AVG en KI: persoonlike data in algoritmes en outomatiese besluite

Die AVG is ten volle van toepassing sodra 'n KI-stelsel data oor 'n identifiseerbare persoon verwerk, in opleiding, in gebruik of in sy logboeke. Jy benodig dan 'n regsbasis vir elke stap, jy moet die logika van die stelsel aan die betrokke mense verduidelik, en 'n besluit wat uitsluitlik deur die masjien geneem word met beduidende gevolge word slegs toegelaat onder die streng voorwaardes van Artikel 22 AVG.

Die Nederlandse Databeskermingsowerheid (Autoriteit Persoonsgegevens, AP) handhaaf hierdie reëls. Die EU-KI-wet voeg 'n aparte produkveiligheidslaag bo-op, maar dit vervang of verslap geen AVG-verpligting nie. Vir die vraag oor hoe om 'n opleidingsdatastel wettiglik saam te stel, sien ons artikel oor AVG en groot data.

Wanneer is die GDPR van toepassing op 'n KI-stelsel?

Die AVG is van toepassing wanneer persoonlike data verwerk word, ongeag die tegnologie (Artikel 2 AVG). In 'n KI-toepassing vind dit op drie oomblikke plaas: opleiding, gebruik (inferensie) en logging.

'n Opgeleide model is nie outomaties anoniem nie. In Opinie 28/2024 van 17 Desember 2024 het die Europese Databeskermingsraad (EDPB) tot die gevolgtrekking gekom dat 'n model persoonlike data mag behou wat onttrek kan word, wat per model beoordeel moet word. As die model opgelei is op onwettig verwerkte data, kan dit ook die wettigheid van die gebruik daarvan beïnvloed. Die basiese beginsels is in ons inleiding tot databeskermingswetgewing.

Wie is verantwoordelik in 'n KI-ketting?

Verantwoordelikheid volg besluitneming, nie tegnologie nie. Die party wat die doeleindes en middele besluit, is die beheerder; die party wat slegs instruksies volg, is die verwerker (Artikel 4 AVG).

'n Modelverskaffer is gewoonlik 'n beheerder vir sy eie ontwikkeling en 'n verwerker vir die kliënt se gebruik. Indien die kontrak die verskaffer toelaat om jou insette te gebruik om sy eie model te verbeter, word dit 'n beheerder vir daardie doel. Sien ons artikels oor die rolle van die beheerder en verwerker en die dataverwerkingsooreenkoms . Indien data na verskaffers buite die EER gaan, vereis Hoofstuk V AVG ook 'n oordraginstrument.

Wanneer word 'n outomatiese besluit toegelaat?

Ingevolge Artikel 22 AVG is 'n besluit wat uitsluitlik op outomatiese verwerking gebaseer is en wat wetlike of soortgelyke beduidende gevolge het, in beginsel verbode. Dit word slegs toegelaat indien dit nodig is vir 'n kontrak, deur die wet met waarborge gemagtig is, of gebaseer is op uitdruklike toestemming.

Drie vrae bepaal of Artikel 22 van toepassing is:

• Is die besluit uitsluitlik gebaseer op outomatiese verwerking? 'n Simboliese menslike goedkeuring verander dit nie; die resensent moet werklike gesag hê en die uitkoms werklik oorweeg.
• Is die gevolge wettig of soortgelyk beduidend? Voorbeelde is die weiering van krediet, die verwerping van 'n werksaansoek of die blokkering van 'n kliënt na 'n bedrogvlag.
• Gaan dit oor 'n individu? Algemene prysreëls val buite; individuele puntetelling val binne.

In SCHUFA (CJEU 7 Desember 2023, C-634/21) het die Hof van Justisie beslis dat die vervaardiging van 'n krediettelling self 'n outomatiese besluit is indien 'n derde party swaar daarop staatmaak om oor 'n kontrak te besluit. Organisasies wat krediet-, bedrog- of risikotellings inkoop, moet dus nagaan wat hul verskaffer doen.

Waar 'n uitsondering van toepassing is, het die persoon ten minste die reg op menslike ingryping, om hul mening uit te spreek en die besluit te betwis (Artikel 22(3) AVG). Dit vereis 'n bemande en gedokumenteerde prosedure, met hersieners wat die onderliggende data sien en aanteken waarom hulle die uitkoms bevestig of daarvan afwyk.

