De checklist voor de aanbieder
Vraag elke AI-aanbieder naar deze punten:
- Is er een verwerkingsovereenkomst conform artikel 28 AVG?
- Waar worden de gegevens opgeslagen, en welke subverwerkers zijn er?
- Worden klantgegevens gebruikt voor het trainen van AI-modellen?
- Hoe worden toegangsgegevens en vertrouwelijke velden beschermd?
- Wie in het team ziet wat, en kan dit per persoon worden ingesteld?
- Wordt gelogd wat de AI heeft gedaan?
Toegangsrechten: De AI mag niet meer tonen dan de mens
Een vaak over het hoofd gezien punt: Een AI die alles weet, kan per ongeluk informatie verstrekken aan personen die deze niet zouden mogen zien. Daarom moeten voor antwoorden van de AI dezelfde rechten gelden als voor de persoon die de vraag stelt. Persoonlijke taken, privéagenda's en externe postvakken horen niet thuis in het antwoord aan collega's.
Wat de EU AI Act aanvullend vereist
Sinds februari 2025 moeten bedrijven die AI inzetten zorgen voor voldoende AI-competentie van hun medewerkers (artikel 4). Wie met mensen communiceert over een AI, moet dit openbaar maken (artikel 50). Voor hoogrisicosystemen geldt effectief menselijk toezicht (artikel 14).
VK, VS en Canada
In het Verenigd Koninkrijk geldt de UK GDPR met zeer vergelijkbare beginselen. In de VS is er geen uniforme federale wet, maar wel deelstaatwetten zoals de California Consumer Privacy Act. In Canada regelt PIPEDA de omgang met persoonsgegevens in het bedrijfsleven. De checklist hierboven is overal een goed startpunt.
Wie doet wat?
AIRIS bereidt voor
- Gegevensopslag in de EU: De database bevindt zich in Frankfurt, bestanden in datacenters in de EU. Klantgegevens worden niet gebruikt voor het trainen van AI-modellen.
- Rechten gelden ook voor AIRIS: AIRIS toont iedereen alleen wat hij zelf mag zien. Taken en agenda's zijn persoonlijk, postvakken behoren tot precies één bedrijf.
- Logboek en goedkeuringen: Wat AIRIS doet, wordt gelogd. Hoe zelfstandig zij werkt, bepaalt u per taak.
- AI-competentie volgens de EU AI Act: Training met certificaat voor uw team.
U beslist
- Welke gegevens überhaupt in een AI-systeem thuishoren, beslist het bedrijf, niet de aanbieder.
- Bijzondere categorieën zoals gezondheidsgegevens vereisen een aparte beoordeling.
- Deze gids vervangt geen juridisch advies.
