Hoe voldoet een vibecoded website aan de AVG?

Een vibecoded website voldoet aan de AVG door actief te controleren wat de AI-gegenereerde code doet met persoonsgegevens en dat vervolgens aan te passen waar nodig. AI-tools optimaliseren voor snelheid en functionaliteit, niet voor juridische compliance. Dat betekent dat jij als eigenaar verantwoordelijk bent voor cookieconsent, een privacyverklaring, dataminimalisatie en veilige gegevensverwerking. Hieronder beantwoorden we de belangrijkste vragen over vibecoding AVG-compliance stap voor stap.

Wat zijn de AVG-risico’s van een vibecoded website? #

Een vibecoded website met AI-gegenereerde code brengt specifieke privacyrisico’s met zich mee doordat AI-codegeneratoren bouwen wat werkt, zonder te toetsen of het mag. De gegenereerde code kan onzichtbaar persoonsgegevens verzamelen die je als eigenaar nooit hebt bedoeld. Dit zijn de belangrijkste risico’s:

• Ongecontroleerde dataverzameling: gegenereerde front-endlogica kan gebruikersinvoer, muisbewegingen of telemetrie vastleggen voor debugging, zelfs als dat niet nodig is voor de functionaliteit.
• Hardcoded tracking scripts: LLM’s voegen regelmatig analytics SDK’s of UI-bibliotheken toe die dynamisch code laden in de browser, zonder beveiligingscontrole.
• Ontbrekende consent-mechanismen: AI-gegenereerde websites bevatten zelden een werkende cookiebanner of toestemmingslogica.
• Onveilige opslag: denk aan hardcoded API-sleutels, SQL-injectiekwetsbaarheden en ontbrekende toegangscontroles.
• Dataresidentie-problemen: veel AI-diensten slaan data standaard op in de VS, wat in strijd kan zijn met AVG-doorgifte-eisen.

Kort gezegd: vibecoded applicaties die zonder deze vereisten zijn gegenereerd, worden niet compliant door iteratie. Ze vereisen bewuste, architectonische wijzigingen.

Wie is er verantwoordelijk voor AVG-naleving bij vibecoding? #

De verantwoordelijkheid voor AVG-naleving ligt altijd bij de organisatie of persoon die de website online zet, niet bij de AI-tool die de code heeft gegenereerd. De AVG kent geen uitzondering voor AI-gegenereerde software.

Jij bent als deployer de verwerkingsverantwoordelijke. Dat betekent dat je volledig aansprakelijk bent voor hoe persoonsgegevens worden verzameld, opgeslagen en verwerkt. Het gebruik van een AI-codeertool houdt geen overdracht van aansprakelijkheid in. De wet kijkt niet naar hoe een applicatie is gebouwd, maar naar wat die applicatie doet met persoonsgegevens. Wil je een vibecoded website daadwerkelijk publiceren? Laat dan een developer of IT-adviseur meekijken op beveiliging en AVG-compliance voordat je live gaat.

Welke persoonsgegevens verzamelt een vibecoded website standaard? #

AI-gegenereerde websites verzamelen vaak meer persoonsgegevens dan je verwacht, deels bewust en deels onbedoeld. Onder de AVG is elk gegeven dat direct of indirect herleidbaar is tot een persoon een persoonsgegeven. Dit verzamelt een vibecoded website typisch:

• Contactformulieren: namen, e-mailadressen en berichten.
• Analytics scripts: paginaweergaven, sessieduur en gebruikersgedrag.
• IP-adressen: standaard gelogd door vrijwel elke webserver.
• Cookies: sessiecookies, voorkeurscookies en trackingcookies.
• Ingebedde third-party diensten: Google Fonts, reCAPTCHA of social media embeds die ongemerkt data naar externe servers sturen.
• Debugging-telemetrie: muisbewegingen, klikpatronen of foutlogs die AI-code automatisch genereert.

Dit botst vaak met het dataminimalisatieprincipe van de AVG: je mag alleen gegevens verzamelen die strikt noodzakelijk zijn voor het doel.

