AI en AVG/GDPR: wat moet je als MKB weten?

De basis

AI verandert AVG-verplichtingen niet. Dezelfde privacyprincipes gelden, maar AI maakt datastromen soms minder zichtbaar.

• Weet welke persoonsgegevens de tool ingaan.
• Controleer verwerkersovereenkomsten.
• Vermijd gevoelige data tenzij nodig.
• Log belangrijke automatische acties.

Neem privacy mee in de roadmap

Privacy moet in workflows ontworpen worden voordat automatisering naar productie gaat.

Teken eerst de gegevensstroom van de AI-toepassing

AVG-compliance begint niet bij een algemene privacytekst, maar bij inzicht in de verwerking. Leg vast welke persoonsgegevens binnenkomen, voor welk doel, via welke modellen en leveranciers, waar resultaten worden opgeslagen en wie toegang krijgt. Maak onderscheid tussen data in prompts, bronbestanden, logs, modeltraining en gegenereerde output. Pas wanneer deze stroom zichtbaar is, kun je rollen, rechtsgrond, bewaartermijn en beveiliging verantwoord beoordelen.

• Bron, categorie persoonsgegevens en betrokken personen.
• Doel en rechtsgrond per verwerking, niet per tool als geheel.
• Verwerkingsverantwoordelijke, verwerkers en subverwerkers.
• Opslaglocatie, doorgifte, toegang en verwijdermoment.
• Gebruik van data voor training of verbetering door leveranciers.

Pas doelbinding en dataminimalisatie technisch toe

Verzamel niet eerst alles om later te bepalen wat nuttig is. Stuur alleen gegevens naar een model die de concrete taak nodig heeft en verwijder identifiers waar mogelijk. Scheid test-, ontwikkel- en productiegegevens en gebruik voor ontwikkeling synthetische of geanonimiseerde voorbeelden wanneer dat kan. Beperk logs, scherm gevoelige velden af en stel bewaartermijnen technisch in. Pseudonimisering helpt, maar maakt persoonsgegevens niet automatisch anoniem.

• Filter invoer vóór de modelaanroep.
• Beperk context tot de relevante klant, medewerker of zaak.
• Voorkom dat vrije prompts ongecontroleerd hele databases doorzoeken.
• Verwijder tijdelijke bestanden en modeloutput volgens vastgesteld beleid.

Beoordeel leverancier, contract en internationale doorgifte

Controleer welke partij data verwerkt, welke subverwerkers worden gebruikt en of invoer standaard voor modelverbetering wordt ingezet. Leg instructies, beveiliging, verwijdering, incidentmelding, auditmogelijkheden en ondersteuning bij privacyrechten contractueel vast. Onderzoek waar verwerking plaatsvindt en welke waarborgen gelden bij doorgifte buiten de EER. Een zakelijke licentie of bekende merknaam is geen vervanging voor deze beoordeling.

• Verwerkersovereenkomst en gedocumenteerde instructies.
• Lijst van subverwerkers en wijzigingsprocedure.
• Instellingen voor training, retentie en menselijke review door de leverancier.
• Export, verwijdering en controleerbare beëindiging van de dienst.

Organiseer menselijke controle rond gevolgen voor mensen

AI die kandidaten rangschikt, werknemers beoordeelt, krediet beïnvloedt of klantrechten raakt vraagt zwaardere beoordeling dan een interne tekstopmaaktool. Bepaal of een gegevensbeschermingseffectbeoordeling nodig is en betrek privacy, security en domeinexperts vroeg. Laat medewerkers de bron en onzekerheid zien, geef ruimte om af te wijken en voorkom dat een menselijke goedkeuring slechts een automatische klik wordt. Richt processen ook in op inzage, correctie, bezwaar en verwijdering.

• Beschrijf mogelijke schade, vertekening en foutieve koppelingen.
• Test verschillende groepen en relevante uitzonderingen.
• Leg besluiten, gebruikte bronnen en menselijke interventie vast.
• Bied een bereikbare route voor uitleg en correctie.

Maak privacy onderdeel van beheer en wijziging

Een eenmalige checklist is niet genoeg. Modellen, prompts, bronnen en leveranciers veranderen, waardoor ook risico en verwerking kunnen wijzigen. Houd een register bij van AI-toepassingen, eigenaren, versies, evaluaties en incidenten. Test toegangsrechten en verwijdering periodiek en beoordeel grote wijzigingen vóór release. Combineer dit met beveiligingsmonitoring en een duidelijk incidentproces. Laat voor concrete rechtsgrond, gevoelige data of impactvolle besluitvorming altijd passend juridisch en privacyadvies meewegen.

• Periodieke controle op doel, brondata en noodzakelijkheid.
• Versiebeheer voor prompts, modellen en evaluaties.
• Procedure voor datalek, onjuiste output en toegangsincident.
• Bewijs van training, besluiten en uitgevoerde maatregelen.