Meta Llama - GDPR & Gegevensprivacy Overzicht voor Europese Klanten

Versie: maart 2026 - opgesteld door WAIMAKERS B.V.

1 Doel

Dit overzicht legt uit hoe Meta Llama (open-source large language models) omgaat met gegevens in relatie tot de GDPR, met de nadruk op Europese klanten. Llama verschilt fundamenteel van traditionele SaaS-AI-tools: het is een open-source modelfamilie die zelfgehost kan worden, waardoor gebruikers volledige controle hebben over gegevens en infrastructuur. Meta biedt echter ook Meta AI-chatbot en Llama API-hostingdiensten aan, die significante GDPR-bezwaren oproepen.

Cruciaal onderscheid: Zelfgehoste Llama-modellen versus door Meta beheerde diensten hebben volledig verschillende privacyprofielen.

2 Vergelijking van Llama-implementatieopties (EU-focus)

Implementatie	Training op uw gegevens?	Gegevensbewaring	EU-residentie	Compliance	Prijs
Zelfgehoste Llama-modellen	✅ Nee (volledige gegevenscontrole)	Door gebruiker bepaald	✅ Keuze van de gebruiker (overal te implementeren)	Verantwoordelijkheid van de gebruiker	Gratis (licentiebeperkingen van toepassing)
Meta AI Chatbot (Gratis)	⚠️ Ja (vanaf 27 mei 2025)	Ongedefinieerd	❌ Vermoedelijk VS	Meta bepaalt	$0 (100k tokens/maand)
Meta AI+ Abonnement	⚠️ Ja (vanaf 27 mei 2025)	Ongedefinieerd	❌ Vermoedelijk VS	Meta bepaalt	$10/maand
Llama API (gelanceerd LlamaCon, apr. 2025)	⚠️ Vermoedelijk Ja	Per API ToS (apr 2025)	❌ Vermoedelijk VS	DPA beschikbaar	$0,10-$0,90/M tokens
Hosting door derden	Afhankelijk van provider	Afhankelijk van provider	Afhankelijk van provider	Verantwoordelijkheid van provider	Varieert (bijv. AWS, Azure, Replicate)

Aandachtspunten voor Europa

Zelfgehost = GDPR-vriendelijk: Wanneer u Llama-modellen zelf downloadt en implementeert, heeft Meta NULPUNT toegang tot uw gegevens. U controleert de infrastructuur, dataresidentie, bewaring en verwerking. Dit is de aanbevolen aanpak voor EU-organisaties.
Door Meta beheerde diensten = HOOG RISICO: Vanaf 27 mei 2025 heeft Meta aangekondigd dat het publieke gegevens van EU-gebruikers van Facebook en Instagram zal gebruiken om Llama en Meta AI-systemen te trainen, daarbij steunend op "gerechtvaardigd belang" in plaats van toestemming. Dit leidde tot:
- Klachten ingediend door noyb in 11 EU-landen
- Onderzoek door de Irish Data Protection Commission
- Brede regelgevende bezorgdheid over GDPR-compliance
Controverse over trainingsbeleid: Meta beroept zich op "gerechtvaardigd belang" op grond van GDPR Art. 6(1)(f) als rechtsgrondslag voor training op EU-gebruikersgegevens. Veel privacyadvocaten en toezichthouders betwisten dit. Opt-out is beschikbaar, maar wordt bekritiseerd als onvoldoende.
Llama 4-verbod voor EU-ontwikkelaars: Llama 4 (100% multimodaal) is volledig verboden voor in de EU gevestigde ontwikkelaars vanwege Meta's trainingsgegevensbeleid. Uitzondering: niet-EU-bedrijven mogen Llama 4-producten bouwen die EU-klanten bedienen, maar in de EU gevestigde ontwikkelaars mogen Llama 4 helemaal niet gebruiken.
Llama API gelanceerd (LlamaCon, april 2025): Meta lanceerde zijn hosted Llama API voor $0,10-$0,90 per miljoen tokens, afhankelijk van modelgrootte.
Irish DPC verklaarde Meta's aanpak toelaatbaar (mei 2025): De Ierse toezichthouder keurde Meta's gebruik van Europese publieke gegevens voor AI-training goed op basis van "gerechtvaardigd belang" - maar dit blijft betwist door noyb en andere partijen.
noyb cease-and-desist (mei 2025): noyb stuurde Meta een formele cease-and-desist-brief over AI-training op EU-gegevens; een Europese class action wordt als mogelijke volgende stap beschreven.
Hamburg DPA spoedprocedure: De Hamburgse toezichthouder startte een spoedprocedure op grond van artikel 66 GDPR; een Duitse rechtbank wees het verzoek om een voorlopige maatregel af.
EU Digital Omnibus: De Europese Commissie stelde wijzigingen op de AVG voor via het Digital Omnibus-pakket om AI-training op publiek beschikbare gegevens te vergemakkelijken - uitkomst nog onbekend.
Licentieverlening: Llama maakt gebruik van de "Community License Agreement" (geen echte open source). Gratis voor commercieel gebruik, tenzij u meer dan 700 miljoen maandelijkse actieve gebruikers heeft; dan is een aparte licentie van Meta vereist.
Geen enterprise-complianceniveau: In tegenstelling tot commerciële AI-leveranciers biedt Meta geen SOC 2, ISO 27001 of formele DPA voor zelfgehoste Llama-modellen (niet van toepassing op te downloaden software).

