig för det ändamålet. Återanvändning av befintliga kunddata för utbildning är en vidare behandling som måste klara kompatibilitetstestet i artikel 6(4) i GDPR. Den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens, AP) övervakar detta och kan ålägga böter på upp till 20 miljoner euro eller 4 % av den globala årsomsättningen.

När är en stor datamängd personuppgift?

Nästan alltid. Enligt artikel 4(1) i GDPR är uppgifter personliga om de avser en person som kan identifieras, med beaktande av alla medel som rimligen kan användas av dig eller någon annan.

Enhetsidentifierare, platsspår, transaktionsregister och klickströmmar är därför vanligtvis personuppgifter, även utan namn. Pseudonymiserade uppgifter, där identifierare ersätts men en nyckel fortfarande finns, förblir personuppgifter. Endast anonyma uppgifter, där återidentifiering inte längre är rimligen möjlig för någon, faller utanför GDPR.

Ribban för anonymisering är hög: hashing, aggregering eller borttagning av direkta identifierare ger ofta tillräckligt med tid för att omidentifiera personer. Behandla en datamängd som personuppgift om inte en dokumenterad omidentifieringsanalys visar något annat. Europeiska dataskyddsstyrelsen (EDPB) har också konstaterat att en modell som tränats på personuppgifter inte automatiskt kan betraktas som anonym, eftersom personuppgifter kan utvinnas från den.

Vilken rättslig grund kan man använda för AI-utbildning?

Artikel 6(1) i GDPR listar sex grunder; för storskalig analys är endast tre realistiska. I de flesta kommersiella sammanhang kommer det att vara legitima intressen, styrkta av en skriftlig bedömning.

Samtycket måste ges frivilligt, vara specifikt, informerat och otvetydigt, och lika lätt att återkalla som att ge (artikel 7 i GDPR). Det är svårt att organisera en utbildningsuppsättning, eftersom man då behöver ett sätt att hantera återkallelse efter att en modell har tränats.

Nödvändigheten för att fullgöra ett avtal är snäv. Testet är objektiv nödvändighet för den tjänst som personen begär; EU-domstolen har avvisat försök att utvidga denna grund till beteendemässig reklam och personalisering.

Berättigade intressen (artikel 6(1)(f) i GDPR) kräver tre dokumenterade steg: ett verkligt och lagligt intresse, nödvändighet eftersom det inte finns några mindre ingripande medel, och en avvägning mot de berörda personernas rättigheter och rimliga förväntningar. EU-domstolen har bekräftat att ett kommersiellt intresse kan vara ett berättigat intresse, men endast om nödvändighets- och avvägningskriterierna faktiskt är uppfyllda.

Vad sägs om specialkategorier och härledda data?

Uppgifter om hälsa, etniskt ursprung, politiska åsikter, religion, fackföreningstillhörighet, sexliv eller sexuell läggning, samt biometriska eller genetiska uppgifter som används för identifiering, får endast behandlas enligt ett undantag i artikel 9 GDPR. I en kommersiell miljö innebär det vanligtvis uttryckligt samtycke.

Data i särskilda kategorier behöver inte samlas in avsiktligt. Om en skyddad egenskap kan härledas från inköp, platser eller fritextfält gäller den strängare ordningen. Identifiera egenskaper som fungerar som ombud för sådana egenskaper under utvecklingen.

Kan man återanvända befintlig data för att träna en modell?

Endast om det nya ändamålet är förenligt med det ursprungliga. Enligt artikel 5(1)(b) i GDPR får uppgifter inte behandlas vidare på ett sätt som är oförenligt med de ändamål för vilka de samlades in.

Testet i artikel 6(4) i GDPR tittar på sambandet mellan syftena, sammanhanget och de berörda personernas rimliga förväntningar, uppgifternas art, möjliga konsekvenser och skyddsåtgärder som pseudonymisering eller kryptering. Medicinska eller finansiella register kommer ofta att misslyckas när operativa loggar klarar kraven. Om testet inte är uppfyllt behöver du en ny rättslig grund och vanligtvis ny information till de berörda personerna.

