Automatiseren met de AVG en de AI Act: wat moet u weten?

Een goed gebouwd systeem helpt u juist om aan de AVG te voldoen. Als persoonsgegevens verspreid staan over mailboxen, spreadsheets en vijf pakketten, weet niemand precies waar iets staat. Een inzageverzoek wordt dan een zoektocht. Een verwijderverzoek is nooit helemaal af.

Staan alle gegevens in één kern, dan weet u wat u heeft, waar het staat en hoe lang u het bewaart. Dat is de basis van de AVG.

De AVG verbiedt automatiseren niet. Ze stelt wel voorwaarden aan hoe u met persoonsgegevens omgaat. Voor een geautomatiseerd proces komen die neer op zes vragen:

1. 1Heeft u een grondslag? Voor de meeste bedrijfsprocessen is dat de uitvoering van een overeenkomst, of een gerechtvaardigd belang. Een offerte opstellen voor iemand die erom vraagt, valt daar gewoon onder.
2. 2Verwerkt u niet meer dan nodig? Dataminimalisatie heet dat. Een stap die een bestelling verwerkt, hoeft geen geboortedatum te kennen.
3. 3Weet u hoe lang u het bewaart? Leg bewaartermijnen vast, en laat het systeem ze bewaken in plaats van iemand die eraan moet denken.
4. 4Zijn uw verwerkers geregeld? Elke partij die namens u persoonsgegevens verwerkt, zoals een hostingpartij of mailservice, heeft een verwerkersovereenkomst nodig.
5. 5Gaan gegevens buiten Europa? Dan moet er een passende waarborg zijn, zoals standaardcontractbepalingen of een adequaatheidsbesluit.
6. 6Kunt u verzoeken afhandelen? Inzage, correctie, verwijdering. In een goed systeem is dat één handeling.

Artikel 22 van de AVG geeft mensen het recht om niet onderworpen te worden aan een besluit dat uitsluitend geautomatiseerd is genomen, als dat besluit rechtsgevolgen heeft of hen in aanmerkelijke mate treft.

In gewone taal: een systeem mag niet volledig zelfstandig beslissen of iemand een lening krijgt, wordt aangenomen of een contract kwijtraakt. Er moet een mens zijn die het besluit echt beoordeelt, niet alleen afstempelt.

Voor de meeste bedrijfsprocessen speelt dit niet. Een automatische orderbevestiging of een betalingsherinnering is geen besluit met zulke gevolgen. Maar een systeem dat automatisch klanten weigert, of zonder tussenkomst bepaalt wie op rekening mag kopen, komt wel in de buurt. Daar hoort een mens tussen te zitten.

In de systemen die wij bouwen, is dat standaard. Wat gevolgen heeft, en zeker geld dat de deur uitgaat, vraagt altijd een menselijke bevestiging.

De Europese AI Act is op 1 augustus 2024 in werking getreden en wordt in fases van kracht. De wet deelt AI-toepassingen in naar risico. Hoe groter het risico voor mensen, hoe strenger de regels.

De meeste AI in bedrijfsprocessen valt in de laatste twee categorieën. Een AI-stap die klantmails sorteert of een inkoopfactuur uitleest, is geen hoog-risicotoepassing.

Twee verplichtingen raken vrijwel elk bedrijf dat AI gebruikt. Sinds februari 2025 moet u zorgen dat medewerkers die met AI werken voldoende weten wat ze gebruiken, de zogeheten AI-geletterdheid. En een chatbot op uw website moet duidelijk maken dat iemand met een AI praat, niet met een medewerker.

Voor hoog-risicosystemen gelden de zwaarste eisen. De Europese Commissie heeft eind 2025 voorgesteld een deel daarvan later te laten ingaan dan oorspronkelijk gepland. Valt uw toepassing mogelijk in die categorie, controleer dan de actuele stand voordat u er een planning op baseert.

De AVG en de AI Act vragen allebei om hetzelfde, als u ze naast elkaar legt: zorg dat een mens kan zien wat het systeem doet, en kan ingrijpen waar het ertoe doet.

Dat is precies hoe een goed systeem er toch al uitziet. Elke handeling wordt gelogd. AI doet voorstellen die een mens goedkeurt. Twijfelgevallen komen op een werkscherm in plaats van stilletjes te worden afgehandeld. En elke automatisering heeft een schakelaar.

Wie zo bouwt, voldoet niet alleen makkelijker aan de wet. Hij heeft ook een systeem waar zijn team op durft te vertrouwen.

• Welke persoonsgegevens gaan door het proces, en zijn ze allemaal nodig?
• Wat is per gegevenssoort de grondslag?
• Hoe lang bewaart u ze, en wie of wat bewaakt dat?
• Welke partijen verwerken gegevens namens u, en heeft u met elk een verwerkersovereenkomst?
• Gaan er gegevens buiten de Europese Economische Ruimte?
• Neemt het systeem ergens zelfstandig een besluit met gevolgen voor een persoon? Zo ja, waar zit de mens?
• Zit er AI in het proces? Weten uw medewerkers wat het doet, en weten klanten wanneer ze met AI praten?
• Valt een AI-toepassing mogelijk in de categorie hoog risico?
• Kunt u een inzage- of verwijderverzoek binnen een maand afhandelen?
• Wordt vastgelegd wat het systeem doet, zodat u het achteraf kunt uitleggen?

Neemt u bij een nieuw systeem deze vragen mee in het ontwerp, dan is voldoen aan de regels geen project achteraf. Het zit er gewoon in. Hoe wij met uw gegevens omgaan, staat in onze privacyverklaring.