AVG en AI: een verordening geschreven voor een ander tijdperk

Toen de AVG in het Verenigd Koninkrijk en de Europese Unie handhaafbaar werd, bestond kunstmatige intelligentie zoals wij die nu kennen nauwelijks in gangbare bedrijfstools. De verordening was geschreven om te regelen hoe organisaties persoonsgegevens verzamelen, verwerken en opslaan, met kernprincipes zoals doelbinding, dataminimalisatie en het recht op gegevenswissing. Die principes waren logisch in een wereld van databases en afgebakende gegevensstromen.

AI, met name generatieve en machine learning-systemen, werkt niet zo. Modellen worden getraind op enorme datasets die persoonsgegevens kunnen bevatten die zijn geschraapt, gelicentieerd of van talloze plaatsen afkomstig zijn. Zodra die gegevens in de gewichten van een model zijn verwerkt, wordt het buitengewoon moeilijk om de informatie van één persoon te isoleren, te corrigeren of te verwijderen, iets wat het recht op gegevenswissing van de AVG veronderstelt mogelijk te zijn. Deze mismatch tussen hoe de wet is ontworpen en hoe AI-systemen daadwerkelijk functioneren, staat centraal in de doorlopende analyse van Computer Weekly's Security Think Tank, die onderzoekt hoe normen voor gegevensbescherming in het VK en Europa moeite hebben om gelijke tred te houden met het nieuwe paradigma dat AI heeft geïntroduceerd.

Waar de scheuren zichtbaar worden

De spanning is niet alleen theoretisch. Ze komt op praktische, alledaagse manieren naar voren voor organisaties die AI verantwoord proberen in te zetten en tegelijk compliant willen blijven. Doelbinding, het idee dat gegevens die voor het ene doel zijn verzameld niet zonder toestemming voor een ander doel mogen worden hergebruikt, wordt vaag wanneer AI-leveranciers trainingsdata hergebruiken across meerdere producten of modellen fine-tunen op gegevens die oorspronkelijk voor iets heel anders zijn verzameld.

Transparantievereisten staan ook onder druk door de complexiteit van AI. De AVG verwacht dat organisaties uitleggen hoe persoonsgegevens worden verwerkt en dat zij individuen betekenisvolle informatie geven over geautomatiseerde besluitvorming die hen raakt. Maar veel AI-systemen, vooral grote taalmodellen, functioneren als black boxes, zelfs voor hun eigen ontwikkelaars. Uitleggen waarom een model een bepaalde output produceerde, of welke specifieke datapunten daarop van invloed waren, is vaak iets wat zelfs de leverancier niet volledig kan beantwoorden. Zoals onderzocht in een gerelateerd Computer Weekly Think Tank-stuk over hoe AI de kernregels van de AVG onder druk zet, is dit geen technische voetnoot van geringe betekenis. Het raakt de kern van wat de AVG wilde garanderen: dat mensen echte zichtbaarheid en controle hebben over hun eigen gegevens.

Deze hiaten zijn vanuit veiligheidsperspectief net zo belangrijk als vanuit complianceperspectief. Gegevensbescherming en cybersecurity zijn altijd met elkaar verweven, en wanneer het juridische kader dat goede datahygiëne moet afdwingen niet goed aansluit op hoe AI-systemen daadwerkelijk met informatie omgaan, kunnen organisaties blinde vlekken oplopen. Gevoelige gegevens kunnen in AI-tools terechtkomen zonder een duidelijke inventaris van waar ze naartoe gaan, wie er toegang toe heeft of hoe lang ze blijven bestaan, wat precies het soort onbeheerde dataverspreiding creëert dat securityteams jarenlang proberen te elimineren.

Compliance heroverwegen in het AI-tijdperk

De analyse van de Security Think Tank suggereert dat het stukje bij beetje repareren van de AVG mogelijk niet voldoende is. In plaats daarvan moeten zowel organisaties als toezichthouders heroverwegen hoe compliance eruitziet wanneer gegevens niet in een statische database staan, maar door trainingspijplijnen, modelupdates en AI-platforms van derden stromen. Dat betekent sterker databeheer voordat informatie ooit een AI-systeem bereikt: weten welke persoonsgegevens bestaan, de gevoeligheid ervan classificeren en beperken wat überhaupt in AI-tools wordt ingevoerd.

Voor toezichthouders in het VK en Europa roept dit ook vragen op over handhaving. De principes van de AVG blijven in de kern gezond, maar ze toepassen op AI vereist nieuwe interpretatieve richtsnoeren, en mogelijk nieuwe regels, om kwesties aan te pakken zoals de herkomst van trainingsdata, het opnieuw trainen van modellen na verzoeken tot gegevenswissing, en verantwoordingsplicht wanneer AI-leveranciers en hun klanten verantwoordelijkheid voor compliance delen.

Wat dit voor u betekent

Als uw organisatie AI-tools gebruikt, of dat nu een chatbot is, een intern analysedplatform of een dienst van een derde die op grote taalmodellen is gebouwd, dan kunt u er niet van uitgaan dat AVG- en AI-compliance standaard is geregeld. Zelfs kleinere bedrijven die kant-en-klare AI-producten gebruiken, kunnen risico lopen als persoonsgegevens terechtkomen in verwerkingen die het privacybeleid van de leverancier niet duidelijk uitlegt.

Voor individuen is de boodschap een herinnering dat gegevens die met AI-gedreven diensten worden gedeeld mogelijk niet zo eenvoudig terug te halen of te verwijderen zijn als gegevens die in een traditioneel account zijn opgeslagen. Zodra informatie wordt gebruikt om een model te trainen of fine-tunen, wordt het uitoefenen van rechten zoals gegevenswissing in de praktijk veel ingewikkelder dan de wet veronderstelt.

Concrete aandachtspunten

Overweeg deze stappen voordat u AI-tools invoert of blijft gebruiken die persoonsgegevens raken:

  • Vraag leveranciers rechtstreeks of uw gegevens voor modeltraining worden gebruikt en of ze later volledig kunnen worden verwijderd.
  • Breng in kaart welke persoonsgegevens in elk AI-systeem stromen dat uw organisatie gebruikt, inclusief tools van derden.
  • Beoordeel privacybeleid voor AI-producten met dezelfde nauwkeurigheid die u op elke andere gegevensverwerker zou toepassen.
  • Blijf op de hoogte van evoluerende richtsnoeren, aangezien AVG- en AI-compliance-regels waarschijnlijk blijven verschuiven terwijl toezichthouders bijbenen.

Het gat tussen de AVG en AI verdwijnt niet vanzelf. Totdat regelgeving bijbenet, zijn voorzichtigheid en goede informatie de beste bescherming die individuen en organisaties hebben.