Een cliënt vraagt of haar documenten worden gebruikt door de AI-assistent van uw kantoor. Het antwoord dat AI alleen ondersteunend werkt, laat haar belangrijkste vraag open: wat gebeurt er met de persoonsgegevens in die documenten?

Een uitleg over AI begint daarom bij de verwerking. Wat doet uw kantoor, voor welk doel en welke andere partijen krijgen daarbij gegevens? Zonder dat verband zegt een technologienaam de cliënt weinig.

Beantwoord eerst de vraag achter AI

De Data Protection Commission beschrijft bij transparantie dat organisaties onder meer duidelijk maken wie zij zijn, waarom zij gegevens verwerken, op welke grondslag dat gebeurt, of gegevens verder worden gedeeld en hoe lang ze worden bewaard. Ook de rechten van betrokkenen horen in de informatie thuis.

Dat zijn vragen over persoonsgegevens. Ze vallen niet samen met de vraag of uw kantoor een AI-abonnement heeft. Als het hulpmiddel alleen wordt gebruikt om een algemene tekst zonder persoonsgegevens te herschrijven, is de uitleg over die handeling anders dan bij een koppeling met cliëntdossiers.

Beperk uw belofte tot wat u hebt vastgesteld. Als nog onduidelijk is welke registratie een leverancier bij een dossierhandeling maakt, kunt u niet zonder meer zeggen dat nergens een kopie blijft bestaan. Onderzoek die feitelijke vraag eerst. Een geruststellende zin mag het ontbrekende antwoord niet verhullen.

Maak de uitleg concreet genoeg om te begrijpen

Neem een volledig fictieve cliënt die stukken voor een aangifte aanlevert. Het kantoor wil een hulpmiddel gebruiken om de voorbereiding van een gesprek te ondersteunen. De cliënt vraagt of de stukken naar een andere organisatie gaan. Een antwoord over sneller werken sluit niet aan op die vraag.

Beschrijf in de interne voorbereiding welke handeling plaatsvindt en welke onderdelen van de documenten daarvoor worden gebruikt. Vertaal dat vervolgens naar begrijpelijke informatie voor de cliënt. Welke uitleg over een ontvanger of een categorie ontvangers nodig is, volgt uit de verwerking en de toepasselijke informatieplicht.

Maak onderscheid tussen een feit en een ambitie. Dat een medewerker het resultaat moet beoordelen, zegt niet waar de invoer wordt verwerkt. Dat een kantoor graag minder gegevens wil delen, zegt niet welke route vandaag is ingesteld. De uitleg over gegevensstromen bij AI-gebruik helpt om die feitelijke vragen afzonderlijk te onderzoeken.

Vertaal de feitelijke verwerking naar de vragen van de cliënt over doel, gegevensgebruik en ontvangers
Begin bij de vraag die de cliënt wil kunnen beantwoorden.

Kies een vorm die bij het contact past

De EDPB-gids over het recht op informatie beschrijft een gelaagde aanpak: een begrijpelijke eerste laag met de belangrijkste informatie en daarachter de volledige uitleg. De eerste laag moet de lezer helpen de gevolgen en reikwijdte te begrijpen; een link zonder inhoud doet dat niet.

Bij het aanleveren van stukken kan een korte toelichting aansluiten op wat de cliënt op dat moment doet. Verwijs naar de juiste, volledige privacyinformatie en geef aan waar een vraag terechtkan. Laat een collega die niet bij de invoering betrokken was de tekst lezen. Kan die uitleggen wat er met de gegevens gebeurt?

Neem alleen tekst op die bij de ingerichte werkwijze hoort. Een voorbeeldverklaring van een andere organisatie kan een andere rolverdeling, andere ontvangers of een andere grondslag beschrijven. Het kopiëren van zo’n tekst kan daardoor een helder geschreven maar onjuist antwoord opleveren.

Verwar informeren niet met toestemming

Dat de cliënt een toelichting krijgt, bepaalt nog niet op welke grondslag uw kantoor persoonsgegevens verwerkt. RVO legt uit dat de AVG verschillende grondslagen kent. Toestemming is er één van. Of een grondslag de voorgenomen verwerking kan dragen, moet voor die verwerking worden beoordeeld.

Een knop met begrepen is daarom niet automatisch een geldige toestemming. Omgekeerd volgt uit de informatieplicht niet dat ieder gebruik van AI alleen op toestemming kan berusten. Houd de uitleg aan de cliënt en de beoordeling van de grondslag als afzonderlijke vragen herkenbaar.

Dit artikel behandelt de privacy-informatie bij gegevensgebruik. Aanvullende verplichtingen voor specifieke AI-toepassingen of beroepsregels kunnen ook een rol spelen. Een tekst over de AVG is geen volledige beoordeling van al die andere verplichtingen. Laat de vraag over de concrete toepassing niet verdwijnen achter één algemene mededeling over AI.

Beoordeel de feitelijke handeling, de grondslag en de informatie aan de cliënt als afzonderlijke samenhangende vragen
Informeren en een grondslag beoordelen zijn verschillende onderdelen van dezelfde verwerking.

Werk de uitleg bij als de werkwijze verandert

De EDPB onderscheidt informatie bij het rechtstreeks verzamelen van gegevens van informatie wanneer gegevens uit een andere bron komen. Voor rechtstreeks verzamelde gegevens hoort de nodige informatie bij het moment van verzamelen. De fictieve aanlevering door de cliënt is dus niet zonder meer een voorbeeld voor iedere persoon die in haar stukken wordt genoemd.

Vergelijk een voorgenomen wijziging met de informatie die al is verstrekt. Als bijvoorbeeld ontvangers of het gebruiksdoel veranderen, moet worden beoordeeld welke aanvullende informatie nodig is en wanneer die wordt gegeven. De EDPB beschrijft dat relevante veranderingen vóór de invoering ervan aan betrokkenen moeten worden uitgelegd.

Bewaar intern welke werkwijze bij welke versie van de uitleg hoort. Zo kan een collega een cliëntvraag beantwoorden vanuit de werkelijke inrichting. De cliënt hoeft uw technische ontwerp niet te reconstrueren om te begrijpen wat er met haar gegevens gebeurt.

Bronnen

Coverfoto: Dylan Gillis op Unsplash. Diagrammen: eigen illustraties van FactBase.

TransparantieCliëntgegevensAI-gebruik