Financiële gegevens in AI zetten: mag dat onder de AVG?

Het korte antwoord

Ja, als u de AVG volgt. Bedrijfscijfers van een BV zijn meestal geen persoonsgegevens, maar salarissen, de rekening-courant met de DGA en de administratie van een eenmanszaak wel. Gebruik daarvoor een zakelijke AI-dienst met een verwerkersovereenkomst, stuur niet meer mee dan nodig en weet waar de gegevens worden verwerkt. In een persoonlijk chataccount horen ze niet.

Bijgewerkt op 26 oktober 2026

Kerngegevens

Welke financiële gegevens persoonsgegevens zijn

De AVG beschermt natuurlijke personen, geen BV's. De omzet of het balanstotaal van een rechtspersoon valt er dus niet onder. Toch staan er in een administratie bijna altijd gegevens over herkenbare personen (art. 4 punt 1 AVG):

• het salaris en de pensioenlasten van de directeur-grootaandeelhouder, en bij een kleine onderneming loonkosten die naar één werknemer te herleiden zijn;
• de rekening-courant met de DGA, leningen aan bestuurders en hun bezoldiging. Een middelgrote of grote rechtspersoon vermeldt de bezoldiging van bestuurders gezamenlijk in de toelichting, maar mag die opgave weglaten als zij tot één natuurlijke persoon herleidbaar is (art. 2:383 lid 1 BW); een kleine is van de opgave vrijgesteld (art. 2:396 lid 5 BW) en een micro-rechtspersoon heeft geen toelichting (art. 2:395a lid 6 BW);
• namen in de debiteuren- en crediteurenadministratie als de klant of leverancier een eenmanszaak is;
• bankmutaties met namen van tegenpartijen, en inkoopfacturen met adressen;
• bij een eenmanszaak of vof: de hele administratie, want die gaat over de ondernemer zelf.

Loongegevens vragen extra zorg. Een burgerservicenummer mag alleen worden gebruikt waarvoor de wet dat toestaat (art. 46 lid 1 UAVG), en gegevens over ziekte gaan over gezondheid, een bijzondere categorie (art. 9 lid 1 AVG). Zulke gegevens horen niet in een AI-dienst die u voor tekst of uitleg gebruikt.

Persoonlijk chataccount of zakelijke dienst

Het verschil zit niet in het model, maar in de afspraken. Laat u persoonsgegevens verwerken door een dienst die dat in uw opdracht doet, dan sluit u een verwerkersovereenkomst met de inhoud die art. 28 lid 3 AVG voorschrijft: verwerken alleen op uw instructie, geheimhouding, beveiliging, subverwerkers alleen met uw toestemming, en verwijderen of teruggeven na afloop.

Bij een gratis of persoonlijk account van een chatdienst ontbreekt zo'n overeenkomst meestal. U accepteert dan voorwaarden voor particulieren, en de instellingen van de aanbieder bepalen of uw invoer wordt gebruikt om modellen te verbeteren. Zakelijke abonnementen en API-toegang kennen vaker een verwerkersovereenkomst. Lees de voorwaarden van de aanbieder zelf, en leg vast welke diensten uw organisatie mag gebruiken.

Heeft een medewerker zonder zulke afspraken loongegevens in een chatdienst geplakt, ga dan na of dat een datalek is. Is een risico voor de betrokkenen niet onwaarschijnlijk, dan meldt u het binnen 72 uur bij de Autoriteit Persoonsgegevens (art. 33 lid 1 AVG).

Vijf regels voor AI bij boekhouding en jaarwerk

1. Stuur alleen wat nodig is (art. 5 lid 1 onder c AVG). Voor een toelichting op de materiële vaste activa heeft een model geen namen van werknemers nodig.
2. Kies een dienst met een verwerkersovereenkomst, en kijk welke subverwerkers die dienst inschakelt.
3. Weet waar de gegevens heen gaan. Voor structurele doorgifte buiten de EER is een adequaatheidsbesluit nodig (art. 45 lid 1 AVG) of passende waarborgen, zoals de standaardcontractbepalingen van de Europese Commissie (art. 46 lid 2 onder c AVG). Art. 49 AVG kent daarnaast beperkte uitzonderingen voor specifieke situaties; daarop bouwt u geen vaste werkwijze.
4. Laat de AI niet beslissen. Een voorstel dat u nakijkt, is geen geautomatiseerd besluit; een uitkomst die zonder menselijke tussenkomst iemand in aanmerkelijke mate treft, kan dat wel zijn (art. 22 lid 1 AVG).
5. Leg het vast in uw verwerkingsregister (art. 30 lid 1 AVG): welke AI-dienst, voor welk doel en met welke gegevens.

Wat Jaarrekening.io naar AI verstuurt

Jaarrekening.io gebruikt taalmodellen van Anthropic via de commerciële API, bij functies die u zelf start. Per functie gaat alleen mee wat die functie nodig heeft:

De salarisadministratie zelf, met werknemersgegevens, loonstroken en burgerservicenummers, gaat niet naar Anthropic. Anthropic gebruikt API-invoer en -uitvoer standaard niet voor modeltraining en verwijdert ze volgens de standaard API-bewaartermijn binnen 30 dagen, behalve bij veiligheids-, wettelijke of afzonderlijk overeengekomen uitzonderingen. De verzoeken kunnen in meerdere regio's worden verwerkt, en standaard bewaart Anthropic ze in de Verenigde Staten; die doorgifte rust op de standaardcontractbepalingen of het EU-VS Data Privacy Framework. De primaire database van de app staat in de EU.

Voor uw administratie bent u verwerkingsverantwoordelijke en is Jaarrekening.io verwerker; daarvoor geldt de verwerkersovereenkomst. Alle subverwerkers staan op Beveiliging & Privacy, de rest in de privacyverklaring. Wat een AI-functie voorstelt, is een concept dat u zelf nakijkt en bevestigt; de inhoud van de jaarrekening blijft de verantwoordelijkheid van het bestuur (art. 2:362 lid 1 BW).

AI-verordening en bewaarplicht

De Europese AI-verordening (Verordening (EU) 2024/1689) stelt regels voor AI-systemen zelf. Voor de persoonsgegevens die u in zo'n systeem stopt, blijft de AVG gelden; de verordening laat die onverlet.

Naast de AVG geldt de bewaarplicht: de administratie bewaart u zeven jaar (art. 2:10 lid 3 BW, art. 52 lid 4 AWR). Een verzoek om verwijdering gaat daar niet zomaar boven. Exporteer uw administratie voordat u een dienst opzegt; zie ook hoe lang moet ik de jaarrekening bewaren?. Een checklist voor de beveiliging van jaarrekeningsoftware in het algemeen, van hosting tot tweestapsverificatie, staat bij jaarrekeningsoftware en de AVG.

Bronnen

• Algemene verordening gegevensbescherming, Verordening (EU) 2016/679 (eur-lex.europa.eu)
• AI-verordening, Verordening (EU) 2024/1689 (eur-lex.europa.eu)
• Art. 2:10 BW: administratieplicht en bewaartermijn (wetten.overheid.nl)
• Algemene wet inzake rijksbelastingen, art. 52: administratie en bewaarplicht (wetten.overheid.nl)
• Art. 2:383 BW: bezoldiging van bestuurders (wetten.overheid.nl)
• Art. 2:396 BW: kleine rechtspersoon (wetten.overheid.nl)

Lees ook