Products

AI Adoption & Privacy

AI Workspace
Pricing

Network Security Pricing

Network DDoS Protection
Partners
About Myra
Login
WAAP (Myra App) AI Workspace EU CAPTCHA Partner Portal
Deutsch English Français
Emergency Demo
Products
Application Security DDoS Protection Web Application Firewall CDN Bot Management CAPTCHA Network Security Network DDoS Protection (cloud) Network DDoS Protection (on-prem) Network DDoS Protection (hybrid)

AI Adoption & Privacy

AI Workspace
Pricing

Application Security Pricing

DDoS Protection, WAF, CDN, Bot Management EU CAPTCHA

Network Security Pricing

Network DDoS Protection
Partners
About Myra

Company

About Us Careers News & Insights Events 2026 Press Contact

Why Myra?

References & Case Studies Certifications Migration Integrations GDPR Compliance Digital Sovereignty

Myra Compared

Myra vs. Competitors Cloudflare Alternative Akamai Alternative F5 Alternative
Login WAAP Login AI Workspace Login EU CAPTCHA Partner Portal Deutsch Français
Emergency Demo

Bijgewerkt op 11-10-2026

Generatieve AI bij de overheid: wat mag wel en wat niet

Stand van zaken: oktober 2026

Sinds 1 januari 2026 mogen overheidsmedewerkers geen generatieve AI meer gebruiken onder consumentenvoorwaarden, ook niet als individuele medewerker. Wat wel kan, is een toepassing waarover uw organisatie afspraken met de leverancier heeft gemaakt. Daar gaat een risicoanalyse aan vooraf en, als er persoonsgegevens worden verwerkt, bijvoorbeeld een DPIA. Uitproberen mag alleen in een afgeschermde testomgeving zonder gevoelige of vertrouwelijke gegevens.

Wat het standpunt zegt, en voor wie

Het “Overheidsbreed standpunt voor de inzet van generatieve AI” ging op 22 april 2025 met een Kamerbrief naar de Tweede Kamer. Omdat het is afgestemd met CIO Rijk, VNG, IPO en de Unie van Waterschappen, geldt het voor alle bestuurslagen. Overheidsorganisaties hadden tot eind 2025 de tijd om eraan te voldoen.

Wat er staat
Niet toegestaan Generatieve AI onder consumentenvoorwaarden, “ook voor individueel gebruik”, omdat er met de leveranciers geen afspraken kunnen worden gemaakt
Wel, onder voorwaarden Inzet na een gedegen risicoanalyse, met de juiste rollen betrokken bij het besluit en met (specifieke) afspraken met de leverancier (beslisnota)
Verkennen Alleen “in een gecontroleerde niet-productieomgeving, mits er geen gevoelige of vertrouwelijke data worden gebruikt”
Aanbevolen “In Europa ontwikkelde en beheerde applicaties”, om onwenselijke afhankelijkheid van landen buiten de EU te voorkomen. Europese en Nederlandse modellen en open source worden aangemoedigd

De regels in die tabel wegen niet even zwaar. Het verbod op consumentenvoorwaarden is hard. Bij de Europese toepassingen houdt het standpunt het op een aanbeveling: zulke applicaties worden “aanbevolen”, Europese en Nederlandse modellen “aangemoedigd”.

Waarom ‘even snel iets vragen’ een datalek kan zijn

De AP schreef in augustus 2024 dat medewerkers chatbots vaak “op eigen initiatief en tegen de afspraken met de werkgever in” gebruiken: “als daarbij persoonsgegevens zijn ingevoerd, dan is sprake van een datalek.” Is het gebruik wel organisatiebeleid, dan is het volgens de AP geen datalek, “maar vaak niet wettelijk toegestaan.”

Hoe dat in de praktijk gaat, liet de gemeente Eindhoven zien. Volgens Omroep Brabant vond de gemeente bij een steekproef van 23 september tot 23 oktober 2025 cv's, documenten uit de jeugdzorg en interne rapporten die in openbare AI-diensten waren gezet. De gemeente meldde dat op 23 oktober 2025 bij de AP en blokkeerde daarna openbare AI-websites. Blokkeren is een begin. Zonder toegestaan alternatief zoeken medewerkers een omweg.