3 Is Llama GDPR-Compliant?

Kort antwoord: Het hangt volledig af van de implementatiemethode.

✅ Zelfgehoste Llama-modellen: JA (door gebruiker bepaald)

Waarom dit GDPR-vriendelijk is:

Meta ziet uw gegevens nooit; het is gewoon software die u lokaal uitvoert
U controleert de dataresidentie (implementeer in EU-datacenters)
U controleert het bewaarbeleid
U controleert toegang, versleuteling en beveiliging
Geen externe subverwerkers betrokken (tenzij u daarvoor kiest)
U bent zowel verwerkingsverantwoordelijke als verwerker

Wat u zelf moet waarborgen:

Veilige infrastructuur (uw verantwoordelijkheid)
Adequate toegangscontroles en logboekregistratie
Naleving van het Acceptable Use Policy
Licentienaleving (commerciële gebruiksbeperkingen bij 700M+ gebruikers)

⚠️ Door Meta beheerde diensten (Meta AI, Llama API): HOOG RISICO

Waarom dit bezwaren oproept:

Actieve GDPR-controverse: Meta's aankondiging in mei 2025 om te trainen op EU-Facebook/Instagram-gegevens leidde tot meerdere regelgevende klachten
Gerechtvaardigd belang betwist: Meta beroept zich op Art. 6(1)(f) "gerechtvaardigd belang" in plaats van toestemming; veel toezichthouders en advocaten betwisten deze rechtsgrondslag
Gebrek aan transparantie: Bewaringstermijnen, gegevensstromen en subverwerkers zijn niet duidelijk gedocumenteerd voor de Meta AI-chatbot
VS-infrastructuur: Geen EU-dataresidentie-optie beschikbaar voor door Meta beheerde diensten
Standaard training: In tegenstelling tot commerciële AI-leveranciers die no-training-niveaus aanbieden, traint Meta standaard op gebruikersgegevens (opt-out vereist)

Wat Meta biedt:

Opt-out-mechanisme (via privacyinstellingen, bekritiseerd als onvoldoende)
Llama API Terms of Service (bijgewerkt op 29 april 2025)
Verklaart privéberichten en accounts van minderjarigen uit te sluiten van training

Regelgevende acties:

Juni 2024: noyb diende GDPR-klachten in bij 11 EU-landen
2024: Irish DPC uitte bezwaren; Meta pauzeerde implementatie
Mei 2025: Meta hervatte plannen om te trainen op EU-gegevens vanaf 27 mei 2025
Mei 2025: Irish DPC verklaarde Meta's gebruik van Europese publieke gegevens toelaatbaar op basis van "gerechtvaardigd belang"
Mei 2025: noyb stuurde Meta een cease-and-desist-brief; Europese class action als mogelijke volgende stap
2025: Hamburg DPA startte artikel 66-spoedprocedure; Duitse rechtbank wees verzoek om voorlopige maatregel af
Lopend: Meerdere onderzoeken en mogelijke handhavingsmaatregelen; EU Digital Omnibus-wijzigingen van de AVG voor AI-training in behandeling

