IT mailt de privacyfunctionaris: volgende maand gaat Copilot aan voor de hele organisatie, en of daar een DPIA voor nodig is. De privacyfunctionaris weet dat het antwoord niet in het licentiecontract staat, en ook niet in de naam van de tool.
Het antwoord is: niet automatisch, maar in de meeste organisaties wel. De verplichting hangt aan het risico van de verwerking. Voor generatieve AI die door tientallen mensen wordt gebruikt, met klant- of personeelsgegevens in de prompts, valt dat risico zelden laag uit.
Wanneer verlangt artikel 35 AVG een DPIA?
Artikel 35 AVG verplicht een gegevensbeschermingseffectbeoordeling als een verwerking, gelet op de aard, de omvang, de context en het doel, waarschijnlijk een hoog risico voor de rechten en vrijheden van mensen oplevert. Het artikel noemt zelf drie situaties, waaronder grootschalige verwerking van bijzondere persoonsgegevens en systematische evaluatie van persoonlijke aspecten.
De richtsnoeren van de EDPB (WP248 rev.01) maken dat hanteerbaar met negen criteria: beoordelen of scoren, geautomatiseerde besluiten met rechtsgevolg, systematische monitoring, gevoelige gegevens, grootschalige verwerking, het combineren van gegevensbronnen, kwetsbare betrokkenen, innovatief gebruik van nieuwe technologie, en verwerking die mensen een recht of dienst kan ontnemen. De vuistregel: raakt een verwerking twee criteria, dan is een DPIA in de regel nodig.
Daarbovenop heeft de Autoriteit Persoonsgegevens een lijst met verwerkingen waarvoor een DPIA altijd verplicht is, met zeventien categorieën, waaronder het volgen van werknemers en grootschalige verwerking van gezondheidsgegevens. Staat je verwerking op die lijst, dan is de weging niet meer nodig.
Waarom raakt AI op de werkvloer vaak meerdere criteria?
Eén criterium is bij generatieve AI bijna altijd geraakt: het innovatieve gebruik van nieuwe technologie. Daar komen er in de praktijk snel meer bij.
| Waar de weging op let | Hoe het speelt bij AI-tools op de werkvloer |
|---|---|
| Innovatief gebruik van nieuwe technologie (criterium) | Generatieve AI, zeker met geheugen of verbinding met eigen documenten |
| Grootschalige verwerking (criterium) | Tientallen tot honderden medewerkers, dagelijks, met steeds andere gegevens |
| Gevoelige gegevens (criterium) | Verzuim, gezondheid, financiën en beoordelingen in prompts van HR, zorg en finance |
| Kwetsbare betrokkenen (criterium) | Werknemers, wier gegevens en gedrag in de tool terechtkomen |
| Doorgifte buiten de EU (context) | De meeste bekende tools verwerken in de VS, tenzij een zakelijk contract anders regelt |
Doorgifte is geen eigen criterium in de lijst van negen, maar hoort bij de context die artikel 35 laat meewegen, en bij AI-tools is het zelden neutraal. Wat de tabel laat zien: niet de tool bepaalt de uitkomst, maar het gebruik. Een enkele medewerker die vacatureteksten laat herschrijven, raakt hooguit het eerste criterium. Een organisatie waar klantenservice, HR en finance dezelfde tool gebruiken, raakt er vier. Welke gegevens er dan precies onder vallen staat in AVG en AI-tools op de werkvloer.
Wat staat er in de DPIA voor AI-gebruik?
De AVG schrijft de inhoud grofweg voor: een beschrijving van de verwerking en het doel, een beoordeling van noodzaak en evenredigheid, de risico's voor betrokkenen, en de maatregelen. Voor AI-gebruik komt dat neer op:
- Welke tools. Niet alleen de goedgekeurde. Ook de tools die mensen al gebruiken, want de DPIA beschrijft de werkelijke verwerking, niet de gewenste.
- Welke gegevens. Per soort werk: klantcontact, personeelsdossiers, contracten, dossiers van cliënten. En welke daarvan bijzondere persoonsgegevens zijn.
- Welke grondslag. Vaak gerechtvaardigd belang, met de afweging erbij; bij overheden de publieke taak. De maatregelen die de AVG bij AI-gebruik vraagt horen hier thuis.
- Welke maatregelen. Een goedgekeurd alternatief per soort gebruik, een verwerkersovereenkomst met de leverancier, uitleg aan medewerkers, en een markering van gevoelige gegevens voordat een prompt de deur uit gaat.
- Wie bijhoudt en wanneer. Een DPIA is een document met een datum. Er hoort een moment bij waarop de beschrijving opnieuw tegen de praktijk wordt gelegd.
De relatie met de AI Act in twee zinnen: de FRIA uit artikel 27 beoordeelt de gevolgen voor grondrechten van het inzetten van een hoog-risicosysteem, en is vanaf 2 december 2027 verplicht voor overheidsorganen en een beperkte groep private organisaties. Voor het dagelijkse gebruik van AI-tools blijft de DPIA het instrument, en artikel 26 van de AI Act verwijst er zelf naar.
Hoe ziet dat er in een organisatie uit?
Een woningcorporatie schrijft in het voorjaar een DPIA voor Copilot: welke gegevens, welke grondslag, welke instellingen, uitleg aan medewerkers. Het document is degelijk. Zes maanden later laat een inventarisatie zien dat naast Copilot ook ChatGPT, Perplexity en een transcriptietool voor vergaderingen in gebruik zijn. Die laatste verwerkt stemmen en namen van huurders, en staat in geen enkel document.
Dat is geen incident, het is de normale afstand tussen een beschrijving en een werkdag. De DPIA beschreef één tool; de praktijk had er vier. De corporatie voegt de tools toe aan het overzicht, neemt per tool een besluit, en zet in de DPIA een vaste datum waarop de beschrijving opnieuw wordt vergeleken met wat er echt gebruikt wordt.
Hoe laat je zien dat de maatregelen ook draaien?
Een DPIA beschrijft. Hij zegt dat gevoelige gegevens een markering krijgen voordat ze in een prompt verdwijnen, en dat medewerkers een goedgekeurd alternatief te zien krijgen bij een tool waarover iets is besloten. Of dat ook gebeurt, staat niet in het document. Dat staat in de cijfers erna: hoeveel markeringen er waren, wat ermee gebeurde, en welk aandeel van het AI-gebruik via goedgekeurde tools liep. Wat je aan die cijfers hebt richting een toezichthouder staat in wat heb je aan al die AI-cijfers.
