IT mailt de privacyfunctionaris: volgende maand wordt Copilot voor de hele organisatie aangezet, is daar een DPIA voor nodig? De privacyfunctionaris weet dat het antwoord niet in het licentiecontract staat, en evenmin in de naam van de tool.
Het antwoord: niet automatisch, maar in de meeste organisaties wel. De verplichting hangt af van het risico van de verwerking. Gebruiken tientallen mensen generatieve AI, met klant- of personeelsgegevens in hun prompts, dan valt dat risico zelden laag uit.
Wanneer verlangt artikel 35 AVG een DPIA?
Artikel 35 AVG verplicht een gegevensbeschermingseffectbeoordeling als een verwerking, gelet op de aard, de omvang, de context en het doel, waarschijnlijk een hoog risico voor de rechten en vrijheden van mensen oplevert. Het artikel noemt zelf drie situaties, waaronder grootschalige verwerking van bijzondere persoonsgegevens en systematische evaluatie van persoonlijke aspecten.
De richtsnoeren van de EDPB (WP248 rev.01) maken dat hanteerbaar met negen criteria: beoordelen of scoren, geautomatiseerde besluiten met rechtsgevolg, systematische monitoring, gevoelige gegevens, grootschalige verwerking, het combineren van gegevensbronnen, kwetsbare betrokkenen, innovatief gebruik van nieuwe technologie, en verwerking die mensen een recht of dienst kan ontnemen. De vuistregel: voldoet een verwerking aan twee criteria, dan is een DPIA in de regel nodig.
De Autoriteit Persoonsgegevens houdt ook een lijst met verwerkingen bij waarvoor een DPIA altijd verplicht is. Die telt zeventien categorieën, waaronder het volgen van werknemers en grootschalige verwerking van gezondheidsgegevens. Staat je verwerking op die lijst, dan hoef je niet meer te wegen.
Waarom voldoet AI-gebruik door medewerkers vaak aan meerdere criteria?
Aan één criterium voldoet generatieve AI bijna altijd: innovatief gebruik van nieuwe technologie. In de praktijk komen er snel meer bij.
| Waar de weging op let | Hoe het uitpakt bij AI-tools in een organisatie |
|---|---|
| Innovatief gebruik van nieuwe technologie (criterium) | Generatieve AI, zeker met geheugen of een koppeling met eigen documenten |
| Grootschalige verwerking (criterium) | Tientallen tot honderden medewerkers, dagelijks, met steeds andere gegevens |
| Gevoelige gegevens (criterium) | Verzuim, gezondheid, financiën en beoordelingen in prompts van HR, zorg en de financiële administratie |
| Kwetsbare betrokkenen (criterium) | Werknemers, wier gegevens en gedrag in de tool terechtkomen |
| Doorgifte buiten de EU (context) | De meeste bekende tools verwerken gegevens in de VS, tenzij een zakelijk contract iets anders regelt |
Doorgifte is geen eigen criterium in de lijst van negen, maar hoort bij de context die artikel 35 laat meewegen, en bij AI-tools is die zelden neutraal. Wat de tabel laat zien: niet de tool bepaalt de uitkomst, maar het gebruik. Een enkele medewerker die vacatureteksten laat herschrijven, voldoet hooguit aan het eerste criterium. Een organisatie waar klantenservice, HR en de financiële administratie dezelfde tool gebruiken, voldoet aan vier. Om welke gegevens het dan precies gaat, lees je in het artikel over de AVG en AI-tools op de werkvloer.
Wat staat er in de DPIA voor AI-gebruik?
De AVG schrijft de inhoud grofweg voor: een beschrijving van de verwerking en het doel, een beoordeling van noodzaak en evenredigheid, de risico's voor betrokkenen, en de maatregelen. Voor AI-gebruik komt dat neer op:
- Welke tools. De goedgekeurde tools, maar ook de tools die mensen al gebruiken, want de DPIA beschrijft de werkelijke verwerking, niet de gewenste.
- Welke gegevens. Per soort werk: klantcontact, personeelsdossiers, contracten, cliëntdossiers. En welke daarvan bijzondere persoonsgegevens zijn.
- Welke grondslag. Vaak gerechtvaardigd belang, met de belangenafweging erbij; bij overheden de publieke taak. De grondslag is de eerste van de maatregelen die de AVG bij AI-gebruik vraagt.
- Welke maatregelen. Een goedgekeurd alternatief per soort gebruik, een verwerkersovereenkomst met de leverancier, uitleg aan medewerkers, en een markering van gevoelige gegevens voordat een prompt de deur uit gaat.
- Wie het bijhoudt en wanneer. Een DPIA is een document met een datum. Er hoort een moment bij waarop je de beschrijving opnieuw naast de praktijk legt.
De relatie met de AI-verordening in twee zinnen: de FRIA uit artikel 27 beoordeelt wat de inzet van een systeem met een hoog risico betekent voor grondrechten, en is vanaf 2 december 2027 verplicht voor overheidsorganen en een beperkte groep private organisaties. Voor het dagelijkse gebruik van AI-tools blijft de DPIA het instrument, en artikel 26 van de AI-verordening verwijst daar zelf naar.
Hoe ziet dat er in een organisatie uit?
Een woningcorporatie schrijft in het voorjaar een DPIA voor Copilot: welke gegevens, welke grondslag, welke instellingen, uitleg aan medewerkers. Het document is degelijk. Zes maanden later laat een inventarisatie zien dat naast Copilot ook ChatGPT, Perplexity en een transcriptietool voor vergaderingen in gebruik zijn. Die laatste verwerkt stemmen en namen van huurders, en staat in geen enkel document.
Dat is geen incident, maar het gewone verschil tussen een beschrijving en een werkdag. De DPIA beschreef één tool; in de praktijk waren het er vier. De corporatie voegt de tools toe aan het overzicht, neemt per tool een besluit, en zet in de DPIA een vaste datum waarop de beschrijving opnieuw wordt vergeleken met wat er echt gebruikt wordt.
Hoe laat je zien dat de maatregelen ook werken?
Een DPIA beschrijft. Hij zegt dat gevoelige gegevens een markering krijgen voordat ze in een prompt verdwijnen, en dat medewerkers een goedgekeurd alternatief te zien krijgen bij een tool waarover de organisatie een besluit heeft genomen. Of dat ook gebeurt, staat niet in het document. Dat lees je af aan de cijfers achteraf: hoeveel markeringen er waren, wat ermee gebeurde, en welk aandeel van het AI-gebruik via goedgekeurde tools liep. Wat je met die cijfers kunt tegenover een toezichthouder, lees je in het artikel over wat je aan al die AI-cijfers hebt.
