De Europese Commissie wil met het Digital Omnibus Package meer duidelijkheid geven over het verwerken van persoonsgegevens voor AI-training. Het voorstel bevestigt dat organisaties onder voorwaarden AI-modellen mogen trainen zonder toestemming van de betrokken personen, op basis van het ‘gerechtvaardigd belang’.
AI, persoonsgegevens en het juridische spanningsveld
AI-modellen functioneren door middel van gegevens. Hoe groter en diverser de datasets, hoe beter de prestaties van zowel generieke foundation models als specialistische toepassingen. In de praktijk betekent dit dat bij de ontwikkeling en het gebruik van AI-systemen en -modellen vaak persoonsgegevens worden verwerkt. Denk aan het scrapen van publiek toegankelijke informatie over een persoon, of het hergebruik van klant- of gebruikersgegevens. Deze realiteit botst met het beschermingsregime van de Algemene verordening gegevensbescherming (AVG), waarin toestemming voor het (her)gebruik van persoonsgegevens voor AI vaak de enige grond is.
Hoewel het Europees Comité voor Gegevensbescherming in 2024 al voorzichtig ruimte zag voor het gebruik van het gerechtvaardigd belang als grondslag voor AI-training, bleef de toepassing daarvan in de praktijk beperkt. Nationale toezichthouders verschillen van inzicht, wat leidt tot onzekerheid bij organisaties. Het Digital Omnibus Package van de Europese Commissie beoogt duidelijkheid te creëren en het speelveld te harmoniseren.
Het Digital Omnibus Package in vogelvlucht
Op 19 november 2025 presenteerde de Europese Commissie het Digital Omnibus Package, een wetgevingspakket dat tot doel heeft het digitale regelgevingskader binnen de EU efficiënter en consistenter te maken. De Europese Commissie wil naleving eenvoudiger en goedkoper maken, zonder afbreuk te doen aan het beschermingsniveau voor burgers. Het pakket bevat wijzigingen in meerdere digitale wetten, waaronder de AVG, en is gericht op zowel Europese organisaties als grote internationale techspelers die binnen de EU opereren.
Gerechtvaardigd belang als expliciete basis voor AI
Een kernonderdeel van het voorstel is de expliciete erkenning dat de verwerking van persoonsgegevens voor training en gebruik van AI-modellen en -systemen kan worden gebaseerd op het gerechtvaardigd belang. De Europese Commissie wil hiermee buiten twijfel stellen dat deze grondslag in beginsel toelaatbaar is, mits aan alle voorwaarden wordt voldaan. Dit vereist onder meer een zorgvuldige belangenafweging, waarin het belang van de organisatie wordt afgezet tegen de rechten en vrijheden van de betrokken personen.
Daarnaast introduceert het voorstel aanvullende waarborgen. Organisaties moeten strikte beveiligingsmaatregelen toepassen, waaronder gegevensminimalisatie bij bronselectie en tijdens de trainings- en testfase. Ook wordt een absoluut recht van bezwaar geïntroduceerd voor betrokkenen, waarmee zij de verwerking van hun persoonsgegevens in een AI-context kunnen laten stoppen.
De Europese Commissie laat daarbij ruimte voor lidstaten om strengere regels te hanteren. Als nationaal recht bepaalt dat toestemming vereist is voor bepaalde verwerkingen ten behoeve van AI-modellen, blijft dat leidend.
Beperkte uitzondering voor bijzondere persoonsgegevens
Opvallend is dat het voorstel ook een beperkte uitzondering introduceert voor bijzondere persoonsgegevens, zoals gezondheidsgegevens. Indien dergelijke gegevens onbedoeld in trainingsdatasets terechtkomen en verwijdering een onevenredige inspanning vergt, mag verwerking onder voorwaarden plaatsvinden. Deze gegevens mogen echter niet worden gebruikt voor outputgeneratie en niet openbaar worden gemaakt.
Wat betekent dit voor organisaties?
Voor organisaties die AI ontwikkelen of inzetten, biedt het voorstel vooral duidelijkheid. Het gebruik van toestemming als grondslag is in veel gevallen onpraktisch of zelfs onmogelijk in de context van AI-modellen. Door het gerechtvaardigd belang als expliciete grondslag te erkennen, ontstaat er meer operationele ruimte. Tegelijkertijd verschuift de compliance-last naar een zorgvuldig ingerichte belangenafweging, transparantie richting betrokkenen en een effectief bezwaarmechanisme.
Een aandachtspunt is dat betrokkenen vaak niet weten dat hun gegevens worden gebruikt, bijvoorbeeld bij scraping. De informatieplicht blijft bestaan, maar het is de vraag hoe effectief die in de praktijk zal zijn. Het recht van bezwaar dreigt daardoor een papieren waarborg te worden.
Vooruitblik
Het voorstel moet nog worden behandeld door het Europees Parlement en de Raad. Wijzigingen zijn dus niet uitgesloten. Wel markeert dit initiatief een duidelijke koerswijziging in het Europese digitale beleid. Voor organisaties betekent dit dat AI-projecten juridisch minder snel zullen stranden op de grondslagvraag, maar dat governance, documentatie en risicobeheersing des te belangrijker worden.
