Van gratis rapport naar dossier: drie nieuwe AI-verordening- en AVG-documenten

U heeft ons gratis vragenformulier al eens ingevuld en weet intussen in gewone taal of de AI-verordening en de AVG voor uw kmo gelden. Dat formulier blijft gratis en verandert niet. Wat wél verandert, is wat er daarna gebeurt. Weten wat er geldt en aan iemand anders kunnen bewijzen dat u het weet, zijn twee verschillende dingen. Tot nu toe zat daar een lastige stap tussen: het resultaat op uw scherm zelf overtypen in een eigen document, in de hoop dat het overtuigend genoeg oogt voor een bank, een klant of een auditor. Die stap valt nu weg. Drie nieuwe eenmalige aankopen zetten het gratis rapport om in documenten die u zo kunt doorsturen.

Wat is er nieuw

AI-Act Risicoclassificatierapport — €49

Dit is uw gratis toepasbaarheidsrapport, herwerkt tot een gebrand, van bronvermeldingen voorzien exportdocument. Dezelfde analyse-engine, dezelfde conclusies, maar nu opgemaakt en onderbouwd als een op zichzelf staand document in plaats van een pagina op een scherm. Het is bedoeld voor het moment waarop iemand buiten uw bedrijf een bewijs vraagt in plaats van een uitspraak: een bank die een kredietdossier beoordeelt, een investeerder die due diligence uitvoert, een klant met een aanbestedingsvragenlijst, of uw eigen interne audit. In plaats van een schermafbeelding stuurt u een document met de wettelijke referenties er meteen in verwerkt.

DPIA-generator — €69

Een gegevensbeschermingseffectbeoordeling (DPIA), opgesteld door een taalmodel en gestructureerd volgens artikel 35, lid 7 van de AVG: een systematische beschrijving van de verwerking, een beoordeling van noodzaak en evenredigheid, een risicobeoordeling voor de rechten en vrijheden van betrokkenen, en de beheersmaatregelen die u al heeft of nog invoert. De opmaak vertrekt van de triggercriteria uit artikel 35, lid 3 en de WP248-richtsnoeren, zodat het document echt redeneert over uw eigen verwerking in plaats van een generieke sjabloon in te vullen. Deze vraag komt doorgaans van de Gegevensbeschermingsautoriteit (GBA), een ondernemingsraad, een grotere klant die een leveranciersbeoordeling doet, of uw eigen DPO als u er een heeft.

Volledig pakket — €99

Beide beleidsdocumenten (AI-gebruiksbeleid en privacybeleid), het risicoclassificatierapport, de DPIA, en een nieuw Evidence & Audit Pack-voorblad dat alles indexeert tot één geheel. Dat voorblad bestaat zodat wie het pakket ontvangt, een auditor, een investeerder, een toezichthouder, niet zelf hoeft uit te zoeken welk document welke vraag beantwoordt: dat staat er al op geordend in.

Wanneer heeft u eigenlijk een DPIA nodig?

Dit is het waard om op zichzelf te begrijpen, los van of u iets koopt. Artikel 35 van de AVG verplicht een DPIA wanneer een vorm van verwerking, met name bij gebruik van nieuwe technologieën, waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen. Artikel 35, lid 3 en de WP248-richtsnoeren van de vroegere Artikel 29-werkgroep geven de criteria waar toezichthouders die drempel in de praktijk aan toetsen. Voldoet uw verwerking aan twee of meer van de volgende punten, dan is een DPIA zo goed als zeker verplicht; verschillende AI-systemen scoren op meer dan één criterium tegelijk:

• Evaluatie of scoring, inclusief profilering met een juridisch gevolg of een gelijkaardig ingrijpend effect voor een persoon, zoals geautomatiseerde kredietscoring of AI die cv's vooraf filtert.
• Grootschalige verwerking van bijzondere categorieën van persoonsgegevens (gezondheid, biometrie, etnische afkomst, politieke overtuiging en dergelijke), of gegevens over strafrechtelijke veroordelingen.
• Systematische monitoring van personen, inclusief bewaking van een publiek toegankelijke ruimte of doorlopende observatie van gedrag.
• Verwerking die kwetsbare betrokkenen raakt, zoals werknemers, kinderen, of personen in een economisch of sociaal afhankelijke positie tegenover de verwerkingsverantwoordelijke.
• Innovatief gebruik van technologie of organisatorische oplossingen, inclusief nieuwe toepassingen van AI waarvan de risico's voor betrokkenen nog niet goed gekend of gevestigd zijn.
• Koppeling of samenvoeging van datasets uit verschillende bronnen, verder dan wat een persoon redelijkerwijs zou verwachten.

In de praktijk voldoen de meeste bedrijven die een AI-systeem gebruiken dat mensen screent, scoort of hun gedrag opvolgt, al bij een eerste doorlichting aan minstens twee van deze criteria. Dat is precies de groep die het gratis vragenformulier moet opsporen, en het is de reden waarom een DPIA een van de eerste stukken papierwerk is dat volgt op een resultaat 'dit geldt voor u', geen bijkomstigheid voor later.

Die rekensom klopt ongeacht welk document deze week het dringendst is. Heeft u enkel het risicorapport nodig voor een banksubmissie, koop dat dan apart voor €49. Vraagt een klant of de GBA concreet naar een DPIA, dan staat die op zichzelf voor €69. Maar weet u dat u uiteindelijk meer dan één van deze documenten nodig zult hebben, en dat is bij de meeste kmo's met AI-verordening- en AVG-verplichtingen het geval, dan is het pakket de goedkopere weg naar hetzelfde papierwerk, geen dure extra.

Niets hiervan vervangt het gratis toepasbaarheidsformulier, en niets hiervan is juridisch advies over uw specifieke situatie. Het formulier blijft antwoorden of iets voor u geldt, en blijft gratis. Deze drie aankopen beantwoorden een andere vraag: als u weet wat geldt, wat geeft u dan concreet mee aan wie een bewijs vraagt.