Aanbeveling per implementatiemethode:

Gebruiksscenario	Aanbevolen aanpak	GDPR-status
Interne AI-tools, EU-persoonsgegevens	Zelfgehoste Llama op EU-infrastructuur	✅ Compliant (met adequate controles)
Klantgerichte chatbot, EU-gegevens	Zelfgehoste Llama of commerciële leverancier (OpenAI/Anthropic Enterprise)	✅ Compliant (met DPA, SCCs)
Niet-gevoelig experimenteren	Meta AI-chatbot met opt-out	⚠️ Risicovol (actieve regelgevende aandacht)
Elk gebruik van EU-persoonsgegevens	Vermijd door Meta beheerde diensten	❌ Niet aanbevolen

4 Details per Aanbieding

Zelfgehoste Llama-modellen (Aanbevolen voor EU)

Wat het is: Download Llama-modelbestanden van Meta en implementeer op uw eigen infrastructuur (on-premises, AWS, Azure, GCP, etc.)

Beschikbare modellen:

Llama 2 (7B, 13B, 70B parameters)
Llama 3 / 3.1 (8B, 70B, 405B parameters)
Llama 4 Scout (tot 10M token context) - EU-ontwikkelaars: VERBODEN te gebruiken
Code Llama (gespecialiseerd voor programmeren)

GDPR-overwegingen:

✅ Volledige gegevenscontrole: Meta heeft nulpunt toegang tot uw gegevens
✅ EU-dataresidentie: Implementeer in EU-datacenters naar uw keuze
✅ Geen training op uw gegevens: Modellen zijn vooraf getraind; uw inferentiegegevens blijven bij u
✅ Geen subverwerkers: U controleert de volledige stack
✅ Gebruikersgedefinieerde bewaring: Verwijder gegevens conform uw eigen beleid

Licentievereisten:

Gratis voor commercieel gebruik bij minder dan 700M maandelijkse actieve gebruikers
Moet voldoen aan het Acceptable Use Policy (verbiedt illegaal gebruik, desinformatie, etc.)
Naamsvermelding van Meta vereist in bepaalde contexten
Licentie beschikbaar via llama.com/license

Prijs: Gratis (infrastructuurkosten zijn voor uw rekening)

Wanneer te gebruiken: Elke verwerking van EU-persoonsgegevens, gereguleerde sectoren, bedrijfseigen gegevens

Wanneer niet te gebruiken: Als u niet beschikt over de infrastructuur- of ML-expertise om modellen te implementeren en te onderhouden

Meta AI Chatbot (NIET Aanbevolen voor EU)

Wat het is: Consumenten-chatbot toegankelijk via meta.ai, Facebook, Instagram, WhatsApp

GDPR-bezwaren:

⚠️ Traint op uw gesprekken: Meta gebruikt chats met Meta AI om modellen te trainen (vanaf 27 mei 2025)
⚠️ Traint op sociale-mediagegevens: Publieke Facebook/Instagram-berichten, foto's en reacties worden gebruikt voor training
⚠️ Rechtsgrondslag gerechtvaardigd belang: Meta beroept zich op Art. 6(1)(f) GDPR; velen betwisten de geldigheid
⚠️ Opt-out vereist: U moet handmatig bezwaar maken tegen verwerking (geen opt-in-toestemming)
⚠️ Actieve regelgevende aandacht: Meerdere GDPR-klachten en lopende onderzoeken
❌ Geen EU-dataresidentie
❌ Ongedefinieerde bewaringstermijnen
❌ Geen formele DPA

Prijsstelling:

Gratis niveau: 100.000 tokens/maand, advertenties, 30-daags geheugen, 3 afbeeldingen/prompt, 60 gesproken uitwisselingen/dag
Meta AI+ ($10/maand): Verbeterde snelheid, Llama 4 Scout, 10M token context, prioritaire toegang

Wanneer te gebruiken: Nooit voor EU-persoonsgegevens of GDPR-gereguleerde gebruiksscenario's

Wanneer niet te gebruiken: Elke EU-organisatie die persoonsgegevens verwerkt

Llama API (door Meta gehost)

Wat het is: API-toegang tot door Meta beheerde Llama-modellen

Status: Gelanceerd op LlamaCon (april 2025). API Terms of Service gepubliceerd op 29 april 2025. Prijsstelling: $0,10-$0,90 per miljoen tokens. Beperkte publieke documentatie over GDPR-specifieke aspecten.

