Artikel 35 AVG vereist een gegevensbeschermingseffectbeoordeling wanneer een verwerking waarschijnlijk een hoog risico oplevert. Veel AI-toepassingen halen die drempel door profilering, grootschalige verwerking of nieuwe technologie. Het probleem is niet óf u een DPIA doet; het is dat de meeste templates niet de vragen stellen die er voor een model toe doen.
Begin bij het systeem, niet bij het formulier
Beschrijf de functie zoals een engineer dat zou doen: invoer, model, uitvoer, waar de uitvoer naartoe gaat en wie ernaar handelt. Vermeld de leverancier, de hostingregio en of het model is gefinetuned op uw data. Een diagram zegt meer dan drie pagina's tekst.
Data lineage
Leg per dataset (training, fine-tuning, evaluatie, prompts, output, logs) vast: bron, grondslag, bewaartermijn en of de data wordt gebruikt om het model te verbeteren. "Gebruikt voor verbetering" is waar de meeste leveranciersverrassingen zitten.
Outputrisico's
Klassieke DPIA's beoordelen risico's voor opgeslagen data. AI-DPIA's moeten ook de risico's beoordelen van wat het model produceert: onjuiste gevolgtrekkingen over personen, discriminerende uitkomsten, verzonnen feiten die als waar worden gepresenteerd, en lekken van trainingsdata in de output. Beoordeel per risico kans en ernst.
Menselijk toezicht en artikel 22
Leiden uitkomsten tot besluiten met rechtsgevolgen of vergelijkbaar aanzienlijke gevolgen, dan heeft u een geldige uitzondering onder artikel 22 nodig of betekenisvolle menselijke betrokkenheid. "Een mens klikt op akkoord" is geen betekenisvol toezicht, tenzij die mens kan afwijken en dat ook doet. Documenteer de beoordelingsstap, de deskundigheid van de beoordelaar en hoe vaak wordt afgeweken.
Wijzigingsbeheer van het model
Een DPIA is een momentopname; een model niet. Bepaal wat een wezenlijke wijziging is (nieuwe modelversie, nieuwe databron, nieuwe toepassing) en wie de DPIA dan heropent. Koppel dit aan uw documentatie onder de AI-verordening als het systeem hoog-risico is.
Maatregelen die het risico echt verlagen
Kies maatregelen die u kunt verifiëren: invoerfiltering, logging van output met bewaartermijnen, limieten op gevoelige verzoeken, evaluatiesets voor bias en een gedocumenteerd incidentproces. Vermijd "wij nemen passende maatregelen".
Raadpleging
Betrek de FG als u die heeft, en overweeg betrokken gebruikers of hun vertegenwoordigers te raadplegen bij functies met grote impact. Blijft het restrisico hoog, dan is voorafgaande raadpleging van de Autoriteit Persoonsgegevens (artikel 36) verplicht.
Wilt u een DPIA-structuur die engineering en legal allebei kunnen gebruiken, neem dan contact op.