Het stappenplan

1. Breng in kaart wat er al gebeurt

Welke AI-diensten worden nu gebruikt, door wie en met welke gegevens? Een anonieme uitvraag levert meer op dan een verbodsmail.

2. Bepaal toepassingen en gegevenssoorten

Leg vast welke taken in aanmerking komen en welke gegevens daarbij mogen worden gebruikt. Maak onderscheid tussen openbare en interne gegevens, persoonsgegevens en vertrouwelijke gegevens. Met agents die zelf handelingen uitvoeren, is terughoudendheid op zijn plaats. De AP riep in februari 2026 op om AI-agents zoals OpenClaw “niet te gebruiken op systemen met privacygevoelige of vertrouwelijke gegevens”.

3. Loop het AP-hulpmiddel door

Met de checklist van 13 juli 2026 kunt u inschatten of uw organisatie generatieve AI “wil, kan en mag” inzetten. Hij is vooral bedoeld voor organisaties die AI toegang willen geven tot bestaande bestanden of gegevens.

4. Maak uw eigen DPIA

Het standpunt noemt een (pre-scan) DPIA als er persoonsgegevens worden verwerkt. Dat u die analyse zelf moet maken, maakte de AP in juni 2026 duidelijk bij de scanauto's: “Een eigen DPIA is onmisbaar”, en alleen verwijzen naar de DPIA van de leverancier “is onvoldoende”. Documentatie mag u de leverancier natuurlijk wel vragen. Wat wordt er opgeslagen, waar, hoe lang, en wie kan erbij?

5. Maak afspraken met de leverancier

Juist die afspraken ontbreken bij consumentenvoorwaarden. Leg in het contract en de verwerkersovereenkomst vast of ingevoerde gegevens worden opgeslagen; de AP noemt dat zelf als afspraak die u kunt maken. Spreek ook af of de gegevens voor training worden gebruikt en waar de verwerking plaatsvindt. Verder horen erin welke subverwerkers er zijn en hoe u er aan het eind van het contract uitkomt.

6. Toets aan BIO2 en de Cyberbeveiligingswet

BIO2 versie 1.3 staat sinds 5 maart 2026 in de Staatscourant en geldt voor Rijk, gemeenten, provincies en waterschappen. De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Gemeenten zijn daaronder volgens de VNG een essentiële entiteit, die maatregelen volgens de BIO2 moet nemen. Voor het Rijk komt daar het herziene cloudbeleid bij. Bij leveranciers die “(deels) onder een jurisdictie van buiten de Europese Economische Ruimte (EER) vallen” kan “in sommige gevallen een andere leverancierskeuze” nodig zijn (Kamerbrief 3 juli 2026).

7. Betrek de OR op tijd

Art. 27 lid 1 sub l WOR geeft instemmingsrecht bij voorzieningen die “gericht zijn op of geschikt zijn voor” controle op gedrag of prestaties. Sub k gaat over de verwerking van persoonsgegevens van medewerkers. Neemt u het besluit zonder instemming, dan is het nietig als de OR zich daar binnen een maand schriftelijk op beroept (lid 5).

In de regeling spreekt u af welke gegevens er ontstaan, wie erbij kan en hoe lang ze bewaard blijven. Leg ook vast dat er geen individuele prestatiebeoordeling op wordt gebaseerd, en dat de OR wordt geïnformeerd voordat er nieuwe functies aangaan. Voor overheidsorganisaties kent de WOR enkele bijzondere bepalingen. Laat uw jurist nagaan of die hier spelen.

8. Opleiden en verantwoorden

Art. 4 van de AI-verordening over AI-geletterdheid geldt sinds 2 februari 2025. Sinds de wijziging van juli 2026 (Verordening 2026/1744) luidt de plicht dat u maatregelen neemt om de AI-geletterdheid van uw personeel te bevorderen. Train dus vóór u toegang geeft. Het algoritmeregister is voor overheidsorganisaties nog niet wettelijk verplicht, hoewel de AP dat wel wil. Ook de Uitvoeringswet AI-verordening is nog niet in werking; de AP is beoogd toezichthouder, maar nog niet aangewezen.