Vidare behandling för vetenskaplig forskning eller statistik behandlas som förenlig om skyddsåtgärderna i artikel 89 i GDPR är på plats. Kommersiell produktutveckling som presenteras som forskning kvalificerar inte. Beskriv ändamålen ärligt vid insamlingen; vår guide till integritetspolicy i Nederländerna förklarar hur.

Hur tillämpas minimering, retention och noggrannhet?

Enligt artikel 5(1)(c) i GDPR måste data begränsas till vad som är nödvändigt. Du kan förena detta med modellutveckling genom att dokumentera vilka fält som behövs, vad du testade utan dem och varför du tog bort resten.

Lagringsbegränsning (artikel 5(1)(e) i GDPR) gäller för träningsdata, funktionslager, modellkontrollpunkter och inferensloggar, var och en med sin egen lagringsperiod. Inferensloggar glöms ofta bort och kan innehålla fler personuppgifter än träningsuppsättningen.

Noggrannhet (artikel 5(1)(d) i GDPR) omfattar även modellutdata. En slutsats att någon är en dålig kreditrisk eller sannolik för bedragare är personuppgifter, kan vara felaktiga och omfattas av rätten till rättelse i artikel 16 i GDPR. Bygg system där sådan utdata kan korrigeras.

När är en konsekvensbedömning för dataskydd obligatorisk?

Enligt artikel 35 i GDPR är en konsekvensbedömning gällande dataskydd (DPIA) obligatorisk när behandling sannolikt medför en hög risk. Detta inkluderar profilering som viktiga beslut baseras på och storskalig behandling av särskilda kategoriuppgifter, vilket omfattar de flesta allvarliga stordataprojekt.

AP har publicerat en lista över behandlingar för vilka en DPIA alltid krävs i Nederländerna, inklusive storskalig profilering och systematisk medarbetarövervakning. Kontrollera listan i början av varje projekt.

Genomför DPIA innan bearbetningen påbörjas, vilket i ett AI-projekt innebär innan träningsdata har sammanställts. Om en hög kvarvarande risk kvarstår måste du först konsultera AP (artikel 36 i GDPR). En användbar DPIA för en algoritm registrerar datakällor och rättsliga grunder, vad modellen bestämmer på egen hand, hur utdata förklaras, hur bias testades och vad som händer när modellen är fel.

Hur verkställer Autoriteit Persoonsgegevens?

AP verkställer GDPR och den nederländska implementeringslagen av GDPR (Uitvoeringswet AVG). Den kan utfärda varningar och tillrättavisningar, förelägganden som medför vite, handläggningsförbud och administrativa böter.

Enligt artikel 83 i GDPR uppgår böterna till 10 miljoner euro eller 2 % av den globala omsättningen för den lägre nivån, och 20 miljoner euro eller 4 % för brott mot principerna, de lagliga grunderna, den registrerades rättigheter och överföringsreglerna, beroende på vilket som är högst. AP ägnar särskild uppmärksamhet åt transparens och har en särskild enhet för algoritmövervakning.

Ett personuppgiftsintrång måste rapporteras till AP utan onödigt dröjsmål och där det är möjligt inom 72 timmar (artikel 33 i GDPR), och till berörda personer om risken är hög (artikel 34 i GDPR). Detta är separat från rapportering av incidenter enligt den nederländska cybersäkerhetslagen (Cyberbeveiligingswet), som trädde i kraft den 15 augusti 2026; se vår översikt över NIS2 och den nederländska cybersäkerhetslagen.

Ersätter AI-lagen GDPR?

Nej. EU:s AI-lag reglerar AI-system efter riskklass men ger ingen rättslig grund för behandling av personuppgifter. När ett AI-system behandlar personuppgifter gäller båda systemen parallellt.

Förbuden mot oacceptabla metoder, reglerna för generella AI-modeller och transparensskyldigheterna gäller redan. Skyldigheterna för högrisksystem sköts upp genom AI-omnibusförordningen (EU) 2026/1744), som trädde i kraft den 27 juli 2026. Ansvar för skador orsakade av AI regleras fortfarande av nederländsk avtals- och skadeståndsrätt samt av produktansvarsregler. Se våra guider till EU:s AI-lag och högrisk-AI-system.

