Gevorderd · Team en organisatie · module 117 van 155
Persoonsgegevens en AI: de AVG toepassen
Pas de basisprincipes van de AVG toe wanneer je persoonsgegevens met AI wilt verwerken.
Na deze les
Je gaat na of een AI-toepassing persoonsgegevens verwerkt, toetst doel, rechtsgrond en minimale gegevens en weet welke afspraken met een aanbieder nodig zijn.
In beeld · Stap voor stap
Persoonsgegevens met AI, stap voor stap
Leg vast waarvoor je de gegevens gebruikt en op welke grond.
Gebruik alleen gegevens die de taak echt nodig heeft; let op gevoelige gegevens.
Een verwerkersovereenkomst met de aanbieder en duidelijke informatie aan betrokkenen.
Onderdeel 1 van 3 · Doel en rechtsgrond
Je voorkeur voor minder beweging staat aan. Kies zelf elk onderdeel.
Wanneer de AVG meespeelt
De Algemene Verordening Gegevensbescherming (AVG, in het Engels GDPR) geldt zodra je persoonsgegevens verwerkt: gegevens over een herkenbare persoon, zoals een naam, mailadres, klantnummer of een beschrijving waaruit iemand af te leiden is (les 5 en 23). Een prompt met een klantvraag, een geüpload cv of een opgenomen vergadering kan dus onder de AVG vallen. Voor bijzondere gegevens, zoals gezondheid, religie of etnische afkomst, gelden strengere regels. In België houdt de Gegevensbeschermingsautoriteit toezicht.
Doel, rechtsgrond en zo weinig mogelijk gegevens
Bepaal vooraf waarvoor je de gegevens gebruikt en of dat past bij het doel waarvoor ze verzameld werden. Je hebt een rechtsgrond nodig, bijvoorbeeld een overeenkomst, een wettelijke plicht of een gerechtvaardigd belang. Gebruik niet meer gegevens dan nodig: vaak volstaat een algemene beschrijving zonder naam. Informeer de betrokkenen en respecteer hun rechten, zoals inzage en verwijdering. Houdt een verwerking waarschijnlijk een hoog risico in voor mensen, dan is vooraf een gegevensbeschermingseffectbeoordeling nodig.
Afspraken met de aanbieder
Verwerkt een externe AI-dienst persoonsgegevens voor jouw organisatie, dan is die dienst meestal een verwerker. Daarvoor is een verwerkersovereenkomst nodig, met afspraken over beveiliging, bewaartermijnen en wat de dienst met je gegevens mag doen, bijvoorbeeld of ze gebruikt worden om modellen te trainen. Let ook op doorgifte buiten de Europese Economische Ruimte. Gebruik daarom alleen tools die je organisatie heeft goedgekeurd, en betrek de functionaris voor gegevensbescherming bij nieuwe toepassingen. Deze les is geen juridisch advies.
Nieuw oefenvoorbeeld
Van uitleg naar een bruikbaar resultaat.
Zodra AI persoonsgegevens verwerkt, geldt de AVG: een doel, een rechtsgrond, zo weinig mogelijk gegevens en afspraken met de aanbieder.
Fictieve oefensituatieFictief: een fitnesscentrum wil AI gebruiken om persoonlijke trainingsschema’s te maken op basis van gewicht, leeftijd en blessures van leden.
Bekijk een mogelijke uitwerking
Zo kan het
Blessures zijn gezondheidsgegevens en dus bijzondere persoonsgegevens, waarvoor strengere regels gelden. Het centrum legt doel en rechtsgrond vast, informeert leden duidelijk, gebruikt alleen nodige gegevens en sluit een verwerkersovereenkomst. Het laat nagaan of een effectbeoordeling nodig is. Tot dan oefent het team met fictieve profielen.
Waarom dit werkt
Gezondheidsgegevens verhogen het risico voor mensen. Door ze eerst te herkennen, weet je welke afspraken en controles nodig zijn voordat je begint.
Maak het iets moeilijker
Schrijf twee zinnen voor de privacyverklaring die uitleggen hoe AI in deze toepassing gebruikt wordt. Zijn ze begrijpelijk voor een lid zonder juridische kennis?
Extra oefenen, op jouw tempo. Je hoeft niets in te sturen. Dit telt niet mee als automatische beoordeling.
Jouw werkplek · leren door te proberen
Maak iets. Kijk wat er verandert.
Even de AI-verbinding controleren… Je kunt het geschreven voorbeeld al bekijken.
Stel je opdracht voor aan Ende.