Wat het AP-advies aan Haarlemmermeer leert

In juli 2026 publiceerde de AP haar advies na een voorafgaande raadpleging door de gemeente Haarlemmermeer over Microsoft 365 Copilot. De AP concludeerde dat de voorgenomen verwerking, zoals de gemeente die beschreef, “inbreuk zou maken op de AVG”. Een algemeen verbod volgt daar niet uit. Het advies ging over de situatie van één gemeente en steunde op de referentie-DPIA van SLM Rijk van december 2024; de update van september 2025 was niet verwerkt in de beoordeling van de gemeente.

Voor iedereen bruikbaar zijn de basisvoorwaarden die de AP noemt, los van welk product u kiest. Het gaat om een actueel verwerkingsregister, overzicht van documenten en persoonsgegevens (labeling), beperkte toegangsrechten en zicht op de verwerkingen binnen cloudomgevingen. Wie AI toegang geeft tot de eigen bestanden, erft de rommel in die bestanden.

Vragen aan de leverancier

Stel deze vragen schriftelijk. De antwoorden heeft u later nodig voor de DPIA en de verwerkersovereenkomst.

Waar Myra AI Workspace past

Myra AI Workspace neemt u af met een contract en een verwerkersovereenkomst. Per project kunt u vastleggen dat alleen modellen werken die Myra zelf host op Myra's eigen infrastructuur in de EU (in de betaalde self-service-abonnementen met het pakket ‘EU-Gov’); cloudmodellen, zoeken op internet en externe tools staan dan uit. Gaat een vraag naar een extern model, dan worden persoonsgegevens vooraf vervangen door placeholders. Een indicator in stoplichtkleuren laat vóór het versturen zien waar een vraag heen gaat. Routering naar uitsluitend EU-aanbieders kan worden aangezet, maar staat standaard uit. Myra gebruikt klantgegevens niet om AI-modellen te trainen.

Houd er rekening mee dat de interface Duits of Engels is.

Veelgestelde vragen

Mag ik als ambtenaar een gratis AI-chatbot gebruiken als ik geen persoonsgegevens invoer?

Nee. Het overheidsbrede standpunt verbiedt gebruik onder consumentenvoorwaarden, ook voor individueel gebruik. Bepalend zijn de voorwaarden waaronder de dienst wordt geleverd. Welke gegevens u invoert, doet daarbij niet ter zake. Verkennen mag alleen in een gecontroleerde niet-productieomgeving zonder gevoelige of vertrouwelijke gegevens.

Is Microsoft 365 Copilot verboden bij de overheid?

Een algemeen verbod is er niet. De AP oordeelde in een advies aan de gemeente Haarlemmermeer (gepubliceerd in juli 2026) dat de inzet zoals die gemeente die had beschreven inbreuk zou maken op de AVG. De AP baseerde zich daarbij op de referentie-DPIA van SLM Rijk van december 2024; de update van september 2025 was niet verwerkt in de beoordeling van de gemeente. Elke organisatie moet de eigen inzet zelf beoordelen.

Heeft de ondernemingsraad instemmingsrecht bij een AI-tool?

Vaak wel. Art. 27 lid 1 sub l WOR geldt voor voorzieningen die 'gericht zijn op of geschikt zijn voor' controle op gedrag of prestaties. Een tool met persoonlijke accounts en logging is naar onze inschatting al snel geschikt, ook als niemand van plan is te controleren. Ook sub k (verwerking van persoonsgegevens van medewerkers) kan van toepassing zijn.

Moet een AI-assistent in het algoritmeregister?

Wettelijk verplicht is registratie voor overheidsorganisaties op dit moment niet, al pleit de AP wel voor een verplichting. Leg vast waarom u wel of niet registreert, zodat u die keuze later kunt uitleggen.

Bronnen

Deze gids is geen juridisch advies. Wet- en regelgeving en beleid zijn weergegeven naar de stand van zaken in oktober 2026. Laat de toepassing op uw organisatie toetsen door uw FG of jurist.