AVG en AI-verordening in België: verplichtingen bedrijven

Uw bedrijf heeft vermoedelijk al een verwerkingsregister onder de AVG staan, en misschien zelfs een gegevensbeschermingseffectbeoordeling (DPIA) voor het cv-selectieprogramma of het kredietscoresysteem dat u al een tijdje gebruikt. Dan hoort iemand — een klant, een partner, een artikel — dat de AI-verordening ook op datzelfde instrument van toepassing is, en de eerste reflex is: moeten we nu alles opnieuw doen? Dat hoeft niet. Een groot deel van het AVG-werk dat al klaarligt, blijft overeind en dient als vertrekpunt voor de AI-verordening. Maar de twee teksten stellen niet dezelfde vraag, en wie ze als één en dezelfde oefening behandelt, laat gaten liggen die bij een controle — door de GBA of door een sectorregulator — naar boven komen.

Eén AI-tool, twee wetteksten die tegelijk gelden

Zodra een AI-systeem persoonsgegevens verwerkt — en dat geldt voor zowat elk wervingsinstrument, elke klantenservicebot en elk scoresysteem dat een Belgische kmo inzet — is de AVG van toepassing, zoals dat sinds 2018 het geval is onder toezicht van de Gegevensbeschermingsautoriteit (GBA). De AI-verordening komt daar bovenop, zonder de AVG te vervangen: ze regelt het systeem als dusdanig, los van de vraag of er persoonsgegevens in het spel zijn, zodra het instrument in een van de risicocategorieën van de verordening valt. Onze gids over de AI-verordening voor Belgische kmo's gaat dieper in op die risiconiveaus en de sancties; hier gaat het om iets anders: hoe AVG en AI-verordening elkaar precies raken, waar ze overlappen, en waar ze voor hetzelfde instrument elk hun eigen, aparte verplichting opleggen.

Artikel 22 AVG en bijlage III AI-verordening: twee aparte toetsen

Dit is waar de meeste verwarring ontstaat. Artikel 22 AVG regelt geautomatiseerde individuele besluitvorming, inclusief profilering, wanneer die een rechtsgevolg heeft of een persoon op vergelijkbare wijze in aanzienlijke mate treft — een automatisch geweigerd krediet, bijvoorbeeld. Die toets kijkt naar het effect op de persoon, ongeacht de sector. Bijlage III van de AI-verordening werkt anders: ze somt toepassingsgebieden op die als hoogrisico gelden — werving en selectie, kredietscoring, toegang tot essentiële diensten, en zo verder — los van de mate waarin het uiteindelijke besluit geautomatiseerd is. Een cv-selectietool die kandidaten alleen rangschikt voor een recruiter die zelf de knoop doorhakt, kan aan artikel 22 AVG ontsnappen omdat de mens de beslissing neemt, maar valt tegelijk wél onder bijlage III van de AI-verordening, omdat werving daar met naam wordt genoemd. Omgekeerd kan een volledig geautomatiseerd kredietscoresysteem beide regimes tegelijk activeren. Beide toetsen moeten dus apart worden doorlopen, per systeem, niet als één gecombineerde vraag.

DPIA (artikel 35 AVG) en de FRIA (artikel 27 AI-verordening): aanvullen, niet overdoen

Verwerkt uw AI-systeem persoonsgegevens met een hoog risico voor de betrokkenen, dan verplicht artikel 35 AVG een gegevensbeschermingseffectbeoordeling (DPIA), onder toezicht van de GBA. De AI-verordening voegt daar in artikel 27 een fundamentelerechteneffectbeoordeling (FRIA) aan toe — maar met een veel enger toepassingsgebied: vooral overheidsinstanties, private organisaties die een publieke dienst verlenen, en banken of verzekeraars die een hoogrisicosysteem onder bijlage III inzetten. De meeste Belgische kmo's vallen dus niet onder deze specifieke verplichting, tenzij ze in een van die sectoren actief zijn.

