AI in de salon en de praktijk: wat geldt, wat u mag tonen

In een salon gelden meerdere regels tegelijk, en de EU AI-verordening is niet de scherpste. Een huidanalyse verwerkt gezondheidsgegevens en vraagt uitdrukkelijke toestemming. Voor-en-na-beelden van een botoxbehandeling zijn publieksreclame voor een receptgeneesmiddel — en die is verboden, met of zonder label. Wie alleen labelt, denkt een probleem opgelost te hebben dat hij nog niet heeft aangeraakt.

Door Patrick de Kathen, Oprichter van KlarComply · Vakinhoudelijk getoetst op 17 september 2026

De drie dingen die werkelijk gelden

Schoonheidssalons, cosmetische klinieken en kapsalons gebruiken AI al een tijd — meestal zonder het zo te noemen. Drie toepassingen tellen juridisch, en zij vallen onder verschillende regels.

Onder de EU AI-verordening geldt voor kleine en middelgrote ondernemingen het lagere van de twee bedragen (art. 99 lid 6). Onder de AVG het hogere. En het realistische scenario voor een salon is niet het maximum: één ontevreden klant kan gratis een klacht indienen bij de Autoriteit Persoonsgegevens — en dan moet u de toestemming kunnen laten zien.

De huidanalyse is het serieuze onderdeel

Wie een gezichtsfoto door een huidanalyse haalt, krijgt een bevinding: pigmentatie, roodheid, hydratatie, rimpeldiepte. Die bevinding zegt iets over de gezondheidstoestand van een persoon — en is daarmee een gezondheidsgegeven in de zin van artikel 4 lid 15 AVG. Gezondheidsgegevens behoren tot de bijzondere categorieën van artikel 9 lid 1.

Wat dat in de praktijk betekent: de verwerking is in beginsel verboden. Zij wordt pas rechtmatig door een uitzondering — in een salon vrijwel altijd uitdrukkelijke toestemming naar artikel 9 lid 2 sub a. „Uitdrukkelijk” betekent: niet verstopt in de kleine lettertjes, geen vinkje naast de algemene voorwaarden, maar een aparte, begrijpelijke verklaring die de klant bewust geeft.

En de app-aanbieder?

De app verwerkt de gegevens in uw opdracht. Dat vraagt een verwerkersovereenkomst naar artikel 28 AVG. Serieuze aanbieders hebben die klaarliggen en vertellen u waar hun servers staan; een aanbieder die die vraag niet beantwoordt, heeft haar beantwoord.

Drie vragen die u stelt voordat u een van hen gebruikt:

• Waar staan de servers, en is er een verwerkersovereenkomst?
• Worden de beelden gebruikt om het model te trainen — en is dat uit te schakelen?
• Hoe lang worden ze bewaard, en hoe wist u ze?

Voor-en-na-beelden: drie vragen, en labelen is de laatste

Vraag 1: mag u het beeld überhaupt tonen?

Nederland kent geen algemeen verbod op voor-en-na-beelden zoals het Duitse Heilmittelwerbegesetz. Maar twee regels bijten wel degelijk. Ten eerste: botulinetoxine is een receptplichtig geneesmiddel, en publieksreclame voor receptgeneesmiddelen is verboden (artikel 85 Geneesmiddelenwet, toezicht door de Inspectie Gezondheidszorg en Jeugd). Een voor-en-na-beeld dat een botoxbehandeling aanprijst, is precies dat — ongeacht toestemming of label. Ten tweede: injectables zijn een voorbehouden handeling naar artikel 36 Wet BIG; een salon zonder arts mag ze niet zetten en dus ook niet als eigen aanbod adverteren.

Voor alles wat wél getoond mag worden, geldt het gewone reclamerecht: een resultaat beloven dat het beeld niet waarmaakt, is een misleidende handelspraktijk (art. 6:193a e.v. BW) en een zaak voor de Reclame Code Commissie. Het eerlijkste echte werk overtuigt het meest.

Vraag 2: hebt u toestemming — voor publicatie?

Dat is niet dezelfde toestemming als die voor de huidanalyse. Een behandelfoto toont de gezondheidstoestand van één identificeerbare persoon; publiceren is een aparte verwerking van bijzondere gegevens en vraagt eigen uitdrukkelijke toestemming naar artikel 9 lid 2 sub a AVG.

