Wat is een DPIA? De gegevensbeschermingseffectbeoordeling die je uitvoert vóór een verwerking met een hoog privacyrisico. Wanneer hij verplicht is bij AI.
Een DPIA is een gegevensbeschermingseffectbeoordeling: een gestructureerde toets vóórdat een verwerking met een hoog privacyrisico begint. Je beschrijft het doel, de gegevens, de risico's voor betrokkenen en de maatregelen die die risico's beheersen. Bij AI-toepassingen die personen scoren of volgen kan hij verplicht zijn. EIGHTY8 levert de bouwstukken ervoor, niet het juridische oordeel.
De naam is een mondvol (gegevensbeschermingseffectbeoordeling) maar de vraag is kort: welke risico's heeft deze verwerking voor de mensen wiens gegevens we gebruiken, en hoe beheersen we die? Een DPIA beschrijft het doel van de verwerking, welke persoonsgegevens meedoen, wie ze verwerken en hoe lang ze bewaard worden, waarna de risico's benoemd en beoordeeld worden en per risico een maatregel staat die hem draaglijk maakt.
Het moment is cruciaal: vóór de verwerking begint, niet als rapport achteraf. Juist bij AI-toepassingen is die volgorde waardevol, omdat de belangrijkste keuzes (welke velden meedoen, of er gescord wordt, waar de menselijke controle zit) aan het begin het goedkoopst te maken zijn. Een DPIA die een al gebouwd systeem achteraf moet rechtvaardigen, is een slecht teken: de afspraak komt dan na het feest.
Wanneer een DPIA verplicht is, hangt af van het risico: systematisch en uitgebreid toetsen van personen, grootschalige verwerking van gevoelige categorieën, of het volgen van mensen kunnen hem nodig maken; de toezichthouder geeft daarvoor de toetsen. Vaak is hij niet verplicht maar toch verstandig. Het document dwingt het team om de privacykeuzes uit te spreken. Bij EIGHTY8 zijn de discovery-opbrengst en de DPIA goede buren: de ene levert de bouwstukken voor de andere.
Denk aan een DPIA zodra een AI-toepassing personen systematisch beoordeelt of scoort, grote hoeveelheden persoonsgegevens verwerkt, of technologie inzet die mensen volgt. Ook als het 'alleen' een assistent is die meekijkt in dossiers. De toets is niet of de techniek indrukwekkend is, maar of het risico voor betrokkenen groot kan zijn. Twijfel je, dan is de vraag aan de toezichthouder of een jurist goedkoper dan de gok.
Niet elke AI-verwerking heeft er een nodig: een kennisbank die procedures doorzoekbaar maakt, een assistent die productinformatie samenvat, of een werkstroom met alleen bedrijfsgegevens vraagt er in de regel niet om. Wat wel altijd kan, en wat wij standaard meeleveren, is een korte risico-notitie waarin staat welke gegevens meedoen en waarom het risico beperkt blijft. Die notitie is een half DPIA, en in de meeste trajecten het halve gesprek al waard.
Wij leveren de bouwstukken: de vastlegging van doel, gegevensstromen, bewaartermijnen, providers en menselijke controles die uit de discovery komt. De beoordeling zelf en het juridische oordeel horen bij de verwerkingsverantwoordelijke en zijn adviseurs; de toezichthouder beschrijft de toetsen. Zo'n samenwerking loopt soepel omdat de feiten al op papier staan in plaats van uit hoofden gehaald moeten worden.
De AVG vraagt om een effectbeoordeling bij verwerkingen die waarschijnlijk een hoog risico opleveren. Denk aan systematisch en uitgebreid toetsen van personen, grootschalige verwerking van bijzondere categorieën of het volgen van mensen. AI die personen scoort of keuzes over hen automatiseert komt daar al snel bij. Of jouw toepassing daaronder valt, hangt af van het concrete ontwerp; de toezichthouder beschrijft de toetsen en een jurist kan het bevestigen. Wij leveren de feiten waarop de beoordeling rust.
De verwerkingsverantwoordelijke, het bedrijf dat de verwerking namens zichzelf laat plaatsvinden, is verantwoordelijk voor de beoordeling; hij kan er adviseurs en leveranciers bij betrekken. De opbrengst is een document dat de verwerking, de risico's en de maatregelen beschrijft en dat op tijd staat: vóór de start. Bij een leverancier als EIGHTY8 komt een groot deel van de inhoud uit de discovery, zodat de beoordeling bouwt op vastgelegde feiten in plaats van op veronderstellingen.
Doel en noodzaak van de verwerking, welke persoonsgegevens meedoen en waar ze vandaan komen, welke partijen verwerken, bewaartermijnen, de risico's voor betrokkenen en per risico een maatregel. Bijvoorbeeld dataminimalisatie, menselijke controle of een beperkte toegangslijst. Voor AI voegen daarbij de modelkeuze en de controle op outputvelden zich vanzelf toe. Het document hoeft geen boek te zijn; het moet de keuzes en het rest risico eerlijk weergeven.
Nee, hij volgt de verwerking: verandert het doel, komen andere gegevenscategorieën mee of verandert het ontwerp wezenlijk, dan wordt de beoordeling bijgesteld. Behandel hem als levend document dat bij elke grote wijziging wordt herzien. Precies zoals de scope van een traject meebeweegt. Wij signaleren in onderhoud bij onze klanten wanneer een wijziging aanleiding is om de notitie erbij te pakken, zodat het papier de werkelijkheid blijft volgen.
EIGHTY8