Kennisbank · Compliance
n8n, AVG, NIS2 en de AI Act: wat moet je regelen?
Workflows en AI-agents verwerken vaak persoonsgegevens en raken processen die belangrijk zijn voor je organisatie. Welke regels gelden er, en wat betekenen ze in de praktijk voor een n8n-omgeving? Een overzicht, met data en bronnen.
Dit artikel geeft uitleg, geen juridisch advies. Leg twijfelgevallen voor aan je privacy officer of jurist.
Auteur Anne Fleur KolthofLaatst bijgewerkt 30 september 2026Leestijd 7 minuten
De drie wetten die workflows en AI-agents in n8n raken: de AVG, de Cyberbeveiligingswet (NIS2) en de AI Act.
Kort antwoord
n8n is software, en of je gebruik ervan aan de wet voldoet, hangt af van je inrichting. De AVG vraagt om een verwerkersovereenkomst, een verwerkingsregister en zo min mogelijk gegevens. De Cyberbeveiligingswet (NIS2) vraagt om beveiligingsmaatregelen en meldprocedures. De AI Act vraagt vooral transparantie wanneer mensen met AI te maken krijgen.
In het kort
| Wet | Geldt sinds | Wat het betekent voor n8n |
|---|---|---|
| AVG | 25 mei 2018 | Verwerkersovereenkomst, subverwerkers, verwerkingsregister, zo min mogelijk gegevens en bewaartermijnen |
| Cyberbeveiligingswet (NIS2) | 15 augustus 2026 | Zorgplicht en meldplicht voor ongeveer 8.000 organisaties in 18 sectoren, en eisen aan hun leveranciers |
| AI Act | Stap voor stap sinds 2 februari 2025 | Transparantie bij chatbots en AI-teksten, en vanaf 2 december 2027 strenge regels voor bijvoorbeeld AI bij werving |
Wat vraagt de AVG van workflows in n8n?
Een workflow die persoonsgegevens verwerkt, valt onder de AVG. Dat geldt voor een factuur met de naam van een contactpersoon net zo goed als voor HR-gegevens. De belangrijkste punten:
| Onderwerp | Wat je regelt |
|---|---|
| Rollen | Jij bent verwerkingsverantwoordelijke. Een partij die n8n voor je host of beheert, is verwerker. |
| Verwerkersovereenkomst | Verplicht met elke verwerker (artikel 28 AVG). Daarin staat ook wie de subverwerkers zijn. |
| Subverwerkers | Een verwerker schakelt alleen subverwerkers in met jouw toestemming. Denk aan de hostingpartij en de leverancier van een AI-model. |
| Verwerkingsregister | Bijna elke organisatie moet een register bijhouden (artikel 30 AVG). Neem je geautomatiseerde processen erin op. |
| Zo min mogelijk gegevens | Een workflow krijgt alleen de gegevens die hij nodig heeft, en een AI-model alleen de tekst die het moet verwerken. |
| Bewaartermijn | n8n bewaart per uitvoering de gegevens die erdoorheen gingen. Stel een bewaartermijn in die past bij je privacybeleid. |
| Geautomatiseerde besluiten | Neemt een workflow zonder menselijke tussenkomst een besluit met grote gevolgen voor iemand, dan gelden extra regels (artikel 22 AVG). Laat zulke besluiten bij een mens. |
| DPIA | Bij verwerkingen met een hoog risico, zoals grootschalige verwerking van gevoelige gegevens, is een DPIA nodig: een beoordeling van de gevolgen voor privacy. |
Mag je persoonsgegevens naar een AI-model sturen?
Dat kan, als je het goed regelt. Stuur alleen de gegevens die nodig zijn, zorg voor een grondslag, zet de leverancier op je lijst van subverwerkers en vermeld het in je privacyverklaring. Let daarnaast op waar het model draait.
