AP publiceert hulpmiddel voor verantwoorde inzet van generatieve AI

De Autoriteit Persoonsgegevens (AP) heeft medio juli twee documenten uitgebracht die organisaties helpen om generatieve AI in lijn met de AVG te ontwikkelen en te gebruiken. Naast een juridische handreiking voor ontwikkelaars van AI-modellen is er een praktisch hulpmiddel voor organisaties die generatieve AI willen implementeren en inzetten. Dat laatste document is ook bruikbaar voor advieskantoren die met AI aan de slag zijn of gaan, zeker wanneer een AI-systeem toegang krijgt tot bestaande bestanden.

Het hulpmiddel bevat drie stappen die een organisatie kan doorlopen bij de inzet van generatieve AI. Zorg dat eerst de basis op orde is, maak dan de keuze voor een AI-systeem en zorg ervoor dat de AI-tool vervolgens verantwoord ingezet wordt.

De AP geeft bij elke stap een aantal vragen die je als gebruiker kunt beantwoorden. Op die manier kun je zien in hoeverre de inzet van de generatieve AI en het kantoor zelf aan AVG-beginselen voldoen. De AP benadrukt dat het invullen van het document op zichzelf niet volstaat om aan de AVG te voldoen, maar dat het wel goed dienst kan doen als bijlage bij een gegevensbeschermingseffectbeoordeling (DPIA).

De AP wijst erop dat sommige geïntegreerde AI-systemen toegang krijgen tot alle bestanden waar de gebruiker ook bij kan. Denk aan een assistent die meekijkt in de volledige kantooromgeving. Dat kan botsen met het beginsel van dataminimalisatie als het AI-systeem niet al die gegevens nodig heeft voor het doel waarvoor je het inzet.

Verder besteedt de AP aandacht aan zaken als doelbinding, opslag van de gegevens, bewaartermijnen en het maken van goede afspraken met leveranciers over verwerkersrollen komen aan bod. Ook het risico op onjuiste of onwenselijke antwoorden en aan het verbod op geautomatiseerde besluitvorming zonder (betekenisvolle) menselijke tussenkomst worden aangestipt.

Voor de meeste kantoren die generatieve AI vooral gebruiken als schrijf- of analysehulp zijn niet alle stappen even diepgaand van toepassing. Maar voor kantoren die een AI-assistent koppelen aan klantdossiers biedt het hulpmiddel concrete stappen en vragen die helpen bij de juiste inzet van AI-tools. Het hulpmiddel van de AP sluit uiteraard aan bij de Europese AI-verordening.

Het document van de AP sluit ook aan bij wat wij in ons AI Kennisportaal en het Handboek AI in de praktijk meegeven: werk met een AI-register, zorg er altijd voor dat resultaten door een mens worden gecontroleerd en voer geen herleidbare klantgegevens in publieke tools in. Op dat laatste punt helpt ook de Adfiz Pseudonimisator, waarmee je persoonsgegevens in een dossier lokaal vervangt door tokens voordat je het in een AI-tool gebruikt.