GDPR-overwegingen:

⚠️ Waarschijnlijk onderworpen aan hetzelfde trainingsbeleid als Meta AI (onduidelijk)
⚠️ VS-infrastructuur (geen EU-residentie bevestigd)
⚠️ Bewaarbeleid niet publiek gedocumenteerd
✅ API ToS beschikbaar (vereist beoordeling)
❓ Beschikbaarheid DPA onbekend

Aanbeveling: Gebruik zelfhosting, of kies voor commerciële alternatieven (OpenAI, Anthropic, Mistral) met duidelijke GDPR-kaders.

Llama-hosting door Derden

Wat het is: Cloudproviders (AWS Bedrock, Azure AI, Replicate, Together AI, etc.) hosten Llama-modellen

GDPR-overwegingen:

✅ Onderworpen aan de DPA en compliancecertificeringen van de cloudprovider
✅ EU-dataresidentie doorgaans beschikbaar (AWS Frankfurt, Azure West Europe, etc.)
✅ Geen betrokkenheid van Meta bij gegevensverwerking
✅ Commerciële DPA's met SCCs beschikbaar
⚠️ Trainingsbeleid verschilt per provider (de meeste bieden no-training voor betaalde niveaus)

Prijsstelling: Varieert per provider (doorgaans $0,20-$2,00 per miljoen tokens, afhankelijk van modelomvang)

Aanbeveling: Goede middenweg tussen zelfhosting en door Meta beheerde diensten. Controleer de GDPR-compliance van de provider.

5 Gegevensverwerkingsstroom

Zelfgehoste Implementatie (GDPR-Vriendelijk)

[Gebruikersprompt]
  ↓
[Uw applicatielaag] 🇪🇺
  ↓
[Llama-model (draait op uw infrastructuur)] 🇪🇺
  ├─ EU-datacenter (uw keuze)
  ├─ Uw beveiligingscontroles
  └─ Uw bewaarbeleid
  ↓
[Antwoord aan gebruiker]
  ↓
[Gegevens opgeslagen conform UW beleid]

❌ Meta heeft NULPUNT toegang tot uw gegevens
✅ U controleert alles

Door Meta Beheerde Diensten (HOOG RISICO)

[Gebruikersprompt of Facebook/Instagram-activiteit]
  ↓
[Meta Platform (VS-infrastructuur)] 🇺🇸
  ↓
[Meta AI / Llama API]
  ├─ OpenAI (potentiële subverwerker)
  ├─ Anthropic (potentiële subverwerker)
  └─ Andere niet-bekendgemaakte subverwerkers
  ↓
[Beslissingspunt Training]
  ├─ Standaard: Gegevens GEBRUIKT voor training Llama-modellen
  └─ Bij opt-out: Onduidelijk of gegevens nog worden bewaard/verwerkt
  ↓
[Antwoord aan gebruiker]
  ↓
[Gegevensbewaring: PUBLIEK ONGEDEFINIEERD]

⚠️ Actieve GDPR-controverse (noyb-klachten, DPC-onderzoek)
⚠️ Rechtsgrondslag betwist (gerechtvaardigd belang vs. toestemming)
❌ Geen EU-dataresidentie

6 Aanbevelingen (GDPR-first)

Voor EU-organisaties:

Zelfhost Llama-modellen op EU-infrastructuur voor volledige GDPR-controle
Gebruik nooit Meta AI-chatbot voor EU-persoonsgegevens of werkdoeleinden
Vermijd door Meta gehoste Llama API totdat GDPR-compliance duidelijk is vastgesteld en regelgevende controverses zijn opgelost
Gebruik Llama-hosting door derden (AWS, Azure) met adequate DPA en EU-residentie als zelfhosting niet haalbaar is
Volg regelgevende ontwikkelingen: De trainingscontroverse van mei 2025 is nog gaande; handhavingsmaatregelen kunnen volgen

Bij Zelfhosting:

Implementeer in EU-datacenters (Frankfurt, Amsterdam, Parijs, etc.)
Implementeer adequate toegangscontroles, versleuteling in rust/transit en logboekregistratie
Documenteer als verwerker in Art. 30-registers
Zorg voor naleving van de Llama Community License en het Acceptable Use Policy
Overweeg beheerde Llama-hosting (AWS Bedrock, Azure) voor eenvoudigere compliance

Bij Overweging van Door Meta Beheerde Diensten:

GEBRUIK NIET voor enige EU-persoonsgegevens totdat regelgevende duidelijkheid is verkregen
Volg de uitkomsten van noyb-klachten en het Irish DPC-onderzoek
Wacht op formele DPA's met SCCs en duidelijk bewaarbeleid
Zelfs met opt-out blijft de rechtsgrondslag betwist

7 EU-implementatie Checklist (Zelfgehost)

Llama-modellen downloaden - Accepteer de Community License via llama.com
Implementeren op EU-infrastructuur - AWS Frankfurt, Azure West Europe, OVH, Hetzner of on-premises
Beveiligingscontroles implementeren - Versleuteling, toegangscontroles, logboekregistratie, monitoring
Verwerking documenteren - Toevoegen aan Art. 30-registers als verwerkingsverantwoordelijke/verwerker
Acceptable Use Policy beoordelen - Zorg dat uw gebruiksscenario voldoet aan de beperkingen van Meta
Bewaarbeleid vaststellen - Bepaal hoe lang u gebruikersprompts en modeluitvoer bewaart
Transparantie naar gebruikers - Informeer gebruikers dat u Llama-modellen gebruikt (bij verwerking van persoonsgegevens)

8 Snelle Antwoorden voor EU-inkoop

Is Llama GDPR-compliant?

✅ Ja, bij zelfhosting met adequate controles. ❌ Nee, bij gebruik van door Meta beheerde diensten (actieve GDPR-controverse).

Mogen wij het gebruiken voor EU-persoonsgegevens?

✅ Ja, bij zelfhosting op EU-infrastructuur met adequate beveiliging. ❌ Nee, bij gebruik van Meta AI-chatbot of door Meta beheerde API.

Is er EU-dataresidentie?

✅ Ja, bij zelfhosting (u kiest de locatie). ❌ Nee, voor door Meta beheerde diensten (VS-infrastructuur).

Traint Meta op onze gegevens?

✅ Nee, bij zelfhosting (Meta ziet uw gegevens nooit). ⚠️ Ja, bij gebruik van door Meta beheerde diensten (vanaf 27 mei 2025, met opt-out beschikbaar maar betwist).

Waar gaat de controverse over?

Meta heeft in mei 2025 aangekondigd Llama te trainen op publieke Facebook/Instagram-berichten van EU-gebruikers, daarbij steunend op "gerechtvaardigd belang" in plaats van toestemming. noyb diende klachten in bij 11 EU-landen; Irish DPC doet onderzoek. Velen beschouwen dit als niet-GDPR-conform.

Wat zijn de licentiebeperkingen?

Gratis voor commercieel gebruik bij minder dan 700M maandelijkse actieve gebruikers. Moet voldoen aan het Acceptable Use Policy. Geen echte open source vanwege gebruiksbeperkingen.

Hoe zit het met certificeringen (SOC 2, ISO 27001)?

Niet van toepassing op zelfgehoste modellen (het is software, geen dienst). Door Meta beheerde diensten: geen publieke certificeringen beschikbaar. Gebruik hosting door derden (AWS, Azure) voor gecertificeerde infrastructuur.