Gegevens naar de Verenigde Staten sturen mag op basis van het EU-VS Data Privacy Framework, als de leverancier daaronder is gecertificeerd. Dat kader is nog geldig: het Gerecht van de EU wees op 3 september 2025 een verzoek tot vernietiging af in de zaak Latombe. Tegen die uitspraak loopt een hoger beroep bij het Hof van Justitie (zaak C-703/25 P). Wil je dat risico vermijden, kies dan voor verwerking in de EU.
| Leverancier | Verwerking in de EU (september 2026) |
|---|---|
| OpenAI | Dataresidentie in Europa voor de API, onder voorwaarden |
| Microsoft Azure OpenAI | Een EU-datazone, waarbij de verwerking binnen de EU blijft |
| Anthropic | De eigen API biedt geen dataresidentie in de EU. Via AWS Bedrock of Google Vertex AI gebruik je de modellen wel in een Europese regio. |
| Eigen model | Een open model op je eigen server. De gegevens verlaten je omgeving niet. |
| websites van de leveranciers, september 2026 | |
Valt je organisatie onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet geldt sinds 15 augustus 2026 en raakt ongeveer 8.000 organisaties in 18 sectoren, van energie en zorg tot digitale dienstverlening en productie (bron: Rijksoverheid, september 2026). Meestal gaat het om middelgrote en grote organisaties: vanaf 50 medewerkers, of met een jaaromzet én balanstotaal van meer dan € 10 miljoen.
De wet kent twee hoofdplichten:
| Plicht | Wat het inhoudt |
|---|---|
| Zorgplicht | Passende maatregelen voor cybersecurity, zoals risicobeheer, toegangsbeheer, back-ups, incidentafhandeling en aandacht voor leveranciers. Het bestuur is verantwoordelijk. |
| Meldplicht | Een significant incident meld je binnen 24 uur met een vroegtijdige waarschuwing. Binnen 72 uur volgt een melding met een eerste beoordeling, en binnen een maand een eindrapport. |
Ook als je er zelf niet onder valt, kun je ermee te maken krijgen. Organisaties die onder de wet vallen, moeten ook de risico's bij hun leveranciers beheersen. Leveranciers krijgen daardoor eisen in hun contracten.
Wat betekent NIS2 voor je n8n-omgeving?
| Maatregel | In n8n |
|---|---|
| Toegangsbeheer | Tweestapsverificatie voor alle gebruikers, SSO via je identiteitsbeheer (Business of Enterprise) en minimale rechten per serviceaccount. |
| Logging | Vastleggen wie wat verandert. Met Enterprise stuur je logs door naar je securitymonitoring. |
| Kwetsbaarheden | Updates volgens een vast ritme, beveiligingsupdates zo snel mogelijk. |
| Back-ups en herstel | Back-ups op een tweede locatie en een geteste herstelprocedure. |
| Incidenten | Een procedure die past bij de meldtermijnen van 24 uur, 72 uur en een maand, met afspraken met je leverancier over hoe snel die jou informeert. |
| Leveranciers | Afspraken met hosting- en beheerpartijen over beveiliging, meldingen en subverwerkers. |
| Geheimen | Credentials versleuteld in n8n, en met Enterprise in een externe kluis. |
Wat vraagt de AI Act van AI-agents in n8n?
De AI Act gaat stap voor stap in. Voor de meeste toepassingen in n8n draait het om transparantie.
| Datum | Wat er geldt |
|---|---|
| 2 februari 2025 | Verboden AI-toepassingen, zoals emotieherkenning op de werkvloer |
| 2 augustus 2026 | Transparantieregels (artikel 50): mensen moeten weten dat ze met AI praten, en AI-teksten over onderwerpen van algemeen belang maak je herkenbaar, tenzij er redactionele controle is |
| 2 december 2027 | Regels voor hoog-risico-AI uit bijlage III, zoals AI bij werving en selectie of bij kredietbeoordeling |
| 2 augustus 2028 | Regels voor hoog-risico-AI in producten uit bijlage I |
De data voor hoog-risico-AI zijn verschoven door Verordening (EU) 2026/1744, de zogeheten omnibus.
Wat betekent dat in de praktijk?
- Praat een klant rechtstreeks met een AI-agent, zeg dat dan vanaf het eerste contact. De ACM en de Autoriteit Persoonsgegevens vragen daarnaast om een medewerker bereikbaar te houden (oktober 2025).
- Publiceer je AI-teksten over onderwerpen van algemeen belang zonder redactionele controle, vermeld dan dat ze met AI zijn gemaakt.
