De wet overtreden zonder het te weten: de verborgen juridische risico’s van AI, cloud en data

Wat makkelijk wordt overtreden

Persoonsgegevens van klanten of medewerkers uploaden naar een AI-dienst zonder rechtsgrond, verwerkersovereenkomst of waarborgen voor doorgifte.

Voorbeeld

Een medewerker plakt een klantenlijst of het cv van een kandidaat in een cloudchatbot (illustratief voorbeeld). Lagere categorie: tot € 10 mln of 2% van de wereldwijde omzet.

Wat makkelijk wordt overtreden

Verboden praktijken zoals emotieherkenning op het werk (verboden sinds 2 februari 2025); AI-gegenereerde content zonder label (art. 50, vanaf 2 augustus 2026).

Voorbeeld

Een HR-tool die de emoties van medewerkers „leest”. Verplichtingen voor hoog risico: 2 december 2027 en 2 augustus 2028 (Digital Omnibus). Voor kmo’s geldt het lagere bedrag. In Italië moet het D.Lgs. 179/2026 op 23 oktober 2026 in werking treden; het wijst de toezichthouders aan.

Wat makkelijk wordt overtreden

Verspreiden van door AI gegenereerde of gemanipuleerde content (deepfakes) die onrechtmatige schade veroorzaakt (art. 612-quater Wetboek van Strafrecht); AI gebruiken bij een misdrijf is een verzwarende omstandigheid.

Voorbeeld

Een „grap”-video met de AI-stem van een echte persoon, zonder toestemming gepubliceerd. Werkgevers moeten werknemers bovendien informeren over het gebruik van AI.

Wat makkelijk wordt overtreden

Geen beveiligingsmaatregelen nemen of incidenten niet melden aan CSIRT Italia (vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur).

Voorbeeld

Cloud-AI-agents aan de infrastructuur koppelen zonder de risico’s van de toeleveringsketen te beoordelen. Belangrijke entiteiten: tot € 7 mln of 1,4%.

Wat makkelijk wordt overtreden

Bedrijfsgeheimen van anderen onthullen of gebruiken, ook via AI-diensten; de straf wordt zwaarder bij gebruik van IT-middelen.

Voorbeeld

De technische documentatie van een vorige werkgever uploaden naar een AI-dienst. En zonder „redelijkerwijs passende maatregelen” kan uw eigen knowhow zijn bescherming verliezen (art. 98 Wetboek industriële eigendom).

Wat makkelijk wordt overtreden

Onrechtmatige verwerking of doorgifte van persoonsgegevens met winstoogmerk en met schade, inclusief doorgifte buiten de EU zonder AVG-waarborgen (1–3 jaar).

Voorbeeld

De klantendatabase naar een externe dienst exporteren; een grootschalig archief met persoonsgegevens verspreiden: 1–6 jaar.

Wat makkelijk wordt overtreden

AI-tools die controle op afstand van medewerkers mogelijk maken zonder vakbondsakkoord of toestemming van de Nationale Arbeidsinspectie; individuele toestemming vervangt dat niet.

Voorbeeld

Systematische back-up van de e-mail van medewerkers: boete van € 460.000 voor Piaggio (juli 2026). Een AI-plug-in die stress in chats mat: waarschuwing aan een start-up (mei 2026). Straf: geldboete van € 154–1.549 of hechtenis van 15 dagen tot 1 jaar.

Wat makkelijk wordt overtreden

Tekst- en datamining voor AI tegen het voorbehoud van de rechthebbende in (art. 70-quater): nu een specifiek strafbaar feit (art. 171, letter a-ter).

Voorbeeld

Op grote schaal teksten en afbeeldingen van anderen downloaden om een AI te voeden. Art. 171: geldboete van € 51–2.065; art. 171-ter: 6 maanden – 3 jaar.