Vad är risken med kollektiva krav?

Enligt artikel 82 i GDPR kan alla som lider materiell eller ideell skada till följd av en intrångsprocess begära ersättning. En stiftelse eller förening kan väcka kollektiv talan om skadestånd enligt WAMCA (artikel 3:305a i den nederländska civillagen), med möjlighet att välja bort detta för personer som bor i Nederländerna.

EU-domstolen har slagit fast att en överträdelse i sig inte ger rätt till ersättning: den som gör anspråk måste visa skada och orsakssamband, även om ingen gräns för allvarlighetsgrad gäller för ideell skada. Individuella ersättningar i Nederländerna är blygsamma, men en klass på hundratusentals förändrar bilden. Se vår artikel om kollektiva skadeståndsanspråk vid massskada.

Vem är registeransvarig när data kommer från flera parter?

Den personuppgiftsansvarige fastställer ändamål och medel; en personuppgiftsbiträde agerar endast enligt dokumenterade instruktioner (artikel 4(7) och (8) i GDPR). Gemensamt personuppgiftsansvariga måste fastställa sina ansvarsområden i ett avtal enligt artikel 26 i GDPR.

Etiketten i avtalet är inte avgörande. En leverantör som förbehåller sig rätten att använda dina uppgifter för att förbättra sin egen produkt är i den utsträckningen registeransvarig för sina egna ändamål. Kontrollera utbildningsklausulen och underbiträdesklausulen i leverantörsavtal, eftersom överföringar utanför Europeiska ekonomiska samarbetsområdet kräver en överföringsmekanism enligt kapitel V i GDPR. Upprätta ett databehandlingsavtal med varje leverantör som hanterar uppgifterna.

Vad bör ni som organisation kontrollera?

• Har ni dokumenterat den lagliga grunden för varje behandling, inklusive utbildning, innan ni börjar?
• Har ni testat om återanvändning av befintliga data är förenligt med artikel 6(4) i GDPR?
• Görs DPIA innan träningsdata samlas in?
• Tillåter era leverantörsavtal leverantören att utbilda sig på era data?
• Finns det fastställda lagringsperioder för träningsdata, kontrollpunkter och inferensloggar?
• Kan modellutdata om individer korrigeras?

Vad bör du kontrollera som individ vars data används?

• Anger integritetspolicyn tydligt att dina uppgifter används för analys eller AI-utbildning?
• Vilken rättslig grund förlitar sig organisationen på, och kan man invända mot eller återkalla samtycket?
• Kan du begära tillgång till, och rättelse av, slutsatser som dragits om dig?
• Har ett betydande beslut om dig fattats enbart genom automatiserade metoder?
• Har du lämnat in ett klagomål till organisationen eller AP?

Vad kan vi göra för dig med GDPR- och AI-utbildning?

Som IT-jurist ger vi organisationer råd om datadrivna projekt; se även vår översikt över den allmänna dataskyddsförordningen och vår artikel om GDPR och AI i Nederländerna.

• Vi väljer och dokumenterar den lagliga grunden och bedömningen av berättigade intressen.
• Vi utför kompatibilitetstestet för återanvändning av befintlig data.
• Vi utarbetar och granskar DPIA och hanterar förhandssamråd med AP.
• Vi granskar leverantörsavtal och databehandlingsavtal, inklusive utbildningsklausuler.
• Vi utarbetar integritetspolicyer som beskriver syftena korrekt.
• Vi företräder dig i AP-utredningar och i individuella eller kollektiva krav.

Sammanfattning

• Stora datamängder är nästan alltid personuppgifter; pseudonymiserade uppgifter omfattas av GDPR.
• Legitima intressen är den vanliga grunden för AI-utbildning, med en dokumenterad bedömning i tre steg.
• Återanvändning av data för utbildning kräver kompatibilitetstestet i artikel 6(4) GDPR eller en ny grund.
• En DPIA krävs vanligtvis och måste göras innan träningsdata samlas in.
• AI-lagen gäller vid sidan av GDPR, inte i stället för den.

Vanliga frågor och svar