GDPR & AI Act

Artikel 22 van de AVG geeft mensen het recht om niet uitsluitend onderworpen te worden aan geautomatiseerde verwerkingen die significante gevolgen voor hen hebben. Dit recht is absoluut voor besluiten die iemand "aanzienlijk treffen". Denk aan kredietaanvragen, sollicitatieprocedures, sociale uitkeringen of medische triage. De AVG vereist in zulke gevallen altijd de mogelijkheid van menselijke tussenkomst, het recht om bezwaar te maken en het recht op uitleg.

De AI Act voegt hier een laag aan toe: systemen die geautomatiseerde besluitvorming toepassen in de sectoren uit Bijlage III (krediet, onderwijs, HR, essentiële diensten, etc.) worden gekwalificeerd als hoog-risico AI-systemen. Voor die systemen gelden verplichtingen op het gebied van registratie, transparantie, menselijk toezicht en technische robuustheid. De overlap is dus precies daar waar Art. 22 AVG al van kracht is.

Onder de AVG ben je verplicht een Data Protection Impact Assessment (DPIA) uit te voeren wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van mensen. Dit is bijna altijd het geval bij grootschalige verwerking van bijzondere persoonsgegevens of bij profilering met aanzienlijke gevolgen.

De AI Act introduceerde in Artikel 27 een Fundamental Rights Impact Assessment (FRIA). Anders dan een DPIA kijkt een FRIA naar het volledige spectrum van grondrechten — niet alleen privacy. De FRIA is verplicht voor publieke lichamen en private organisaties die diensten van publiek belang verlenen (onderwijs, zorg, sociale diensten) en die hoog-risico AI inzetten. De Europese Commissie werkt aan een template waarmee je DPIA en FRIA kunt integreren in één gecombineerd assessment.

De AVG verplicht organisaties om betrokkenen te informeren over verwerkingen van hun persoonsgegevens. Bij geautomatiseerde besluitvorming (Art. 22) moet je bovendien "zinvolle informatie over de onderliggende logica" verstrekken. Dat is geen lege verplichting — toezichthouders verwachten dat mensen begrijpen op basis van welke variabelen een besluit tot stand is gekomen.

AI Act Artikel 13 legt hoog-risico AI-systemen een vergelijkbare maar bredere transparantieverplichting op: gebruikers moeten de output van het systeem interpreteren en beoordelen. De documentatieverplichtingen (technisch dossier, logboek) dienen mede als basis voor die uitlegbaarheid. De uitdaging is dat de AVG "zinvolle uitleg aan de betrokkene" vereist, terwijl de AI Act "interpreteerbaarheid voor de deployer" vereist — dit zijn deels verschillende doelgroepen met deels andere informatiebehoeften.

De AVG schrijft dataminimalisatie voor: je mag niet meer persoonsgegevens verwerken dan strikt noodzakelijk voor het doel. Dit is een fundamenteel principe dat op gespannen voet staat met de neiging van machine learning om zoveel mogelijk data te verzamelen voor betere modelprestaties.

AI Act Artikel 10 stelt specifieke eisen aan de trainingsdata, validatiedata en testdata van hoog-risico AI-systemen. De data moet relevant, representatief, vrij van fouten en volledig zijn. Bovendien verplicht Art. 10 tot het beheersen van bias — wat neerkomt op een actieve plicht om te controleren of de data geen discriminerende patronen bevat. Dit vereist categorieën van persoonsgegevens die onder de AVG bijzonder beschermd zijn (etniciteit, geslacht, gezondheid). Er is dus een inherente spanning: Art. 10 vraagt om data-analyse op gevoelige categorieën, terwijl de AVG die verwerking streng beperkt.

In Nederland is de Autoriteit Persoonsgegevens (AP) aangewezen als nationale markttoezichthouder voor de AI Act. Dat is een bewuste keuze: de AP heeft al expertise in het beoordelen van gegevensverwerkingen en geautomatiseerde systemen. Maar het betekent ook dat de AP nu twee wettelijke kaders gelijktijdig handhaaft — GDPR én AI Act.

Dit heeft praktische gevolgen. Een klacht over een AI-systeem dat persoonlijke beslissingen neemt kan door de AP onderzocht worden vanuit twee invalshoeken tegelijk: schending van Art. 22 AVG (geen menselijk toezicht) én schending van de AI Act (hoog-risico systeem niet geregistreerd of zonder technisch dossier). De AP kan op beide gronden handhaven en boetes opleggen. Het totale boeterisico is daarmee aanzienlijk groter dan bij één toezichtkader.