AVG en AI-verordening: verplichtingen voor bedrijven

Uw juridische afdeling heeft waarschijnlijk al een actueel verwerkingsregister, en misschien zelfs een DPIA liggen voor de chatbot die u al een tijd in de klantenservice gebruikt. Toen las iemand dat de AI-verordening ook op uw bedrijf van toepassing is, en de eerste reactie was de vraag of alles opnieuw moet worden gedaan voor elk AI-instrument dat al in gebruik is. Dat is niet zo: een groot deel van het werk dat al voor de AVG is verricht, blijft geldig en dient als basis. Maar de twee teksten stellen niet precies dezelfde vraag, en wie ze als één en dezelfde oefening behandelt, laat gaten vallen die een controle — van de AP of van een andere toezichthouder — kan blootleggen.

Twee teksten, één vraag? Nee, twee verschillende vragen

De AVG stelt een afgebakende vraag: worden persoonsgegevens rechtmatig, behoorlijk en voor een welbepaald doel verwerkt. De AI-verordening stelt een bredere vraag: vormt dit systeem een risico voor de gezondheid, veiligheid of grondrechten van mensen, ongeacht of het persoonsgegevens verwerkt. Een tool voor cv-selectie, een klantgerichte chatbot of een kredietscoresysteem valt vrijwel altijd onder beide vragen tegelijk. De AVG geldt in Nederland sinds 2018 en is niet veranderd door de komst van de AI-verordening: die komt erbij, vervangt niets.

De AP: een dubbele rol, geen nieuwe autoriteit

De Autoriteit Persoonsgegevens (AP) is sinds de invoering van de AVG in 2018 de Nederlandse toezichthouder op de verwerking van persoonsgegevens, en heeft in die rol laten zien niet te aarzelen om ook tegen grote internationale spelers op te treden. In 2021 kreeg TikTok een boete van 750.000 euro omdat het privacybeleid voor de vele, veelal jonge, Nederlandse gebruikers alleen in het Engels beschikbaar was. In september 2024 legde de AP aan Clearview AI, een Amerikaans bedrijf zonder vestiging in de EU dat een gezichtsherkenningsdatabank opbouwde uit online foto's, een boete van 30,5 miljoen euro op — en kondigde daarbij aan bestuurders persoonlijk aansprakelijk te stellen als het bedrijf de boete niet zou betalen en zijn praktijken niet zou staken. Voor de AI-verordening is de institutionele rolverdeling nog in opbouw, maar de AP heeft laten weten een centrale rol te willen spelen bij AI-systemen die persoonsgegevens verwerken, naast sectorale toezichthouders zoals de AFM en de ACM. Voor een bedrijf dat vooral AI-tools inkoopt in plaats van zelf ontwikkelt, is de praktische les van dit soort optreden dat 'we hebben geen vestiging in Nederland' geen bescherming biedt tegen Nederlandse handhaving.

Artikel 22 AVG en bijlage III AI-verordening: twee verschillende toetsen

Artikel 22 AVG geeft iedereen het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking is gebaseerd, inclusief profilering, wanneer dat besluit rechtsgevolgen heeft of iemand op vergelijkbaar significante wijze treft — een kredietaanvraag die zonder enige menselijke toetsing wordt afgewezen, bijvoorbeeld. Bijlage III van de AI-verordening classificeert daarentegen bepaalde systemen als 'hoog risico' op basis van het toepassingsgebied, zoals werving en selectie, personeelsbeoordeling, kredietwaardigheidsbeoordeling of toegang tot verzekeringen, ongeacht de mate van automatisering van het uiteindelijke besluit.

Een sollicitantenselectietool waarvan een HR-manager elk resultaat handmatig bevestigt, ontsnapt doorgaans aan artikel 22 AVG, omdat het besluit niet volledig geautomatiseerd is. Toch blijft het in de meeste gevallen een hoogrisicosysteem onder bijlage III, omdat het toepassingsgebied — werving — bepalend is voor die classificatie, niet de mate van menselijk toezicht. 'Er kijkt altijd iemand mee' sluit de kwestie van artikel 22 af, maar laat de eigen verplichtingen van de AI-verordening onaangeroerd: risicobeheer, technische documentatie, geformaliseerd menselijk toezicht.

DPIA en FRIA: aanvullen, niet overdoen

De gegevensbeschermingseffectbeoordeling (DPIA), verplicht onder artikel 35 AVG, is nodig wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog risico voor de rechten van betrokkenen oplevert — een voorwaarde waaraan de meeste AI-systemen die persoonsgegevens verwerken voldoen. Artikel 27 van de AI-verordening introduceert een fundamentelerechteneffectbeoordeling (FRIA), die echter voor een beperktere groep deployers geldt: vooral overheidsinstanties en bepaalde private aanbieders van essentiële diensten, zoals banken en verzekeraars, wanneer zij een hoogrisicosysteem gebruiken. Artikel 27, lid 4, bepaalt uitdrukkelijk dat wanneer een DPIA de vereisten van de FRIA al dekt, deze laatste die DPIA aanvult in plaats van te dupliceren. Nederlandse overheidsorganisaties hebben met het Impact Assessment Mensenrechten en Algoritmes (IAMA), ontwikkeld door de Universiteit Utrecht in samenwerking met het ministerie van BZK, al enige jaren ervaring met dit type beoordeling — een nuttig uitgangspunt, ook al is het IAMA geen formele FRIA onder de AI-verordening. Het is verstandiger om vanaf het begin één risicobeoordelingsproces op te zetten, aangevuld met de specifieke vragen over grondrechten, dan twee aparte trajecten te doorlopen die hetzelfde productteam twee keer lastigvallen.

Wat te checken, systeem per systeem

• Voor elk AI-systeem dat persoonsgegevens verwerkt: wordt het eindbesluit zonder enige menselijke tussenkomst genomen (artikel 22 AVG), en/of valt het toepassingsgebied onder bijlage III van de AI-verordening? De twee antwoorden staan los van elkaar.
• Is er een DPIA vastgelegd, en is die zo opgezet dat ze — als uw bedrijf onder het toepassingsgebied van artikel 27 AI-verordening valt — kan worden aangevuld met een FRIA in plaats van van voren af aan te beginnen?
• Is de rechtsgrondslag gedocumenteerd voor gegevens die worden gebruikt om een model te trainen, te verfijnen of te personaliseren, ook wanneer die op gerechtvaardigd belang steunt?
• Is een AI-leverancier buiten de EU of EER bevraagd over doorgifte van gegevens, los van diens beweerde conformiteit met de AI-verordening?
• Vermelden uw bestaande privacyverklaringen expliciet het gebruik van AI-systemen, of dateren ze van vóór de invoering van die tools?

Algemene informatie, geen juridisch advies

Al het bovenstaande is algemene informatie om u op weg te helpen, geen juridisch advies over uw specifieke situatie. De samenhang tussen AVG en AI-verordening hangt af van de precieze verwerkingen van uw bedrijf, de sector en de betrokken leveranciers — details die één artikel niet volledig kan dekken. Wanneer Komplya dit soort content publiceert, maken we duidelijk onderscheid tussen juridisch gecontroleerde inhoud en materiaal dat nog een concept is, zodat u weloverwogen gebruik kunt maken van wat u leest.

De snelste weg om te zien waar uw bedrijf werkelijk staat, is de gegevensverwerkingen achter uw AI-instrumenten stuk voor stuk doorlopen. Beantwoord een kort vragenformulier over uw AI-gebruik en ontvang een overzicht in gewone taal van uw verplichtingen onder de AVG en de AI-verordening.