GDPR & AI — Gegevensbescherming begrijpen

AVG en AI — de Basisprincipes

Wat is persoonsgegevens?

Persoonsgegevens = alle informatie die betrekking heeft op een identificeerbare persoon.

Niet alleen naam en e-mail. Ook: IP-adres, locatiegegevens, koopgedrag, klikpatronen, apparaat-ID's — en alle combinaties die tot identificatie kunnen leiden.

AI-systemen verwerken bijna altijd persoonsgegevens. De AVG is van toepassing.

De 6 Basisprincipes — beknopt

Uw rechten als betrokkene

Art. 22 is bijzonder relevant voor AI: Geautomatiseerde beslissingen met significante impact op personen (kredietafwijzing, afwijzing van een baan, verzekeringsprijs) moeten aanvechtbaar zijn.

Bijzondere gegevenscategorieën — verhoogde bescherming

Deze gegevens mogen in principe niet worden verwerkt — behalve met expliciete toestemming:

• Gezondheidsgegevens
• Etnische afkomst
• Politieke opvattingen
• Religieuze overtuigingen
• Lidmaatschap van een vakbond
• Biometrische gegevens
• Seksuele geaardheid

Voor AI-ontwikkelaars: Als trainingsgegevens zelfs maar impliciet conclusies over deze categorieën mogelijk maken — verhoogd risico.

Verder: Verplichtingen voor exploitanten →

AVG-verplichtingen bij AI-gebruik

Voor de start: Drie verplichtingen

1. Rechtsgrondslag vaststellen

Geen gegevensverwerking zonder grondslag. De belangrijkste voor AI:

Let op: „We willen de AI verbeteren" is geen legitiem belang dat automatisch geldt. Er is een gedocumenteerde belangenafweging nodig.

2. DPIA controleren — wanneer is het verplicht?

Een gegevensbeschermingseffectbeoordeling (DPIA) is volgens Art. 35 AVG verplicht bij:

• Systematische profilering van personen
• Verwerking van bijzondere gegevenscategorieën (→ Module 1)
• Geautomatiseerde beslissingen met aanzienlijke impact
• AI-ondersteunde monitoring van medewerkers

Hoe uitgebreid? De DPIA documenteert: Wat wordt verwerkt? Waarom? Welke risico's ontstaan? Welke beschermingsmaatregelen worden genomen?

3. Betrokkenen informeren

Voor de verwerking moeten betrokkenen weten:

1. Wie verwerkt de gegevens (naam, contact)
2. Waarom (doel en rechtsgrondslag)
3. Hoe lang
4. Aan wie wordt doorgegeven
5. Of geautomatiseerde beslissingen plaatsvinden (Art. 13 lid 2 f)

In bedrijf: Twee kritische verplichtingen

Gegevenslekken melden (Art. 33)

Bij gegevensverlies, diefstal of ongeoorloofde toegang:

• 72 uur om melding te doen aan de gegevensbeschermingsautoriteit
• Bij hoog risico voor betrokkenen: ook directe informatie aan de betrokkenen (Art. 34)

Geen uitzondering voor AI-systemen. Een gegevenslek uit een AI-systeem roept dezelfde verplichtingen op.

Retentiebeleid naleven

AI-trainingsgegevens vallen onder dezelfde verwijderingsverplichtingen als alle andere persoonsgegevens. „We hebben de gegevens nodig voor natraining" is geen onbeperkte bewaartermijn.

Praktijkgeval: De lerende chatbot

Een klantenservice-chatbot registreert alle gesprekken „om beter te worden". In gesprekken worden af en toe gezondheidsgegevens genoemd.

AVG-overtredingen:

1. Ontbrekende toestemming voor gezondheidsgegevens (Art. 9 — bijzondere categorie)
2. Doelbinding geschonden: Gesprek voor klantenservice ≠ Toestemming voor AI-training
3. Betrokkenen werden niet geïnformeerd over AI-gebruik

Wat te doen:

• Gezondheidsgegevens onmiddellijk uit trainingsgegevens verwijderen
• Gegevensbeschermingsautoriteit informeren (bij aanzienlijk risico)
• Proces aanpassen: Toestemming verkrijgen voor gebruik voor training

Samenvatting: De AVG-checklist voor AI

Voor de inzet:
  ☐ Rechtsgrondslag gedocumenteerd
  ☐ DPIA gecontroleerd (en indien nodig uitgevoerd)
  ☐ Betrokkenen geïnformeerd
  ☐ Gegevenscategorieën gecontroleerd (bijzondere categorieën?)

In bedrijf:
  ☐ Retentiebeleid gedefinieerd en geïmplementeerd
  ☐ Toegangscontroles actief
  ☐ Proces voor gegevenslekken aanwezig (72u-termijn!)
  ☐ Proces voor rechten van betrokkenen gedefinieerd

Terug: AVG-Grondslagen | Assessment starten →