Wat de GBA al heeft verduidelijkt, en waar FSMA en FAGG meespelen

De GBA (Gegevensbeschermingsautoriteit), sinds 2018 de opvolger van de vroegere Privacycommissie, is officieel tweetalig: ze publiceert haar beslissingen, aanbevelingen en richtsnoeren zowel in het Nederlands als in het Frans, en werkt op de AVG/AI-verordening-verhouding mee aan de Europese coördinatie binnen het Europees Comité voor gegevensbescherming. Dat tweetalige mandaat weerspiegelt de federale opbouw van het land en onderscheidt de GBA van eentalige zusterorganisaties elders in Europa. Het onderwerp evolueert snel, dus raadpleeg bij twijfel steeds de meest recente publicaties van de GBA zelf in plaats van op een verouderde bron te vertrouwen. Wat wel constant blijft, is het uitgangspunt: de AI-verordening ontslaat u van geen enkele bestaande AVG-verplichting.

Belgiëspecifiek is de bevoegdheidsoverlap met sectorregulatoren. Raakt uw AI-instrument aan financiële markten, kredietverlening, beleggingsadvies of verzekeringen — denk aan een robo-advisor of een geautomatiseerd risicoprofiel — dan kan de FSMA (Autoriteit voor Financiële Diensten en Markten) naast de GBA bevoegd zijn. Gaat het om medische hulpmiddelen of om diagnose- en behandelbeslissingen op basis van geneesmiddelen, dan kan het FAGG (Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten) meespelen. In die gevallen volstaat AVG- en AI-verordening-conformiteit alleen niet: er komen sectorale verplichtingen bij, en het is verstandiger om vooraf uit te zoeken welke regulator over welk aspect gaat dan dat pas te ontdekken tijdens een controle.

Wat u per AI-systeem moet nagaan

• Verwerkt het systeem persoonsgegevens? Zo ja, dan geldt de AVG al, onder toezicht van de GBA.
• Neemt het systeem zelf een besluit met een rechtsgevolg of een vergelijkbaar significant effect op een persoon, zonder echte menselijke tussenkomst? Zo ja, dan geldt artikel 22 AVG.
• Staat het toepassingsgebied vermeld in bijlage III van de AI-verordening (werving, kredietscoring, toegang tot essentiële diensten, en meer)? Zo ja, dan is het systeem vermoedelijk hoogrisico onder de AI-verordening, ongeacht de automatiseringsgraad van het besluit.
• Bestaat er al een DPIA op grond van artikel 35 AVG voor deze verwerking? Zo ja, dan kan die dienen als basis voor de FRIA van artikel 27, dankzij artikel 27, lid 4, in plaats van van nul te starten.
• Valt uw organisatie onder het enge toepassingsgebied van artikel 27 (overheidsinstantie, private aanbieder van een publieke dienst, bank, verzekeraar)? Zo niet, dan is deze specifieke effectbeoordeling vermoedelijk niet vereist, ook al blijft het systeem hoogrisico.
• Raakt de toepassing ook aan financiële markten of aan geneesmiddelen en medische hulpmiddelen? Zo ja, ga na of de FSMA of het FAGG een aanvullende bevoegdheid heeft naast de GBA.

Algemene informatie, geen juridisch advies

Bovenstaande is algemene informatie om u wegwijs te maken in de samenhang tussen AVG en AI-verordening; het is geen juridisch advies dat rekening houdt met uw specifieke verwerkingen, sector of de meest recente stand van de richtsnoeren van de GBA. Wanneer Komplya dit soort inhoud publiceert, maken we een duidelijk onderscheid tussen juridisch nagelezen content en materiaal dat nog in ontwikkeling is, zodat u weet hoe u een tekst moet inschatten. Laat gevoelige punten steeds door een professional bevestigen voor u een beslissing vastlegt.

De snelste manier om te weten waar u concreet staat, systeem per systeem, is uw huidige situatie te laten doorlichten in plaats van te gokken. Beantwoord een kort vragenformulier over uw AI-instrumenten en gegevensverwerkingen: u krijgt een helder overzicht van wat uw bestaande DPIA al dekt, wat nog moet worden aangevuld voor de AI-verordening, en welke punten u in het oog moet houden bij de GBA — en eventueel bij de FSMA of het FAGG als uw sector daaronder valt.