9 Aandachtspunten & Voorbehouden

Open source ≠ geen privacybezwaren: Hoewel Llama-modellen open zijn, hebben Meta's hostingdiensten significante GDPR-problemen
Llama 4-verbod voor EU-ontwikkelaars: Llama 4 is 100% multimodaal en verboden voor in de EU gevestigde ontwikkelaars. Niet-EU-bedrijven mogen nog steeds Llama 4-producten bouwen voor EU-eindgebruikers, maar in de EU gevestigde organisaties mogen Llama 4 helemaal niet gebruiken.
Beleidswijziging mei 2025: Meta's beslissing om te trainen op EU-sociale-mediagegevens is ongekend en zeer controversieel
Irish DPC-goedkeuring (mei 2025): De Irish DPC keurde Meta's gebruik van publieke EU-gegevens voor AI-training goed op basis van "gerechtvaardigd belang" - maar deze beslissing wordt zelf betwist
Hamburg DPA-procedure: Hamburg startte een artikel 66-spoedprocedure; een Duitse rechtbank wees de voorlopige maatregel af, maar het juridisch geschil loopt door
Regelgevingsonzekerheid: EU Digital Omnibus-wijzigingen op de AVG voor AI-training zijn in behandeling; de uitkomst kan het juridische landschap fundamenteel veranderen
Opt-out bekritiseerd: Privacyadvocaten stellen dat opt-out onvoldoende is; de GDPR vereist doorgaans opt-in-toestemming voor gevoelige verwerking
Geen recht op verwijdering: Zodra gegevens zijn gebruikt om Llama te trainen, kunnen gebruikers het "recht op vergetelheid" niet uitoefenen voor die specifieke trainingsgegevens (modellen kunnen individuele datapunten niet "afleren")
Licentiebeperkingen: Community License verbiedt bepaald gebruik en vereist een aparte overeenkomst bij 700M+ gebruikers
Hosting door derden aanbevolen: Als zelfhosting te complex is, biedt AWS Bedrock, Azure AI of een andere beheerde dienst betere GDPR-compliance dan door Meta beheerde diensten
Llama 4 Scout context: 10M token contextvenster (7,5M woorden) maakt de verwerking van enorme documenten mogelijk, maar roept ook vragen op over dataminimalisatie

10 Disclaimer

Dit overzicht is uitsluitend bedoeld als informatief hulpmiddel, met name gezien de lopende regelgevende controverse rondom Meta's gebruik van EU-gegevens voor AI-training. De juridische status van Meta's claim op "gerechtvaardigd belang" wordt actief betwist en staat onder onderzoek. Wij adviseren klanten dringend om:

Door Meta beheerde diensten te vermijden (Meta AI, Llama API) voor enige EU-persoonsgegevens totdat regelgevende duidelijkheid is verkregen
Zelfhosting te verkiezen op EU-infrastructuur voor GDPR-conforme Llama-implementatie
Regelgevende ontwikkelingen te volgen - de uitkomsten van noyb-klachten en het Irish DPC-onderzoek zullen het toegestane gebruik aanzienlijk beïnvloeden
Juridisch advies in te winnen alvorens een Llama-gebaseerde oplossing te implementeren die EU-persoonsgegevens verwerkt

WAIMAKERS past dit principe ook intern toe; wij hosten Llama-modellen zelfstandig op EU-infrastructuur in plaats van door Meta beheerde diensten te gebruiken. Klanten dienen altijd zorgvuldig de officiële documentatie, licentievoorwaarden en regelgevende richtlijnen te evalueren alvorens te implementeren. WAIMAKERS kan niet juridisch aansprakelijk worden gesteld voor fouten, onnauwkeurigheden of voor de juistheid, actualiteit of volledigheid van deze informatie; de uiteindelijke verantwoordelijkheid voor GDPR-compliance berust bij de klant.

Opgesteld en uitgegeven door WAIMAKERS B.V. - Maart 2026.

Referenties

https://www.llama.com/llama3/license/ - Meta Llama 3 Community License
https://www.llama.com/llama3/use-policy/ - Llama 3 Acceptable Use Policy
https://noyb.eu/en/noyb-urges-11-dpas-immediately-stop-metas-abuse-personal-data-ai - noyb GDPR-klachten tegen Meta (juni 2024)
https://noyb.eu/en/noyb-sends-meta-cease-and-desist-letter-over-ai-training-european-class-action-potential-next-step - noyb Cease and Desist-brief (mei 2025)
https://www.siliconrepublic.com/enterprise/meta-collection-ai-data-eu-response-irish-dpc-request - Irish DPC verzoekt Meta EU-gegevensverzameling te stoppen (juni 2024)
https://ai.meta.com/responsible-ai/ - Meta Responsible AI Aanpak
https://www.facebook.com/privacy/genai/ - Meta Privacy Center: Hoe Meta informatie gebruikt voor Generatieve AI

Meta Llama

Hulp nodig bij AI?

Meta Llama

Hulp nodig bij AI?