- Gebruik je AI bij beslissingen over mensen, zoals bij werving, dan gelden vanaf 2 december 2027 strenge eisen. Laat de beslissing bij een mens en leg vast hoe de AI wordt gebruikt.
- Een AI-agent die intern werk voorbereidt, zoals tickets indelen of facturen uitlezen, valt meestal niet onder de zware regels. De AVG blijft wel gelden.
Checklist voor je n8n-omgeving
| Punt | Wet |
|---|---|
| Verwerkersovereenkomst met je hosting- en beheerpartij | AVG |
| Lijst van subverwerkers, inclusief AI-leveranciers | AVG |
| Geautomatiseerde processen in het verwerkingsregister | AVG |
| Bewaartermijn voor uitvoeringsdata ingesteld | AVG |
| Zo min mogelijk gegevens naar AI-modellen, bij voorkeur verwerkt in de EU | AVG |
| Tweestapsverificatie en minimale rechten | NIS2 |
| Updates en beveiligingsupdates volgens een vast ritme | NIS2 |
| Back-ups op een tweede locatie, herstel getest | NIS2 |
| Incidentprocedure afgestemd met je leverancier | NIS2 |
| Transparantie bij AI-agents die met klanten praten | AI Act |
| Een mens beslist bij besluiten over mensen | AVG en AI Act |
Veelgestelde vragen
Is n8n AVG-proof?
n8n is software. Of het gebruik aan de AVG voldoet, hangt af van de inrichting. Met hosting in de EU of in Nederland, een verwerkersovereenkomst, minimale toegangsrechten, een bewaartermijn en een verwerkingsregister leg je de basis. Stuur je persoonsgegevens naar een AI-model, dan hoort die leverancier ook in je afspraken.
Kan ik n8n Cloud gebruiken als ik onder de AVG val?
Ja. n8n Cloud draait in Frankfurt, bij Microsoft Azure. n8n heeft een SOC 2 Type 2-rapport en biedt een verwerkersovereenkomst (bron: trust.n8n.io, september 2026). Controleer wel de subverwerkers van n8n en of die passen bij je beleid. Wil je dat gegevens in Nederland blijven, dan kies je voor self-hosting.
Valt n8n Solutions zelf onder de Cyberbeveiligingswet?
Als klein bedrijf valt n8n Solutions niet zelf onder de wet. Werk je voor een organisatie die er wel onder valt, dan leggen we de afspraken die zij van leveranciers vraagt vast in de overeenkomst, zoals over beveiliging en het melden van incidenten.
Moet ik een DPIA doen voor een AI-agent?
Niet altijd. Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico oplevert, bijvoorbeeld bij grootschalige verwerking van gevoelige gegevens of bij systematische monitoring. De Autoriteit Persoonsgegevens publiceert een lijst met verwerkingen waarvoor een DPIA altijd verplicht is.
Wanneer is een AI-agent hoog risico?
Als hij wordt ingezet voor een toepassing uit bijlage III van de AI Act, zoals werving en selectie, beoordeling van werknemers, kredietwaardigheid of toegang tot essentiële diensten. Voor die toepassingen gelden de strenge regels vanaf 2 december 2027.
Bronnen
- AVG: Verordening (EU) 2016/679, artikelen 22, 28 en 30 (eur-lex.europa.eu)
- Autoriteit Persoonsgegevens: verwerkingsregister en DPIA (autoriteitpersoonsgegevens.nl, september 2026)
- Gerecht van de EU: uitspraak in de zaak Latombe (3 september 2025) en het hoger beroep C-703/25 P
- Rijksoverheid en NCSC: Cyberbeveiligingswet (september 2026)
- AI Act: Verordening (EU) 2024/1689, gewijzigd door Verordening (EU) 2026/1744 (eur-lex.europa.eu)
- ACM en Autoriteit Persoonsgegevens: oproep over AI-chatbots in de klantenservice (oktober 2025)
- n8n Trust Center (trust.n8n.io, september 2026)
- OpenAI, Microsoft en Anthropic: informatie over dataresidentie (september 2026)
Wil je weten hoe jouw n8n-omgeving ervoor staat?
We lopen je omgeving en workflows langs met deze checklist en laten zien waar het beter kan.