AVG en DPIA bij AI-projecten
Zodra er in een AI-project persoonsgegevens worden verwerkt, geldt de AVG. Dit artikel legt uit wanneer een DPIA in de rede ligt en hoe De Ideeënsmederij daar in trajecten mee omgaat. Het is een praktische uitleg en geen juridisch advies; een formele beoordeling doe je met een privacyjurist of functionaris gegevensbescherming.
Wat is een DPIA?
Een DPIA (Data Protection Impact Assessment, in het Nederlands gegevensbeschermingseffectbeoordeling) is een onderzoek dat je vóór de start uitvoert: welke persoonsgegevens verwerkt de toepassing, wat kan er misgaan voor betrokkenen en welke maatregelen beperken dat risico. De AVG verplicht een DPIA wanneer een verwerking een hoog risico oplevert voor de rechten en vrijheden van betrokkenen.
Wanneer ligt een DPIA in de rede?
- Grootschalige verwerking van gegevens over veel mensen.
- Bijzondere categorieën gegevens, zoals gezondheid, etniciteit of strafrechtelijke gegevens.
- Systematische beoordeling van mensen: scoring, profilering of voorspellingen over gedrag.
- Besluiten met gevolgen voor mensen, bijvoorbeeld bij sollicitaties, krediet, zorg of handhaving.
- Gegevens over kwetsbare groepen, zoals kinderen, patiënten of medewerkers.
- Nieuwe technologie die op een nieuwe manier wordt ingezet.
Veel eenvoudige MKB-toepassingen — facturen uitlezen, antwoorden geven uit eigen handleidingen, rapportages samenvatten — vallen hier niet onder, maar de afweging hoort wel bij de start van een project.
Vragen die vooraf gesteld worden
Welke gegevens heeft de toepassing werkelijk nodig, zitten er persoonsgegevens in, wat is het doel, waar worden gegevens verwerkt en welke partijen zitten in de keten, hoe lang blijven ze bewaard en wie kan erbij, en neemt het systeem zelf beslissingen of levert het alleen input voor een mens?
Hoe dit in een traject meeloopt
Privacy is geen apart hoofdstuk achteraf. In de eerste gesprekken wordt in kaart gebracht welke gegevens in het proces zitten; bij het ontwerp wordt gekozen voor minder gegevens, kortere bewaartermijnen en waar mogelijk pseudonimiseren. Alles wordt vastgelegd, zodat een jurist of FG kan beoordelen of een volledige DPIA vereist is en die efficiënt kan uitvoeren.
Contact
E-mail: info@deideeensmederij.nl — Telefoon: +31 6 86208570.
Kennisbank · EU AI Act voor het MKB · Home