Hoe voeg je een AVG-conforme cookiebanner toe aan een vibecoded website? #

Een AVG-conforme cookiebanner vereist opt-in vóór plaatsing van niet-essentiële cookies, granulaire keuzemogelijkheden en een eenvoudige intrekkingsoptie. Volg deze stappen:

1. Kies een bestaande CMP (Consent Management Platform) zoals Cookiebot of CookieYes in plaats van AI een eigen oplossing te laten genereren.
2. Blokkeer scripts technisch totdat de bezoeker toestemming geeft. De meeste gratis plugins tonen een banner maar pauzeren het onderliggende JavaScript niet, dat is een grote juridische kwetsbaarheid.
3. Toon “Alles weigeren” even prominent als “Alles accepteren” op de eerste laag van de banner, met identiek visueel gewicht.
4. Registreer toestemming: leg vast wanneer een bezoeker consent gaf, welke versie van de melding werd getoond en waarmee is ingestemd.
5. Implementeer Google Consent Mode v2 als je Google Analytics gebruikt, dit is verplicht voor websites in de EEA.

Een veelgemaakte fout bij vibecoded websites: AI-code laadt trackingscripts direct bij het openen van de pagina, nog vóórdat enige consent-interactie plaatsvindt. Controleer dit altijd in de broncode.

Moet een vibecoded website een privacyverklaring hebben? #

Ja, elke website die persoonsgegevens verwerkt is onder artikel 13 en 14 van de AVG verplicht om een privacyverklaring te publiceren. Een vibecoded website vormt daarop geen uitzondering. Je privacyverklaring moet duidelijk en begrijpelijk beschrijven welke gegevens je verzamelt, voor welke doeleinden, op basis van welke juridische grondslag, hoe lang je gegevens bewaart en welke rechten betrokkenen hebben, waaronder het recht op inzage, correctie en verwijdering.

Let op: AI-gegenereerde boilerplate privacyteksten missen vrijwel altijd organisatiespecifieke details. Vermeld expliciet welke third-party diensten je website gebruikt, waar data wordt opgeslagen en of er sprake is van doorgifte naar het buitenland. Vooral bij vibecoding is dat laatste relevant, omdat veel achterliggende diensten standaard data in de VS verwerken.

Hoe test je of een vibecoded website AVG-proof is? #

Het testen van een AI-gegenereerde website op AVG-compliance vereist continue validatie in plaats van een eenmalige check. Gebruik deze praktische aanpak:

1. Cookie-scan uitvoeren: gebruik tools zoals de Cookiebot Scanner om te verifiëren welke cookies en trackers actief zijn, ook vóór consent.
2. Netwerkinspectie: controleer via de browser-devtools welke datastromen naar derde partijen lopen bij het laden van de pagina.
3. Broncode-review: behandel alle AI-output als onbetrouwbaar en laat een specialist de gegenereerde code reviewen op verborgen dataverzameling.
4. Formuliervelden beoordelen: vraag je bij elk veld af of het strikt noodzakelijk is, dataminimalisatie is een AVG-eis.
5. Verwerkingsregister controleren: documenteer alle verwerkingsactiviteiten en zorg dat ze overeenkomen met wat je website daadwerkelijk doet.
6. GDPR-checklist van de Autoriteit Persoonsgegevens nalopen: gebruik de officiële AP-richtlijnen als toetssteen.

Herhaal deze stappen bij elke update, want nieuwe AI-gegenereerde code kan ongemerkt nieuwe dataverzameling introduceren.

Wat zijn de gevolgen als een vibecoded website de AVG schendt? #

De gevolgen van een AVG-schending zijn aanzienlijk, ook voor kleinere organisaties. De Autoriteit Persoonsgegevens kan boetes opleggen tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Maar financiële sancties zijn niet het enige risico:

• Reputatieschade: een datalek of AVG-boete ondermijnt het vertrouwen van klanten en partners.
• Meldplicht datalekken: bij een datalek moet je dit melden bij de AP én aan de betrokken personen.
• Civielrechtelijke claims: betrokkenen kunnen schadevergoeding eisen als hun persoonsgegevens onrechtmatig zijn verwerkt.
• Actieve handhaving: de Nederlandse AP gaf formele waarschuwingen aan meer dan 200 websites en de handhaving wordt ieder jaar intensiever.

Compliance-fouten in vibecoded websites zijn geen willekeurige bugs, ze zijn een voorspelbaar gevolg van een workflow die “het werkt” als eindstreep behandelt in plaats van “het voldoet aan de wet”.

Wil je zekerheid dat jouw digitale omgeving, of die nu vibecoded is of gebouwd op het Microsoft Power Platform, voldoet aan de AVG? Onze Compliance & Security Scan brengt risico’s, kwetsbaarheden en compliancegaten in kaart en geeft je concreet advies om je omgeving veiliger en transparanter in te richten. Neem gerust contact met ons op om de mogelijkheden te bespreken.