Naast de AVG geldt er een tweede Europese wet die stap voor stap van toepassing wordt: de AI-verordening, ook wel de AI Act genoemd. Die wet regelt niet de privacy zelf, maar het gebruik van kunstmatige intelligentie, en raakt daardoor precies de tools die veel MKB-bedrijven inmiddels dagelijks gebruiken: een chatbot voor klantcontact, een cv-scanner bij werving, of software die camerabeelden analyseert. Voor bedrijven die zulke tools inzetten, komen er dit jaar en de komende jaren stapsgewijs nieuwe verplichtingen bij, boven op wat de AVG al vraagt.
Of dit voor uw bedrijf relevant is, hangt af van wat de AI-toepassing precies doet en met welke gegevens. Gebruikt u AI alleen om teksten op te stellen of om agenda's te plannen, dan verandert er voor u waarschijnlijk weinig. Gebruikt u AI om beslissingen te ondersteunen over mensen — sollicitanten selecteren, personeel beoordelen, klanten indelen in risicocategorieën — dan is de kans groter dat de nieuwe regels u raken, en dat ze samen met de AVG naar dezelfde verwerking van persoonsgegevens kijken.
Wat er dit jaar verandert
De AI-verordening is niet in één keer ingegaan. De wet kent verschillende data waarop onderdelen ervan van toepassing worden, verspreid over meerdere jaren. Zo gelden er strengere regels voor AI-systemen die als risicovol worden aangemerkt, en gelden er apart verplichtingen voor aanbieders van algemene AI-modellen. Welke datum voor welk onderdeel precies geldt, staat in de verordening zelf; omdat dit een gefaseerd traject is, raden wij aan de officiële tekst te raadplegen voor de exacte data die op uw situatie van toepassing zijn, in plaats van op een samenvatting te vertrouwen.
Wat wel vaststaat, is de richting: hoe meer een AI-toepassing invloed heeft op mensen — bij werving, beoordeling, toegang tot diensten — hoe zwaarder de eisen worden. Dat sluit aan bij hoe de AVG al langer naar geautomatiseerde besluitvorming kijkt, maar de AI-verordening voegt er eigen verplichtingen aan toe, zoals eisen aan documentatie, transparantie naar de betrokkene en, in bepaalde gevallen, een verplichte beoordeling voordat het systeem in gebruik gaat.
Voor wie dit verandering met zich meebrengt
De verordening onderscheidt rollen: wie een AI-systeem ontwikkelt of op de markt brengt, heeft andere verplichtingen dan wie het als bedrijf enkel gebruikt. De meeste MKB-bedrijven zitten in die tweede categorie, als gebruiker van een tool die door een softwareleverancier is gebouwd. Ook dan gelden er verplichtingen, al zijn die doorgaans minder zwaar dan voor de bouwer van het systeem. Denk aan het informeren van medewerkers of klanten dat er AI wordt gebruikt, en aan het beoordelen of het gebruik binnen de grenzen van de wet valt.
HR-afdelingen die AI gebruiken bij werving of beoordeling, en bedrijven die camerabeelden laten analyseren door software, doen er goed aan nu al te inventariseren welke tools dat precies zijn en wat ze met de gegevens doen. Dat is dezelfde inventarisatie die de AVG al vraagt voor het verwerkingsregister, en die twee lijnen — AVG en AI-verordening — lopen in de praktijk vaak samen.
Wat dit betekent naast de AVG
De AI-verordening vervangt de AVG niet en maakt hem ook niet overbodig. Verwerkt een AI-tool persoonsgegevens, dan blijft de AVG van toepassing op die verwerking, inclusief de eis van een rechtsgrond, de informatieplicht richting betrokkenen en, waar relevant, een verwerkersovereenkomst met de leverancier van de tool. De AI-verordening komt daar in bepaalde gevallen bovenop, met eigen eisen die specifiek over het AI-systeem gaan, los van de vraag of er persoonsgegevens in het spel zijn.
Gaat er bij het gebruik van een AI-tool iets mis met persoonsgegevens — een chatbot die per ongeluk klantgegevens deelt met de verkeerde persoon, of een systeem dat gegevens onbeveiligd opslaat — dan blijft de meldplicht uit de AVG onverkort gelden. Twijfelt u of een incident met een AI-tool onder die meldplicht valt, dan kunt u dat in een paar vragen laten zien of het om een meldplichtig datalek gaat.
Wat u nu al kunt doen
Zonder op elke datum te wachten, kunt u nu al in kaart brengen welke AI-tools binnen uw bedrijf worden gebruikt, waarvoor, en of daarbij persoonsgegevens worden verwerkt. Die inventarisatie is ook de basis van het verwerkingsregister dat de AVG al vraagt, en die twee doelen — AVG-register en AI-overzicht — kunt u in één beweging afwerken. Gdpria.eu houdt in de kennisbank per onderwerp bij wat er speelt rond AI en privacy, met de vindplaats in de officiële tekst erbij, zodat u zelf kunt nagaan wat op uw situatie van toepassing is.
Heeft u vragen over hoe AI-gebruik zich verhoudt tot uw bestaande AVG-verplichtingen, dan vindt u een aantal antwoorden terug bij de veelgestelde vragen. Voor de vraag hoe wij aan onze informatie komen en waarom die bewust bij de bron blijft, leest u dat op de pagina waar de informatie vandaan komt.
Of en hoe deze regels precies op uw bedrijf van toepassing zijn, is iets wat u het beste kunt laten beoordelen door een jurist of, bij twijfel over de AVG-kant ervan, kunt navragen bij de Autoriteit Persoonsgegevens. Wilt u eerst zelf een beeld krijgen van waar u staat, dan kunt u vrijblijvend de gratis quick-scan doen of de onderwerpen in de kennisbank doorlopen.