AVG-proof AI: de checklist van twaalf punten voor elke AI-tool
Kort antwoord
“AVG-proof” is geen keurmerk. Het betekent dat u voor een AI-tool kunt aantonen welke persoonsgegevens erin gaan, op welke grondslag, bij wie ze terechtkomen en hoe u ze beschermt. Twaalf punten bepalen dat: grondslag, doelbinding, verwerkersovereenkomst, doorgifte, training, bewaartermijn, toegang, logging, DPIA, geen besluiten over mensen, rechten van betrokkenen en het datalekproces. Een publieke AI-dienst struikelt meestal over doorgifte en training; een eigen omgeving maakt de meeste punten een feit in plaats van een belofte.
Wat AVG-proof betekent
De AVG verbiedt geen AI en kent geen AVG-keurmerk. Zij vraagt dat u de verwerking beheerst en dat kunt aantonen: de verantwoordingsplicht. Voor een AI-tool komt dat neer op twaalf vragen. Beantwoordt u die allemaal met bewijs, dan is de tool voor uw gebruik AVG-proof. Blijft er één open, dan is het dat niet, hoe goed de rest ook is. Zie Is ChatGPT AVG-proof? voor de toepassing op de bekendste tool.
De checklist
| # | Vraag | Wat u nodig hebt |
|---|---|---|
| 1 | Grondslag: op welke grond verwerkt u persoonsgegevens met deze tool? | Een grondslag per doel, vastgelegd in het verwerkingsregister |
| 2 | Doelbinding: gebruikt de tool de gegevens alleen voor uw doel? | Contractuele uitsluiting van ander gebruik door de leverancier |
| 3 | Verwerkersovereenkomst: is er een overeenkomst volgens artikel 28 AVG? | Getekend, met instructies, subverwerkers en audit |
| 4 | Doorgifte: blijven de gegevens in de EU en buiten bereik van buitenlandse wetgeving? | Locatie en moederbedrijf van de leverancier; zie De CLOUD Act en Europese data |
| 5 | Training: leert het model van uw invoer? | Uitsluiting, aantoonbaar; bij eigen hardware een feit |
| 6 | Bewaartermijn: hoe lang bewaart de tool prompts en uitvoer? | Een termijn die u zelf bepaalt en kunt controleren |
| 7 | Toegang: ziet de tool alleen wat de gebruiker mag zien? | Rollen die uw eigen rechten volgen |
| 8 | Logging: kunt u achteraf zien wie wat heeft gedaan? | Een auditlog dat u zelf beheert |
| 9 | DPIA: is de verwerking beoordeeld? | Een DPIA bij waarschijnlijk hoog risico; zie Een DPIA voor generatieve AI |
| 10 | Besluiten: neemt de tool besluiten over mensen? | Nee, of met betekenisvolle menselijke tussenkomst (artikel 22) |
| 11 | Rechten: kunt u inzage, correctie en verwijdering uitvoeren? | Een procedure die ook de AI-tool omvat |
| 12 | Datalek: weet u binnen 72 uur wat er is gebeurd? | Meldtermijn van de leverancier en een intern stappenplan |
Publieke dienst of eigen omgeving
Bij een publieke AI-dienst zijn de punten 2, 4, 5, 6 en 8 contractbepalingen die u moet vertrouwen en controleren, en bij een gratis of persoonlijk account ontbreken ze helemaal. Bij een eigen omgeving, een node die alleen van uw organisatie is met open-weight modellen, zijn dezelfde punten technische feiten: de gegevens verlaten de organisatie niet, het model leert niet, u bepaalt de bewaartermijn en u beheert het log. De punten 1, 9, 10 en 11 blijven in beide gevallen uw eigen werk.
Zo toont u het aan
- Zet de AI-tool in het verwerkingsregister, met doel, grondslag en categorieën gegevens.
- Bewaar de verwerkersovereenkomst of de documentatie van de eigen omgeving bij het register.
- Leg de DPIA vast, ook als de conclusie is dat het risico beperkt is.
- Exporteer periodiek het auditlog en bewaar de rollenmatrix.
- Oefen het datalekproces één keer met een AI-scenario.
Hoe werqly hierin past
werqly is ontworpen om de technische punten van deze lijst te laten kloppen: een eigen node in uw serverruimte of een dedicated node in een Nederlands datacenter, open-weight modellen die niet van uw gegevens leren, rollen per team en een auditlog in eigen beheer. De grondslag, de DPIA en de rechten van betrokkenen blijven uw werk; werqly levert het bewijs voor de rest.
Veelgestelde vragen
Vragen over dit onderwerp
Bestaat er een AVG-keurmerk voor AI-tools?
Nee. De AVG werkt met verantwoordingsplicht: u moet zelf kunnen aantonen dat een verwerking in orde is. Certificeringen van leveranciers helpen als bewijs, maar vervangen uw eigen beoordeling niet.
Is een verwerkersovereenkomst genoeg?
Nee. Een verwerkersovereenkomst regelt de verhouding met de leverancier, maar niet de grondslag, de DPIA, de toegang binnen uw organisatie of de rechten van betrokkenen. Het is één van de twaalf punten.
Wat is het grootste struikelblok bij publieke AI-diensten?
Doorgifte en training. Veel diensten draaien bij Amerikaanse bedrijven die onder de CLOUD Act vallen, en gebruiken invoer standaard om modellen te verbeteren, tenzij u een zakelijk contract hebt dat dat uitsluit.
Is een eigen AI-omgeving automatisch AVG-proof?
Nee. De technische punten kloppen, maar grondslag, doelbinding, DPIA, toegang per rol en de rechten van betrokkenen moet u nog steeds inrichten. Het verschil is dat u die inrichting zelf in de hand hebt.
Bronnen
- Autoriteit Persoonsgegevens — AVG-richtlijnen en hulpmiddel voor generatieve AI
- EDPB — Guidelines 07/2020 on the concepts of controller and processor
Dit artikel is algemene informatie, geen juridisch advies. Regels en richtsnoeren veranderen; controleer bij twijfel de genoemde bronnen of vraag uw jurist of FG.