Drie dingen die geregeld misgaan:

• Toestemming is altijd intrekbaar (art. 7 lid 3 AVG). Trekt zij haar in, dan gaat het beeld eraf — ook van Instagram, en ook na twee jaar.
• Zij moet specifiek zijn. Waar mag het verschijnen, hoe lang, in welke context? Een blanco toestemming houdt geen stand.
• Onherkenbaar gemaakt is niet anoniem. Een balk over de ogen volstaat niet als een moedervlek, een tatoeage of de ruimte de persoon herkenbaar maakt.

Vraag 3: was er AI in het spel? Dan labelen

Pas nu komt artikel 50 van de EU AI-verordening aan bod, van toepassing sinds 2 augustus 2026: wie beeld-, audio- of videocontent met AI genereert of bewerkt, moet dat herkenbaar maken. Dat geldt voor resultaatsimulaties, AI-ondersteunde retouches en volledig gegenereerde beelden — niet voor een gewone foto bij goed licht.

De afsprakenbot moet zich bekendmaken

Antwoordt een bot op uw website of in uw berichten, dan moet de klant kunnen merken dat zij met een machine praat — tenzij het uit de context duidelijk is. Eén regel doet het: „U chat met een automatische assistent. Voor een persoonlijk gesprek belt u ons.”

Bent u arts: dan geldt het strafrecht

Alles hierboven geldt ook voor dermatologiepraktijken en klinieken onder leiding van een arts — plus iets van een totaal andere orde.

In de praktijk betekent dat: een huidbeeld of een bevinding in een algemene AI-tool kan het misdrijf opleveren, ook als de uitvoer de praktijk nooit verlaat.

De weg die rechtmatig is

Het beroepsgeheim laat het inschakelen van hulppersonen — ook IT- en AI-aanbieders — toe, maar onder voorwaarden:

• De aanbieder moet contractueel tot geheimhouding verplicht zijn. Een verwerkersovereenkomst alleen is niet genoeg: die regelt de gegevensbescherming, niet het beroepsgeheim. U hebt beide nodig.
• Toegang gaat niet verder dan strikt noodzakelijk.
• De techniek moet volgens de stand van de techniek zijn ingericht — voor zorgaanbieders is dat NEN 7510 — zodat onbevoegden, ook het eigen personeel van de aanbieder, niet bij de inhoud kunnen.
• Wie zo gebonden is, draagt zelf de geheimhoudingsplicht. Dat is de zin van de regel, en het is uw toets: een aanbieder die die toezegging niet wil tekenen, heeft u iets verteld.

De tweede weg is de toestemming van de patiënt, die de bekendmaking rechtmatig maakt — maar zij moet geïnformeerd zijn en noemen wie de gegevens ontvangt. Een blanco regel op het intakeformulier draagt dat niet.

En als de AI een beoordeling geeft?

Zodra een systeem niet alleen beschrijft maar beoordeelt — „deze moedervlek ziet er verdacht uit” — rijst de vraag of het een medisch hulpmiddel is. Dan gelden de Medical Device Regulation en de CE-markering, en de EU AI-verordening deelt zulke systemen via bijlage I in. Die AI-plichten zijn uitgesteld tot 2 augustus 2028; de regels voor medische hulpmiddelen niet. Laat u door de fabrikant schriftelijk bevestigen of zijn systeem als medisch hulpmiddel in de handel is gebracht — het antwoord beslist veel.

En de training?

Sinds 2 februari 2025 verplicht artikel 4 u maatregelen te nemen die de AI-geletterdheid van uw medewerkers bevorderen — sinds de Digital Omnibus een inspanningsverplichting, geen resultaatsverplichting. Er is geen personeelsdrempel: het geldt voor de salon met drie mensen net zo goed als voor de keten.

Om er eerlijk over te zijn: artikel 4 draagt op zichzelf geen boete. Artikel 99 lid 4 somt de beboetbare verplichtingen limitatief op, en artikel 4 staat er niet in. Wie u iets anders vertelt, verkoopt met angst.

Waarom het toch telt: als er iets misgaat — een ongelabeld beeld, een analyse zonder toestemming — is de eerste vraag altijd dezelfde: wisten uw medewerkers wat ze deden? Een gedateerd trainingsbewijs beantwoordt haar. Niets anders doet dat.

