Stel dat u een passage uit een conceptbrief wilt laten herschrijven. De brief gaat over een ondernemer die als enige in een kleine plaats een veerpont exploiteert. Hij heeft het bedrijf overgedragen op de dag dat de gemeente een nieuwe dienstregeling aankondigde. U vervangt zijn naam door ‘cliënt A’. Wie het plaatselijke nieuws kent, heeft misschien al genoeg aan de rest van de zin.

Bij het anonimiseren van cliëntgegevens voor AI telt wat iemand uit de uiteindelijke invoer kan afleiden. Voor het herschrijven van die brief kunt u waarschijnlijk veel details missen. Voor een fiscale vraag over diezelfde overdracht kan een datum juist van belang zijn. Dat verschil bepaalt wat u kunt weglaten en wanneer u een andere werkwijze nodig hebt.

Drie details kunnen samen genoeg zijn

De pont, de kleine plaats en de aankondiging zijn verzonnen. Met alleen ‘ondernemer’ kunt u weinig. Met ‘exploitant van de enige veerpont in een kleine plaats’ kunt u de kring al verkleinen. De aankondiging geeft vervolgens een aanknopingspunt voor een zoekactie. De naam heeft nergens in de bewerkte tekst gestaan.

De Europese Commissie noemt uitdrukkelijk dat losse gegevens samen tot identificatie kunnen leiden. Bekijk daarom welke aanwijzingen in dezelfde passage samenkomen. Een omschrijving als ‘kleine plaats’ is op zichzelf weinig specifiek. In een passage die ook een plaatselijk voorval en een familierelatie noemt, kan diezelfde omschrijving meer prijsgeven.

De kennis van de ontvanger doet ertoe. Iemand die alleen de passage ziet, heeft andere aanknopingspunten dan iemand die ook eerdere stukken uit hetzelfde dossier kan raadplegen. Neem in de beoordeling mee welke extra informatie redelijkerwijs beschikbaar is. Voor een tekstfragment uit een dossier kan dat iets eenvoudigs zijn, zoals eerder gedeelde berichten met hetzelfde dossiernummer.

Illustratie waarin beroep, plaats en een bijzondere transactie samen naar een fictieve cliënt wijzen
Bij een herkenbare combinatie kan het weghalen van de naam weinig veranderen.

Wat een cliëntcode wel doet

Een vaste cliëntcode kan handig zijn als twee medewerkers opmerkingen aan hetzelfde dossier moeten kunnen koppelen. Een apart bewaarde koppeltabel maakt het mogelijk die code weer aan de cliënt toe te schrijven. De EDPB beschrijft in haar beveiligingsgids hoe pseudonimisering de directe koppeling beperkt. Bewaar de aanvullende informatie afzonderlijk en beveilig haar.

Het gebruik van ‘cliënt A’ alleen zegt weinig over de kwaliteit van zo’n maatregel. Als dezelfde zin de pont, de plaats en het voorval bevat, hoeft een ontvanger geen koppeltabel te zien om de persoon mogelijk te herkennen. En als ‘cliënt A’ in meerdere documenten steeds dezelfde persoon aanduidt, kan een lezer die documenten naast elkaar leggen. Wat in het ene stuk ontbreekt, kan in het andere staan.

Gebruik bij een interne controle precieze taal. Schrijf bijvoorbeeld dat u namen en contactgegevens hebt verwijderd en het dossiernummer hebt vervangen. Daarmee kan een collega de uitgevoerde bewerking beoordelen. Het oordeel dat een tekst anoniem is vraagt daarnaast een onderbouwing van het risico op herleiding. Persoonsgegevens die na pseudonimisering nog aan iemand te koppelen zijn, blijven volgens de Europese Commissie onder de AVG vallen.

Schrijf eerst op wat de AI moet doen

Voor een taalvraag heeft u in dit voorbeeld geen cliëntdossier nodig. ‘Maak deze passage begrijpelijk voor iemand die voor het eerst een bedrijfsoverdracht meemaakt’ kan prima samen met een nieuw geschreven voorbeeldzin. ‘De ondernemer heeft de activiteiten van zijn onderneming overgedragen. We hebben nog stukken nodig om het dossier af te ronden.’ De gebeurtenis, plaats en datum kunnen weg. De gewenste toon en de boodschap blijven staan.

