Hersendata als nieuw privacyrisico voor ondernemers

TL;DR

• Wat: Techbedrijven in Silicon Valley brengen producten op de markt die hersenactiviteit meten — via oordopjes, hoofdbanden en AR-brillen.
• Waarom relevant: Als ondernemer kun je straks (onbedoeld) hersendata van medewerkers verzamelen, met alle juridische en ethische gevolgen van dien.
• Wat je ermee kunt: Inventariseer of je nu al wearables of wellness-tech inzet op de werkvloer, en besef dat hersendata onder de AVG als bijzondere persoonsgegevens kunnen vallen.

Ik viel over een bericht van WIRED dat me even stil liet staan: techbedrijven in Silicon Valley werken volop aan producten die je hersenactiviteit registreren. Niet in een ver laboratorium, maar in consumentenproducten die je nu al kunt kopen — of binnenkort kunt verwachten. Wat mij betreft raakt dit direct aan iets waar elke ondernemer over na moet denken.

Wat er aan de hand is

Bedrijven als Emotiv, Cognixion, Neuralink en Meta ontwikkelen apparaten die elektrische signalen uit je hersenen kunnen uitlezen. Emotiv maakt oordopjes die hersenactiviteit meten. Cognixion bouwt augmented reality-headsets met ingebouwde sensoren, oorspronkelijk bedoeld voor mensen met ALS. Meta onderzoekt een zogeheten Neural Band die gekoppeld wordt aan hun slimme brillen.

En het gaat verder dan consumentenelektronica. Hitachi produceert de SmartCap — een hoofdband die alertheid monitort bij vrachtwagenchauffeurs en mijnwerkers. Bedrijven als SAP, Dell en JLL hebben al geëxperimenteerd met neurotechnologie op de werkvloer.

De wereldwijde neurotechnologiemarkt wordt geschat op zo'n 19 miljard dollar in 2026, met een jaarlijkse groei van ruim 14 procent. Dat zijn geen laboratoriumbedragen meer — dit is een markt die commercieel op stoom komt.

Waarom hersendata anders zijn dan andere data

Ik vind het eerlijk gezegd bijzonder verontrustend hoe persoonlijk deze data kunnen zijn. Hersendata kunnen namelijk veel meer onthullen dan je hartslag of slaappatroon. Onderzoekers geven aan dat uit hersenactiviteit mentale aandoeningen als depressie en PTSS afgeleid kunnen worden. Nog ingrijpender: de technologie ontwikkelt zich naar een punt waarop gedachten en woorden die zich in je hoofd vormen, voorspeld zouden kunnen worden.

Stel dat je als ondernemer een sollicitatiegesprek voert met iemand die een slim oordopje draagt dat hersendata registreert. Of stel dat een werknemer een wearable draagt die — misschien als bijproduct van een wellnessprogramma — stressniveaus en emotionele toestanden vastlegt. Kun je je voorstellen wat dat betekent voor de vertrouwensrelatie op de werkvloer?

Een onderzoek uit 2024 liet zien dat tweederde van de onderzochte neurotechbedrijven in hun gebruiksvoorwaarden toestaat dat data gedeeld worden met derden. Dat betekent: je draagt een oordopje, en je hersendata kunnen bij partijen terechtkomen waar je nooit toestemming voor hebt gegeven.

Wat er juridisch beweegt

Californië loopt voorop

In Californië zijn op dit moment twee wetsvoorstellen in behandeling. Assembly Bill 1883 wil het gebruik van hersendata door werkgevers beperken tot uitsluitend veiligheidsdoeleinden. AB 1542 verbiedt de verkoop van gevoelige persoonlijke informatie, waaronder neurale data. Daarnaast treden in januari 2027 nieuwe regels van de Californische privacyautoriteit in werking die mensen beschermen tegen AI-systemen die hersendata gebruiken.

Connecticut voegt per 1 juli 2026 neurale data toe aan de definitie van "gevoelige data" in hun privacywetgeving. In totaal hebben inmiddels vier Amerikaanse staten wetgeving aangenomen rondom hersendata.

En internationaal

Chili is een interessant voorbeeld. Het Chileense Hooggerechtshof oordeelde dat Emotiv de fysieke en psychologische integriteit van een gebruiker had geschonden door toegang tot hersendata afhankelijk te maken van een abonnement, en door die data zonder expliciete toestemming te gebruiken voor onderzoek. Het bedrijf moest de data verwijderen.

Brazilië, Mexico en Uruguay werken aan eigen neurorechten-wetgeving. Spanje noemt neurotechnologie expliciet in zijn Handvest voor Digitale Rechten.

Wat betekent dit voor Nederland en de EU?

Wat mij opvalt, is dat Europa hier een merkwaardig gat heeft. De AVG behandelt hersendata in principe als bijzondere persoonsgegevens — vergelijkbaar met gezondheidsgegevens of biometrische data. Maar onderzoek van onder meer de Geneva Academy wijst op minstens zeven structurele zwaktes in het Europese kader. Neurotechnologie wordt niet expliciet benoemd. Er is geen specifieke classificatie van neurale data. En de AI Act biedt volgens onderzoekers te weinig individuele waarborgen op dit vlak.

Met andere woorden: de AVG biedt een basis, maar is niet ontworpen met hersentechnologie in gedachten. Ik zou zelf willen weten of de Europese wetgever hier snel genoeg beweegt.

Wat dit voor jou als ondernemer kan betekenen

Misschien denk je: dit speelt bij grote techbedrijven, niet bij mijn bedrijf. Maar ik denk dat de relevantie dichterbij is dan je verwacht.

Overweeg deze scenario's:

• Wearables op de werkvloer. Als je smartwatches, fitnesstrackers of andere wearables aanbiedt als onderdeel van een vitaliteitsprogramma, is het de vraag welke data die apparaten precies verzamelen — en of daar in de toekomst neurale data bij zitten.
• Werknemersmonitoring. De SmartCap van Hitachi wordt al ingezet bij transport- en mijnbouwbedrijven. Stel dat vergelijkbare technologie beschikbaar komt voor andere sectoren — logistiek, productie, beveiliging. Als werkgever moet je dan weten wat je juridisch wel en niet mag.
• Leverancierskeuzes. Als je software of hardware inkoopt die sensoren bevat — denk aan AR-brillen voor training of remote support — is het verstandig om te weten of die apparaten neurale data registreren en wat er in de gebruiksvoorwaarden staat over datadeling.

De kern is: hersendata zijn niet iets dat alleen in een ziekenhuis of onderzoekslab wordt verzameld. Consumentenapparaten doen het al. En als ondernemer kun je ongemerkt in een positie komen waarin je verantwoordelijk bent voor data waar je niet eens van wist dat je ze verzamelde.

Een nieuw soort zorgplicht

Wat mij hier het meest bezighoudt, is het begrip "cognitieve vrijheid" dat onderzoekers gebruiken. Het idee dat je het recht hebt om te denken wat je wilt, zonder dat iemand meekijkt. Dat klinkt vanzelfsprekend, maar het is een recht dat nergens expliciet in de Nederlandse wet staat.

De technologie is er. De markt groeit snel. De wetgeving loopt achter — in de VS, maar zeker ook in Europa. Voor mij is dit vooral een signaal dat privacy niet meer alleen gaat over wat je online doet of welke cookies je accepteert, maar straks ook over wat er in je hoofd omgaat. En dat is een grens waarvan ik denk dat we die als samenleving — en als ondernemers — bewust moeten trekken voordat de technologie dat voor ons doet.