Een plan dat u in één middag afmaakt

1. Schrijf op wat u gebruikt. Huidanalyse, beeldbewerking, afsprakenbot, teksttools voor social media. Het is meestal meer dan u denkt.
2. Scheid de toestemming. Een aparte verklaring voor de huidanalyse, met de aanbieder en de bewaartermijn erin.
3. Vraag de verwerkersovereenkomst op bij elke aanbieder die klantgegevens ziet.
4. Spreek een label af. Eén zin die iedereen in het team op dezelfde manier gebruikt.
5. Train het team en bewaar het bewijs. Met datum, anders telt het niet.

Veelgestelde vragen

Is een AI-huidanalyse überhaupt toegestaan?

Ja, met uitdrukkelijke toestemming naar artikel 9 lid 2 sub a AVG. Zonder die toestemming is de verwerking verboden, omdat een huidbevinding een gezondheidsgegeven is en dus onder de bijzondere categorieën valt.

Volstaat de toestemming die bij de inschrijving is getekend?

In de regel niet. Toestemming voor de behandeling en toestemming voor een AI-ondersteunde huidanalyse zijn twee verschillende handelingen. De tweede moet de analyse, de aanbieder en het lot van de beelden uitdrukkelijk noemen.

Zijn gezichtsfoto's biometrische gegevens?

Niet automatisch. Volgens overweging 51 AVG wordt een foto pas een biometrisch gegeven als specifieke technische verwerking de unieke identificatie van een persoon mogelijk maakt. Een huidanalyse identificeert niet, zij beoordeelt — daarom is de kwalificatie als gezondheidsgegeven de beslissende.

Moet ik elke bewerkte foto labelen?

Labelen is verplicht waar AI de inhoud heeft gegenereerd of bewerkt — een resultaatsimulatie, of een AI-ondersteunde retouche. Een gewone foto bij goed licht zonder AI-tool valt er niet onder. Belangrijk: een label maakt niets rechtmatig wat anders verboden zou zijn.

Mag ik voor-en-na-beelden van een botoxbehandeling tonen als ik ze label?

Nee. Botulinetoxine is een receptplichtig geneesmiddel, en publieksreclame voor receptgeneesmiddelen is verboden naar artikel 85 Geneesmiddelenwet — de IGJ handhaaft dat met bestuurlijke boetes. Een label verandert daar niets aan. Bovendien zijn injectables een voorbehouden handeling naar artikel 36 Wet BIG: een salon zonder arts mag ze niet aanbieden.

Mijn klant is akkoord — is dat dan niet genoeg?

Niet voor een reclameverbod: dat beschermt niet de getoonde persoon, maar het publiek tegen het aanprijzen van receptgeneesmiddelen. Haar toestemming kan het niet opheffen. Waar beelden wél mogen, is haar toestemming onmisbaar — een aparte, voor publicatie, die zij altijd kan intrekken.

Wat kost het als ik niets doe?

Onder de AVG tot € 20 miljoen of 4 % van de wereldwijde jaaromzet, het hogere bedrag. Onder de EU AI-verordening tot € 15 miljoen of 3 % — en daar geldt voor kleine en middelgrote ondernemingen het lagere bedrag. Realistischer dan een toezichthouder is echter een klacht van een concurrent of een klant.

Ik ben dermatoloog. Mag ik een huidbeeld in een AI-tool laden?

Alleen onder voorwaarden. Het prijsgeven van een patiëntgeheim schendt artikel 88 Wet BIG en is strafbaar naar artikel 272 Wetboek van Strafrecht — tot een jaar gevangenisstraf of een geldboete. Gegevens waar het personeel van de aanbieder bij kan, zijn aan een derde prijsgegeven, of iemand ze leest of niet. Rechtmatig wordt het met een geheimhoudingsverklaring van de aanbieder plus verwerkersovereenkomst, of met de geïnformeerde toestemming van de patiënt.

Is een verwerkersovereenkomst met de AI-aanbieder genoeg?

Voor de gegevensbescherming ja, voor het beroepsgeheim nee. Een verwerkersovereenkomst dekt artikel 28 AVG; het beroepsgeheim vraagt een aparte, uitdrukkelijke geheimhoudingstoezegging. Vraag de aanbieder precies daarnaar — niet naar de verwerkersovereenkomst, die iedereen heeft.

Heb ik hier een jurist voor nodig?

Voor het standaardgeval niet. Register, toestemmingstekst, label en trainingsbewijs zijn met sjablonen te regelen. Een jurist is de moeite waard als u met gezondheidsgegevens werkt die verder gaan dan de huidanalyse, of als er al een klacht ligt.