Wat moet jy oor 'n algoritme verduidelik?

Vir outomatiese besluite vereis Artikels 13, 14 en 15 van die AVG dat jy mense inlig dat die besluit outomaties is, betekenisvolle inligting gee oor die betrokke logika, en die gevolge verduidelik. Dit geld wanneer jy die data insamel en weer op versoek.

In Dun & Bradstreet Oostenryk (HvJEU 27 Februarie 2025, C-203/22), het die Hof beslis dat die verduideliking die prosedure en beginsels wat werklik toegepas word, moet beskryf, sodat die persoon hul data kan nagaan en die besluit kan betwis. Indien u van mening is dat die verduideliking handelsgeheime sal openbaar, mag u nie bloot weier nie: u moet die inligting aan die toesighoudende owerheid of die hof gee, wat besluit wat bekend gemaak moet word. Sien ook ons ​​artikel oor die reg van toegang kragtens Artikel 15 en ons gids tot 'n privaatheidsbeleid in Nederland.

Watter regsbasis benodig jy vir opleiding en gebruik?

Elke verwerkingsstap benodig sy eie regsbasis kragtens Artikel 6 AVG, en die basis vir opleiding is nie outomaties die basis vir gebruik nie. In die praktyk is die opsies toestemming, noodsaaklikheid vir 'n kontrak en wettige belang.

'n Suiwer kommersiële belang kan 'n wettige belang wees, soos die Hof van Justisie in die Nederlandse KNLTB-saak (HvJEU 4 Oktober 2024, C-621/22) bevestig het, maar slegs indien die verwerking werklik noodsaaklik is en die belangebalans geld. Skryf daardie assessering neer voordat jy begin.

Spesiale kategorieë data, soos gesondheidsdata, biometriese data vir identifikasie en data wat etniese oorsprong openbaar, mag slegs verwerk word kragtens 'n uitsondering in Artikel 9 AVG. Dit geld ook indien die model so 'n kenmerk uit gewone data aflei. Sien ons artikel oor biometriese data en AVG-nakoming.

Uitsette oor 'n identifiseerbare persoon, soos 'n risikotelling of 'n gegenereerde verklaring, is persoonlike data. Dit moet akkuraat wees, en die persoon het die reg op toegang en regstelling (Artikels 15 en 16 AVG).

Hoe hanteer die wet vooroordeel en diskriminasie?

'n Algoritme wat sistematies slegter uitkomste vir 'n beskermde groep lewer, maak 'n indirekte onderskeid onder die Nederlandse Wet op Gelyke Behandeling (AWGB). Dit is onwettig tensy dit objektief geregverdig word deur 'n wettige doel en gepaste en noodsaaklike middele.

Die Nederlandse Instituut vir Menseregte (College voor de Rechten van de Mens) hanteer klagtes hieroor. In die SyRI-saak het die Distrikshof van Den Haag beslis dat die wetgewing agter 'n bedrogrisikostelsel strydig is met Artikel 8 van die Europese Konvensie oor Menseregte, omdat die stelsel nie deursigtig of verifieerbaar was nie (ECLI:NL:RBDHA:2020:865, 5 Februarie 2020).

Wie hou toesig oor KI en algoritmes in Nederland?

Die AP hou toesig oor die GDPR saam met die Nederlandse GDPR-implementeringswet (UAVG) en het 'n aparte departement vir die koördinering van algoritme-toesig; sien ons artikel oor die Nederlandse Databeskermingsowerheid . GDPR-boetes kan €20 miljoen of 4% van die wêreldwye jaarlikse omset beloop (Artikel 83 GDPR).

Sektor toesighouers behou hul eie bevoegdhede, soos die finansiële toesighouers vir modelle in bankwese en versekering. Regeringsliggame moet ook aan die Awb-vereistes voldoen dat 'n besluit met die nodige sorg voorberei en behoorlik gemotiveer word; "die stelsel het hierdie uitkoms opgelewer" is nie 'n rede nie.

Hoe hou die KI-wet verband met die AVG?

