AI & privacy
AVG, data en DPIA bij AI
AI kan pas duurzaam waarde leveren als duidelijk is welke persoonsgegevens worden gebruikt, op welke grondslag dat gebeurt en welke risico’s vooraf moeten worden beoordeeld.
De AI Act vervangt de AVG niet
Persoonsgegevens vragen een eigen juridische beoordeling
Een toepassing kan onder de AI Act zijn toegestaan en toch in strijd zijn met de AVG. Denk aan een systeem dat klantvragen samenvat, sollicitanten rangschikt, prestaties analyseert of documenten doorzoekt. Zodra daarbij informatie over personen wordt verwerkt, moet de onderneming onder meer het doel, de grondslag, de noodzakelijkheid en de transparantie kunnen uitleggen.
Wij beginnen daarom niet bij de techniek, maar bij de gegevensstroom. Welke data gaan het systeem in, waar worden die gegevens verwerkt, gebruikt de leverancier ze voor eigen doeleinden en wie krijgt de uitkomst te zien? Die analyse maakt snel zichtbaar waar maatregelen of andere keuzes nodig zijn.
Een DPIA is niet automatisch bij ieder AI-systeem verplicht. De beoordeling is wel verplicht wanneer de verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. Juist bij grootschalige profilering, monitoring, gevoelige gegevens of besluiten met belangrijke gevolgen ligt een DPIA vaak voor de hand.
Waar wij op toetsen
Privacy vanaf de eerste inrichting
Doel en grondslag
Is het doel concreet en gerechtvaardigd? Is verwerking werkelijk nodig en bestaat een passende AVG-grondslag voor iedere betrokken groep?
Dataminimalisatie
Kan de toepassing met minder gegevens, kortere bewaartermijnen, afscherming, pseudonimisering of een andere configuratie hetzelfde doel bereiken?
Transparantie en rechten
Begrijpen klanten, medewerkers of sollicitanten wat er gebeurt en kunnen verzoeken om inzage, correctie, bezwaar of menselijke tussenkomst worden afgehandeld?
DPIA en documentatie
Een risicobeoordeling die tot besluiten leidt
Een goede DPIA is geen invuloefening. Wij beschrijven de verwerking, beoordelen noodzakelijkheid en evenredigheid, brengen risico’s voor betrokkenen in kaart en koppelen daar concrete maatregelen aan. Denk aan toegangsbeperkingen, menselijke controle, logging, validatie, bewaartermijnen en contractuele beperkingen voor de leverancier.
Als het resterende risico hoog blijft, moet worden beoordeeld of voorafgaand overleg met de Autoriteit Persoonsgegevens nodig is. Soms is de juiste uitkomst dat de toepassing anders moet worden ingericht of niet in gebruik moet worden genomen.
We zorgen dat de DPIA aansluit op het verwerkingsregister, de privacyverklaring, verwerkersafspraken en interne beveiligingsdocumentatie. Zo ontstaat één verdedigbaar dossier in plaats van losse documenten met tegenstrijdige aannames.
Onze aanpak
Van gegevensstroom naar beheersmaatregelen
In kaart brengen
Doel, datasets, betrokkenen, leveranciers, locaties en toegang worden vastgelegd.
Juridisch toetsen
We beoordelen grondslag, proportionaliteit, transparantie en toepasselijke verboden.
Risico beperken
Technische, organisatorische en contractuele maatregelen worden concreet gemaakt.
Aantoonbaar maken
We verbinden DPIA, register, privacy-informatie en leveranciersafspraken.
Veelgestelde vragen
Praktisch over AI en AVG
Mag een medewerker persoonsgegevens in een AI-tool invoeren?
Alleen als de verwerking een duidelijk doel en geldige grondslag heeft, de tool passend is beveiligd en afspraken met de aanbieder het gebruik voldoende begrenzen. Voor openbare consumententools is extra terughoudendheid nodig.
Is toestemming altijd de beste grondslag?
Nee. Toestemming moet vrij, specifiek en intrekbaar zijn. In arbeidsrelaties is zij vaak niet vrij genoeg. De passende grondslag hangt af van het doel en de verhouding met de betrokkene.
Wanneer is menselijke tussenkomst nodig?
Bij uitsluitend geautomatiseerde besluiten met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen kan artikel 22 AVG van toepassing zijn. Ook buiten die situatie kan menselijke controle nodig zijn om fouten en discriminatie te beperken.
Max Advocaten
Weet u welke gegevens uw AI-toepassing werkelijk gebruikt?
Wij brengen de gegevensstroom en juridische keuzes overzichtelijk in beeld.
