Hoewel de Algemene Verordening Gegevensbescherming (AVG) het woord ‘kunstmatige intelligentie’ niet expliciet noemt, laten Europese buurlanden er geen misverstand over bestaan: AI-gebruik binnen de juridische praktijk mag alleen als persoonsgegevens eerst zijn geanonimiseerd of gepseudonimiseerd. België, Duitsland en Frankrijk hebben die norm inmiddels stevig verankerd in nationale richtlijnen. In Nederland ontbreekt een dergelijke duidelijkheid — en dat is riskant.
De AVG verplicht verwerkingsverantwoordelijken bij risicovolle gegevensverwerking tot passende technische maatregelen. Pseudonimisering en anonimisering worden in overwegingen 28 en 29, en in artikel 32, nadrukkelijk genoemd als voorbeeld van zulke maatregelen. Het gaat hierbij niet om vrijblijvende adviezen: in juridische contexten, waar dagelijks met bijzondere persoonsgegevens wordt gewerkt — denk aan medische dossiers, strafrechtelijke gegevens of informatie die onder het beroepsgeheim valt — is de norm helder. Verwerking zonder bescherming kan direct in strijd zijn met de AVG.
Buurlanden nemen het voortouw
De Orde van Vlaamse Balies (OVB) heeft begin 2025 bindende richtlijnen gepubliceerd waarin staat dat advocaten persoonsgegevens moeten pseudonimiseren vóórdat zij AI inzetten. Het invoeren van ruwe persoonsgegevens in prompts of documenten is expliciet verboden. Alleen als verwerking onvermijdelijk is, geldt een transparantie- en toestemmingsplicht, en zelfs dan mag informatie die onder het beroepsgeheim valt niet worden gebruikt zonder strikte beveiliging.
Duitsland gaat nog verder. De Bundesrechtsanwaltskammer (BRAK) schrijft voor dat documenten volledig geanonimiseerd moeten zijn voordat ze in een AI-systeem worden ingevoerd. Het simpelweg verwijderen van namen en adressen is onvoldoende: ook contextuele gegevens die tot identificatie kunnen leiden moeten eruit. Daarnaast vereist Duitsland bij gebruik van niet-Europese platforms versleuteling en anonimisering, om het beroepsgeheim juridisch te kunnen waarborgen.
Ook Frankrijk stelt sinds juni 2025 eisen aan AI-gebruik door advocaten. De Conseil National des Barreaux (CNB) noemt expliciet pseudonimisering, anonimisering én versleuteling als noodzakelijke technische maatregelen. Dit is in lijn met artikel 28 AVG, dat opdraagt alleen met onderaannemers te werken die “voldoende garanties” bieden.
Spanningsveld met Amerikaanse CLOUD Act
De urgentie van anonimisering neemt verder toe door de botsing tussen Europese en Amerikaanse wetgeving. De nieuwe Europese AI Act verplicht onder meer transparantie, menselijke controle en dataveiligheid bij hoogrisico-AI, zoals juridische toepassingen. Maar veel AI-tools — waaronder die van grote aanbieders als Microsoft, Google en Amazon — draaien op Amerikaanse infrastructuur en vallen daarmee onder de Amerikaanse CLOUD Act. Die wet verplicht Amerikaanse bedrijven om op verzoek toegang tot data te geven, zelfs als die in Europa staan opgeslagen. De controle is dus weg, de AVG-bescherming ondermijnd.
Nederland: afwachtend en kwetsbaar
Ondanks deze internationale ontwikkelingen heeft Nederland nog geen concrete richtlijnen opgesteld voor het gebruik van AI in de juridische praktijk. Dit gebrek aan normering brengt risico’s mee: zonder duidelijke verplichting tot anonimisering werken Nederlandse advocaten mogelijk in strijd met zowel de AVG als hun beroepsgeheim.
Tijd voor actie
Zolang hoogwaardige AI-tools op Amerikaanse platforms draaien, is verplichte anonimisering de enige manier om te voorkomen dat cliëntgegevens ongewild in verkeerde handen vallen. Nederland moet het voorbeeld van zijn buurlanden volgen. De Nederlandse Orde van Advocaten (NOvA) doet er verstandig aan snel werk te maken van heldere en afdwingbare richtlijnen. Want in de juridische sector geldt: als de technologie het recht inhaalt, raakt de rechtsstaat uit balans.
