Zodra je gegevens van andere mensen in een AI-tool zet, geldt de AVG. Dat betekent niet dat het niet mag, wel dat je een paar dingen goed moet regelen. Deze les is een praktische uitleg, geen juridisch advies.
Wanneer gaat het om persoonsgegevens?
Alles waarmee iemand direct of indirect herkenbaar is: naam, e-mail, telefoonnummer, maar ook een combinatie van functie, afdeling en situatie. Een transcript van een overleg, een CV, een klantmail: allemaal persoonsgegevens.
Wat moet je regelen?
- Een doel en een grondslag: waarom verwerk je deze gegevens, en mag dat?
- Een verwerkersovereenkomst met de AI-aanbieder: die krijg je bij zakelijke abonnementen, niet bij gratis accounts.
- Dataminimalisatie: gebruik alleen wat nodig is. Anonimiseer waar het kan.
- Transparantie: vermeld in je privacyverklaring dat je AI gebruikt en waarvoor.
- Bij hoog risico: een DPIA, een risicoanalyse voordat je begint.
Doorgifte buiten de EU
Veel AI-aanbieders zijn Amerikaans. Doorgifte naar de VS kan, mits de aanbieder daarvoor de juiste afspraken heeft. Zakelijke abonnementen bieden vaak ook opslag in de EU. Controleer dit bij je leverancier.
En de AI Act?
De Europese AI Act regelt AI-systemen op basis van risico. Voor gewoon gebruik van een AI-assistent voor schrijven en samenvatten zijn de verplichtingen beperkt, wel moet je organisatie zorgen voor voldoende AI-geletterdheid van medewerkers. AI voor bijvoorbeeld werving, kredietbeoordeling of toegang tot essentiële diensten geldt als hoog risico, met zware eisen.
Onthoud
- Persoonsgegevens in AI-tools: zakelijk abonnement met verwerkersovereenkomst, en alleen wat nodig is.
- Vermeld AI-gebruik in je privacyverklaring; bij hoog risico eerst een DPIA.
- De AI Act vraagt AI-geletterdheid van iedereen en zware waarborgen bij hoog-risicotoepassingen.
Volgende stap: AI-strategie voor je organisatie