Bij de vraag ‘Welke datum moet ik toetsen om de fiscale gevolgen van de overdracht te beoordelen?’ verandert de taak. Misschien heeft u de datum van de overeenkomst én het moment van uitvoering nodig om de vraag goed af te bakenen. Als u de datums afrondt of verzint en de uitkomst vervolgens op het echte dossier toepast, onderzoekt u mogelijk de verkeerde feiten. Gebruik voor een algemene onderzoeksvraag een fictieve tijdlijn en vul de echte datums in tijdens uw eigen beoordeling. Moet de toepassing de echte gegevens verwerken om de opdracht uit te voeren? Stel het gebruik uit tot uw kantoor die verwerking voor deze taak heeft beoordeeld.

Vergelijk bij de taalvraag het voorstel met de boodschap die behouden moest blijven. Toets bij de inhoudelijke vraag welke feiten en bronnen de conclusie dragen.

Zwarte pen op een leeg, opengeslagen notitieboek
Schrijf voor een taalproef zelf een voorbeeldzin. Foto van Mike Tinnion.

Lees precies de versie die u deelt

Open het bestand dat u daadwerkelijk wilt delen. Controleer de bestandsnaam, kop- en voetteksten, opmerkingen en eventuele bijlagen. Zwartgelakte tekst vraagt een aparte controle. Open het geëxporteerde bestand en zoek op een woord dat u dacht te hebben verwijderd. Kijk ook of de tekst onder het zwarte vlak nog te selecteren is. Een controle van de zichtbare alinea mist zulke plekken.

De twee versies van de brief vragen elk een andere controle. Bij de zelfgeschreven tekst kunt u bij een leeg bericht beginnen en alleen het voorbeeld plakken. Bij een ingekorte kopie van de brief kan de bijlage nog oude tekst bevatten. Stel dat de conceptbrief eindigt met ‘zie de koopovereenkomst’. Voor de taalproef heeft de toepassing die overeenkomst niet nodig. Zet de gewenste passage dan als tekst in het bericht en controleer dat u geen bestand hebt toegevoegd.

Kijk bij een bundel ook over de grenzen van losse documenten heen. De brief noemt misschien alleen ‘cliënt A’. Een bijlage kan via hetzelfde nummer de transactie aan de koper verbinden, terwijl een tweede bijlage een plaatsnaam noemt. Een controle per document ziet die combinatie gemakkelijk over het hoofd. Leg daarom vast welke stukken u als één pakket hebt beoordeeld.

Laat een collega de bewerkte versie lezen en aanwijzen welke feiten nog naar dezelfde persoon wijzen. Geef die collega alleen de context die past bij de beoogde ontvanger en werkwijze. Dat kan een vergeten verwijzing opleveren. Het oordeel van die ene proeflezer zegt op zichzelf weinig over wat iemand met andere bronnen kan achterhalen.

Controleer ook of de toepassing andere bestanden of eerdere berichten gebruikt. Een zorgvuldig bewerkte passage kan alsnog samen met aanvullend materiaal worden verwerkt. Het artikel over de gegevensstroom bij AI en cliëntdossiers laat zien waar u die extra invoer kunt tegenkomen.

Noteer waarom deze invoer volstaat

Een korte notitie volstaat voor de fictieve taalproef. ‘Doel is een leesbare passage over ontbrekende stukken. De invoer is opnieuw geschreven zonder details uit het dossier. Gecontroleerd dat de tekst dezelfde boodschap houdt. Er gaat geen bijlage mee.’ Bij een bewerking van bestaande tekst noteert u ook welke gegevens zijn behouden en waarom, wie heeft meegelezen en welk risico op herleiding nog openstaat. U hoeft daarvoor de geschrapte identificerende details niet in de notitie te herhalen.

Test een nieuwe route eerst met zelfgeschreven stukken. U ziet dan welke bestanden meekomen en of de opdracht werkt zonder een echt dossier te gebruiken. Werkt de proef met verzonnen stukken? Bewaar dan de geteste opdracht en de versie van het proefbestand. Een collega kan de proef zo herhalen wanneer de invoer of de werkwijze verandert.

Bronnen

Coverfoto van Beatriz Pérez Moya op Unsplash. Foto van het notitieboek: Mike Tinnion op Unsplash. Illustratie van FactBase.

CliëntgegevensPrivacyAI in de fiscale praktijk