Beschrijf het echte AI-proces
Breng trainingsdata, invoer, prompts, output, logging, menselijke controle, leveranciers en doorgiften in kaart. Kijk ook naar hergebruik van gegevens en de mogelijkheid dat medewerkers vertrouwelijke informatie invoeren.
De naam van de tool zegt weinig over het werkelijke risico. Doel, context en gevolgen voor personen zijn bepalend.
Onderzoek specifieke AI-risico’s
Naast beveiliging zijn onjuiste output, vooringenomenheid, gebrek aan transparantie, ongewenste profilering en automatiseringsbias belangrijk. Beoordeel of personen een besluit kunnen begrijpen, betwisten of laten corrigeren.
Maatregelen kunnen bestaan uit dataminimalisatie, toegangsbeperking, testen, menselijke goedkeuring, monitoring en duidelijke gebruiksinstructies.
Verbind AVG en AI-governance
Een DPIA kan informatie leveren voor bredere AI-risicobeoordeling, maar vervangt niet automatisch alle verplichtingen onder de AI Act. Rollen en documentatie moeten in samenhang worden georganiseerd.
Datajuristen begeleidt DPIA’s en kan de uitkomst koppelen aan AI-geletterdheid, beleid en FG-advies.
Leg vast welke wijziging de DPIA opnieuw opent
Een AI-toepassing kan veranderen zonder dat uw organisatie een nieuw product koopt. Een leverancier voegt bijvoorbeeld dossierkoppelingen toe, bewaart voortaan meer gebruiksgegevens of laat een model zelfstandig vervolgstappen voorstellen. Vergelijk bij zo’n wijziging de oorspronkelijke beoordeling met het nieuwe gebruik. Noteer welke gegevens, betrokkenen, beslissingen en maatregelen veranderen; alleen het versienummer bijwerken is onvoldoende.
Maak daarvoor een korte wijzigingsnotitie met vijf onderdelen: de oude situatie, de voorgestelde verandering, het mogelijke gevolg voor mensen, het benodigde onderzoek en de bevoegde beslisser. Vraag technische collega’s om bewijs dat bestaande maatregelen nog werken. Een eerder geteste toegangsbeperking kan bij een nieuwe koppeling anders uitpakken.
Artikel 35 AVG verlangt waar nodig een herbeoordeling wanneer het risico verandert. Laat de proceseigenaar daarom vóór uitbreiding vaststellen of de eerdere DPIA nog passend is. De PO organiseert de vergelijking en vraagt een aangestelde FG om onafhankelijk advies. Sluit de wijziging pas af wanneer duidelijk is welke maatregelen vóór ingebruikname nodig zijn en wie die controleert.
Van uitleg naar uw praktijk
Wat moet in ieder geval zijn geregeld?
- Drempeltoets hoog privacyrisico
- Data, model, output en leveranciers
- Gevolgen voor betrokkenen
- Menselijke controle en transparantie
- Restrisico en onafhankelijk FG-advies
Veelgestelde vragen
Verder met uw vraag.
Is ChatGPT-gebruik altijd DPIA-plichtig?
Nee. Doel, gegevens, schaal, gebruikers en gevolgen bepalen het risico. Zakelijk gebruik vraagt wel duidelijke afspraken en een drempeltoets.
Vervangt een AI-risicoanalyse de DPIA?
Niet automatisch. De DPIA heeft een specifieke AVG-doelstelling en wettelijke inhoud.
Moet de FG bij de AI-DPIA worden betrokken?
De organisatie vraagt de FG om onafhankelijk advies wanneer zij een FG heeft aangewezen.
Officiële bronnen
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.