AVG en tracking van LLM-citaties: wat zegt de CNIL in 2026?

De Franse CNIL publiceerde in 2026 geen specifieke doctrine over LLM-citatietracking, maar haar algemene AVG-richtsnoeren gelden: geen tracking van identificeerbare personen zonder rechtsgrondslag, geen prompts met persoonsgegevens naar LLMs sturen zonder contract. Bespreek met een jurist.

Wanneer de AVG werkelijk in werking treedt

LLM-citatietracking (wie citeert wat, hoe, in welke prompts) houdt meestal in dat modellen ondervraagd worden met prompts opgesteld door het agentschap. Zolang die prompts geen persoonsgegevens van echte gebruikers bevatten, is de AVG niet rechtstreeks geraakt, het is monitoring van gepubliceerde content. "Het AVG-risico verschijnt in drie precieze gevallen: het sturen van een prompt met klantgegevens naar een LLM, het bewaren van LLM-gesprekken met persoonsgegevens, en het trainen van een model op persoonsgegevens zonder rechtsgrondslag", benadrukt Lorenzo Eeman, oprichter van PROEMA.

Het toepasselijke CNIL- en EDPB-corpus

De CNIL publiceerde in juni 2024 haar AI-aanbevelingen (zeven fiches over datasetopbouw, rechtsgrond, anonimisering, betrokkenenrechten, bron: cnil.fr/fr/developpement-des-systemes-dia). In 2025-2026 blijven die fiches de operationele referentie voor Frankrijk; geen doctrine specifiek over "LLM-citatietracking" is uitgevaardigd. Op Europees niveau verduidelijkte EDPB Opinion 28/2024 van 17 december 2024 de rechtmatigheidsvoorwaarden voor verwerking van persoonsgegevens binnen AI-modellen. Belangrijke positie van CNIL en EDPB: als je persoonsgegevens van klanten of werknemers naar ChatGPT, Copilot of een externe LLM stuurt, ben jij de verwerkingsverantwoordelijke, niet de LLM-leverancier.

PROEMA-positie en praktijk

PROEMA-positie: LLM-citatietracking via externe tools (eigen monitoring of Audit Express/In-Depth-panels) is wettig zolang we met generieke prompts werken zonder persoonsgegevens. Voor per-klant B2B-tracking: voorzie een clausule in het servicecontract en een DPA als de monitoringtool buiten de EU gehost is (Schrems II internationale doorgiftes). De geteste content is publiek, niet vertrouwelijk. PROEMA + Sabrina (raadgevend juriste) auditeert klantworkflows om Artikel 6 + Artikel 28 AVG-conformiteit (sub-verwerking) te garanderen. Bronnen: CNIL AI-aanbevelingen juni 2024, EDPB Opinion 28/2024, HvJ-EU-arrest Schrems II (C-311/18), Dalloz IT-artikels 2025-2026.