Die KI-wet reguleer KI-stelsels as produkte, volgens risikoklas. Dit bied nie 'n wetlike basis vir die verwerking van persoonlike data nie; waar 'n KI-stelsel persoonlike data verwerk, geld beide stelsels langs mekaar.

Die verbod op onaanvaarbare praktyke en die reëls vir algemene KI-modelle geld reeds. Ingevolge die KI Omnibus (Verordening (EU) 2026/1744, van krag sedert 27 Julie 2026), geld die verpligtinge vir hoërisiko-stelsels in Aanhangsel III, soos werwing, kredietgradering en opleiding, vanaf 2 Desember 2027, en dié vir KI in produkte wat onder Aanhangsel I gereguleer word vanaf 2 Augustus 2028. Sien ons gidse oor die EU KI-wet en hoërisiko KI-stelsels.

'n Impakassessering vir databeskerming (DPIA) kragtens Artikel 35 van die AVG word in die praktyk vereis vir die meeste KI-stelsels wat mense evalueer. Kombineer dit met die risikobestuur van die KI-wet en, waar nodig, die impakassessering van fundamentele regte, sodat een lêer alle toesighouers beantwoord.

Wat moet jy as 'n organisasie wat KI gebruik, nagaan?

Verantwoordbaarheid beteken dat jy voldoening moet kan bewys (Artikel 5(2) AVG). Gaan hierdie punte na voordat die stelsel in werking tree.

• Beskryf jou rekord van verwerking opleidingsdata, insette, uitsette en logboeke vir elke model?
• Is daar 'n skriftelike regsbasis, en 'n assessering van wettige belang waar u daarop staatmaak, vir elke stap?
• Neem die stelsel besluite binne Artikel 22 AVG, direk of deur 'n verskaffer se telling?
• Kan jy die logika verduidelik in terme wat 'n kliënt of werknemer verstaan?
• Het jy die uitkomste vir indirekte diskriminasie getoets en die resultate aangeteken?
• Het jy 'n DPIA uitgevoer en die KI-wet-risikoklas nagegaan?

Wat moet jy nagaan as 'n persoon wat deur 'n algoritme geraak word?

Jy kan jou GDPR-regte teen enige organisasie wat jou data in 'n KI-stelsel gebruik, gebruik. Gaan hierdie punte na as 'n besluit oor jou outomaties lyk.

• Is die besluit geneem sonder werklike menslike betrokkenheid?
• Het die organisasie vir jou gesê dat outomatiese besluitneming gebruik word?
• Vra vir toegang kragtens Artikel 15 AVG, insluitend betekenisvolle inligting oor die logika.
• Versoek menslike ingryping en betwis die besluit kragtens Artikel 22(3) AVG.
• Indien die organisasie nie binne een maand reageer nie, oorweeg 'n klagte by die AP.

Wat kan ons vir jou doen met GDPR en KI?

Ons privaatheidsadvokate adviseer maatskappye wat KI ontwikkel of gebruik, en individue wat deur outomatiese besluite geraak word.

• Ons assesseer of u stelsel onder Artikel 22 van die AVG en die hoërisiko-regime van die KI-wet val.
• Ons stel die DPIA en die assessering van wettige belang op.
• Ons hersien die KI-verskafferskontrak vir beheerderrolle, modelopleidingsklousules en oordragte.
• Ons stel die verduideliking van die logika vir u privaatheidsverklaring en toegangsversoeke op.
• Ons staan ​​jou by met 'n ondersoek deur die Autoriteit Persoonsgegevens.

Opsomming

• Die AVG is ten volle van toepassing op KI-stelsels wat persoonlike data verwerk, in opleiding, gebruik en logging.
• Besluite gebaseer uitsluitlik op outomatiese verwerking met beduidende gevolge word slegs toegelaat kragtens Artikel 22 AVG, met menslike ingryping op versoek.
• Jy moet betekenisvolle inligting oor die logika gee; handelsgeheime regverdig nie 'n blatante weiering nie (HvJEU C-203/22).
• Die KI-wet is van toepassing bo-op die AVG; hoërisiko-verpligtinge kragtens Aanhangsel III is van toepassing vanaf 2 Desember 2027.

Algemene vrae