AI Act en GDPR: waar de twee kaders elkaar raken

Het juridisch kader

De AI-verordening (Verordening (EU) 2024/1689) en de GDPR (Verordening (EU) 2016/679) gelden tegelijk. De AI Act zegt dat zelf: ze laat het Unierecht inzake gegevensbescherming onverlet (artikel 2, lid 7). De GDPR gaat aan zodra je persoonsgegevens verwerkt. De AI Act gaat aan zodra je een AI-systeem in de handel brengt of gebruikt, met of zonder persoonsgegevens. De meeste zakelijke AI-systemen vallen onder allebei.

De rollen vallen niet samen

De AI Act spreekt van aanbieders en deployers. De GDPR spreekt van verwerkingsverantwoordelijken en verwerkers. Een deployer is meestal verwerkingsverantwoordelijke voor de persoonsgegevens die hij in een systeem invoert. Een aanbieder kan verwerker, gezamenlijk verwerkingsverantwoordelijke of zelfstandig verwerkingsverantwoordelijke zijn, bijvoorbeeld als hij klantgegevens gebruikt om zijn model te verbeteren. Bepaal je rol onder elk regime apart en zet die in het contract.

Effectbeoordelingen

• Een DPIA (GDPR artikel 35) heb je nodig als een verwerking waarschijnlijk een hoog risico voor personen inhoudt. Denk aan systematische beoordeling met aanzienlijke gevolgen, grootschalige verwerking van bijzondere categorieën en systematische monitoring.
• Een beoordeling van de gevolgen voor de grondrechten (FRIA, AI Act artikel 27) is nodig vóór de eerste ingebruikname van een hoogrisicosysteem door overheidsinstanties, private entiteiten die openbare diensten verlenen en deployers van bepaalde kredietscoring- en verzekeringssystemen. Ze gaat over alle grondrechten, niet alleen privacy.
• Gelden allebei, dan kan de FRIA de DPIA aanvullen (artikel 27, lid 4). De beoordelingen overlappen, maar geen van beide vervangt de andere. Deployers van hoogrisicosystemen gebruiken de informatie van de aanbieder voor hun DPIA (artikel 26, lid 9).

Geautomatiseerde besluiten en transparantie

GDPR artikel 22 geeft mensen het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen heeft. Er zijn uitzonderingen, maar die vragen waarborgen, zoals menselijke tussenkomst. In SCHUFA (C-634/21) oordeelde het Hof van Justitie dat een waarschijnlijkheidsscore zelf zo'n besluit kan zijn als een derde er sterk op steunt. De AI Act voegt een recht op uitleg toe over de rol van een hoogrisicosysteem in een besluit (artikel 86), menselijk toezicht (artikel 14) en de informatieplichten van artikelen 13 en 26. GDPR artikelen 13 tot 15 vragen betekenisvolle informatie over de onderliggende logica.

Datakwaliteit, bias en bijzondere categorieën

Aanbieders van hoogrisicosystemen moeten trainings-, validatie- en testdata gebruiken die relevant, representatief en zo foutloos mogelijk zijn (artikel 10). Om bias op te sporen en te corrigeren mogen aanbieders volgens artikel 10, lid 5 onder strikte voorwaarden bijzondere categorieën van persoonsgegevens verwerken: het moet noodzakelijk zijn, er moeten technische waarborgen zijn en de data worden na gebruik verwijderd. Dat is een AI Act-grondslag voor dat doel. De algemene GDPR-beginselen, waaronder minimale gegevensverwerking en doelbinding, blijven gelden. De Europese Gegevensbeschermingsraad behandelde het gebruik van persoonsgegevens in AI-modellen in zijn Advies 28/2024.

Andere raakpunten

• Registers en verantwoording. Houd de registers van artikel 30 GDPR en de technische documentatie van de AI Act het best samen bij, zodat ze elkaar niet tegenspreken.
• Melding van inbreuken en incidenten. Een datalek meld je binnen 72 uur aan de gegevensbeschermingsautoriteit (artikel 33). Ernstige incidenten met hoogrisicosystemen meld je op grond van artikel 73 AI Act. Eén gebeurtenis kan dus beide meldingen uitlokken.
• Toezicht. De Gegevensbeschermingsautoriteit houdt toezicht op de GDPR. De AI Act werkt met markttoezichtautoriteiten die elke lidstaat aanwijst. Check wie in jouw sector bevoegd is.

In de praktijk

Een Hasseltse verzekeringsmakelaar gebruikt een AI-tool om schadegevallen te triëren en vermoedelijke fraude te signaleren. De makelaar is verwerkingsverantwoordelijke en heeft een rechtsgrond nodig, privacyverklaringen die de profilering vermelden en een DPIA. Een signalering kan tot een geweigerde claim leiden. Daarom eist artikel 22 dat een schadebehandelaar de echte beslissing neemt en van de aanbeveling van de tool kan afwijken. De makelaar documenteert het toezicht onder de AI Act en gebruikt één beoordelingsdossier voor beide kaders, met aparte delen waar de juridische toetsen verschillen.

Veelgestelde vragen

Als we de GDPR naleven, leven we dan ook de AI Act na?

Nee. De AI Act bevat vereisten die de GDPR niet kent, zoals risicobeheer, documentatie en conformiteitsbeoordeling.

Voldoet een DPIA aan de grondrechteneffectbeoordeling?

Niet zomaar. Ze kan als basis dienen, maar de FRIA moet bredere rechten dekken en de inhoudsvereisten van de AI Act halen.

Mogen we bijzondere categorieën van gegevens gebruiken om op bias te testen?

Onder artikel 10, lid 5 AI Act wel, als aan de voorwaarden is voldaan en andere data niet volstaan. Documenteer de noodzaak en de waarborgen.

Wie beantwoordt het verzoek van een betrokkene over een AI-besluit?

De verwerkingsverantwoordelijke. De aanbieder moet die contractueel ondersteunen.

Hoe dit samenhangt

Bij naleving van de AI-verordening pakken we beide kaders in één keer aan. Onze nalevingsregisters houden het GDPR-verwerkingsregister naast de AI Act-registers bij, en in onze DPIA-tool werk je samen met je jurist aan beoordelingen in één werkdossier. Zie ook een AI-governancekader opbouwen.