Lees het antwoord, verander één ding en vergelijk.
Eerder vastgehouden
Nieuwe versie
Jij houdt de controle
Wat wil je in je volgende poging verbeteren?
Alleen op dit apparaat. AI-antwoorden blijven alleen in dit paginageheugen. Dit is zelfcontrole, geen cijfer.
Waarom deze aanpak werkt
Gezondheidsgegevens verhogen het risico voor mensen. Door ze eerst te herkennen, weet je welke afspraken en controles nodig zijn voordat je begint.
Een stap verder
Schrijf twee zinnen voor de privacyverklaring die uitleggen hoe AI in deze toepassing gebruikt wordt. Zijn ze begrijpelijk voor een lid zonder juridische kennis?
Probeer & ontdek · vrijblijvend
Zet de stappen in een werkbare volgorde
Verplaats de stappen met de pijlen. Controleer of elke stap zijn nodige invoer en controle heeft.
Waar hangt een stap van af?
- Bepaal het doel moet voorafgaan aan Breng de nodige persoonsgegevens in kaart
- Bepaal het doel moet voorafgaan aan Informeer de betrokkenen
- Breng de nodige persoonsgegevens in kaart moet voorafgaan aan Ga de rechtsgrond na
- Breng de nodige persoonsgegevens in kaart moet voorafgaan aan Schat het risico in met de functionaris voor gegevensbescherming
- Schat het risico in met de functionaris voor gegevensbescherming moet voorafgaan aan Regel afspraken met de aanbieder
- Ga de rechtsgrond na moet voorafgaan aan Start met zo weinig mogelijk gegevens
- Regel afspraken met de aanbieder moet voorafgaan aan Start met zo weinig mogelijk gegevens
- Informeer de betrokkenen moet voorafgaan aan Start met zo weinig mogelijk gegevens
Verplaats een stap en controleer daarna de volgorde. De pijlen werken ook met je toetsenbord.
Dit model controleert afhankelijkheden, geen duur, capaciteit of echte uitvoering. Bij meerdere agents blijft de menselijke beslissing een afzonderlijke stap.
Deze proef werkt lokaal met fictieve gegevens en telt niet mee voor je lesafronding. Bij een nieuwe les of herladen begint ze opnieuw.
Een prompt om mee te starten
Help me een fictieve AI-toepassing toetsen aan de AVG. Idee: klantvragen die via een webformulier binnenkomen, laten samenvatten door een externe AI-dienst, zodat een medewerker sneller kan antwoorden. Stel me vragen over doel, rechtsgrond, welke gegevens nodig zijn, bewaartermijn, afspraken met de aanbieder en informatie aan klanten. Maak daarna een lijst met open punten voor onze functionaris voor gegevensbescherming. Geef geen definitief juridisch oordeel.
Pas het toe
Een collega wil opgenomen klantgesprekken laten uitschrijven en samenvatten door een nieuwe AI-dienst. Er is geen verwerkersovereenkomst en klanten weten niet dat er opgenomen wordt.
Welke aanpak past het best bij deze situatie?
- Stop tot doel, rechtsgrond, informatie aan klanten en afspraken met de dienst geregeld zijn, samen met de functionaris voor gegevensbescherming.
- Ga door; alleen medewerkers lezen de samenvattingen.
- Schrap achteraf de namen uit de samenvatting en ga verder.
Met JavaScript kun je je aanpak controleren en direct feedback krijgen.
Test je inzicht
Je wilt sollicitatiebrieven laten samenvatten met een gratis online AI-tool zonder afspraken met de aanbieder. Wat is het grootste probleem?
- Er is geen probleem zolang de samenvatting klopt.
- Je deelt persoonsgegevens met een dienst zonder verwerkersovereenkomst en mogelijk zonder passende rechtsgrond.
- Het enige probleem is dat de samenvatting te kort kan zijn.
Extra oefenen
Kies een AI-toepassing uit je werk die persoonsgegevens kan raken. Zet doel, gegevens, rechtsgrond, aanbieder en bewaartermijn op een rij en noteer wat je nog moet navragen.
Doel: klantvragen sneller beantwoorden. Gegevens: de vraag zelf is nodig; naam en mailadres zijn niet nodig voor de samenvatting. Rechtsgrond: uitvoering van de klantrelatie, te bevestigen door de functionaris voor gegevensbescherming. Aanbieder: alleen met verwerkersovereenkomst en zonder training op onze gegevens. Bewaartermijn: samenvattingen na afhandeling verwijderen. Open punt: moet de privacyverklaring aangepast worden?
