Een AI-leverancier kan documentatie over zijn model leveren. Daarin staat niet automatisch wat er gebeurt wanneer uw kantoor dat model aan cliëntdossiers koppelt. De eigen werkwijze bepaalt welke personen geraakt kunnen worden en welke privacyrisico’s u onderzoekt.

Een data protection impact assessment, meestal DPIA genoemd, onderzoekt een voorgenomen verwerking. Voor een fiscaal kantoor begint dat met een concrete vraag: welke handeling willen we met welke persoonsgegevens veranderen?

Beschrijf de handeling die u wilt veranderen

Volgens de Nederlandse overheidsvoorlichting van RVO moet vooraf een DPIA worden uitgevoerd wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert. De beoordeling gaat dus over het gebruik van persoonsgegevens in een bepaalde context. Controleer daarbij ook de Nederlandse situaties waarvoor een DPIA verplicht is.

Neem een fictief kantoor dat een assistent wil inzetten om ontbrekende stukken voor een cliëntgesprek te signaleren. In de eerste proef krijgt het hulpmiddel alleen verzonnen documenten. Het voorgenomen productiegebruik omvat echte dossiers van meerdere cliënten. Die twee situaties zijn niet dezelfde verwerking alleen omdat de knop en het model gelijk blijven.

Beschrijf voor het voorgenomen gebruik welke dossiers worden benaderd, welke personen erin voorkomen en wat de medewerker met de uitkomst doet. Vermeld ook wat bewust buiten de taak blijft. Zonder die afbakening groeit een beoordeling van een kleine proef ongemerkt mee naar een veel ruimere toepassing.

Beoordeel de risico’s voor mensen

Het onderzoek gaat verder dan de vraag of een systeem kan uitvallen. De Ierse Data Protection Commission legt bij DPIA’s de nadruk op risico’s voor de personen van wie gegevens worden verwerkt en op vroegtijdige maatregelen. Die algemene AVG-uitleg is bruikbaar; de Ierse verplichte-verwerkingenlijst bepaalt niet wat in Nederland verplicht is.

In het fictieve kantoor kan een onjuiste koppeling tussen twee personen bijvoorbeeld verkeerde informatie in de voorbereiding van een gesprek brengen. Een te brede selectie kan gegevens beschikbaar maken aan een medewerker voor wie ze niet zijn bedoeld. Beschrijf per scenario wie daar last van kan hebben en welke stap de oorzaak is.

Het zijn verzonnen scenario’s om het onderzoek af te bakenen. Ze stellen niet vast hoe waarschijnlijk een fout in uw omgeving is. Voor die beoordeling hebt u informatie over de concrete gegevens, gebruikers en toepassing nodig. Een verzameling algemene risicozinnen uit een modelkaart kan dat onderzoek niet vervangen.

Een DPIA verbindt de voorgenomen handeling met de betrokken personen, mogelijke gevolgen en de oorzaken daarvan
Beschrijf het mogelijke gevolg voor een persoon, naast de technische oorzaak.

Onderzoek noodzaak voordat u maatregelen stapelt

RVO beschrijft dat een DPIA onder meer de verwerking, het doel en de reden voor het gegevensgebruik in beeld brengt. Maak die reden voor uw eigen taak concreet. Waarom heeft het hulpmiddel het hele dossier nodig als de medewerker alleen ontbrekende stukken voor één onderwerp wil vinden?

Vergelijk binnen het fictieve voorbeeld een brede dossierkoppeling met een kleinere selectie die de behandelaar zelf samenstelt. Onderzoek wat beide varianten mogelijk maken en welke beperkingen ze opleveren. Een smallere route is niet vanzelf geschikt voor de taak, maar verdient wel een inhoudelijke vergelijking voordat meer gegevens als uitgangspunt vaststaan.

Leg de afweging uit in woorden die de behandelaar en de technisch beheerder allebei kunnen volgen. Zo kan de keuze voor een gegevenskoppeling nog worden aangepast voordat zij vaststaat.

Maak afspraken die in de praktijk toetsbaar zijn

Koppel een voorgestelde maatregel aan het scenario dat u ermee wilt beïnvloeden. Als de zorg een te brede selectie is, beschrijf dan wie de selectie begrenst en hoe u controleert welke gegevens de volgende stap bereiken. Alleen melden dat er beveiliging is, vertelt nog niet of die oorzaak wordt aangepakt.

Deel de beoordeling met de mensen die de handeling kennen. De behandelaar kan aangeven welke context nodig is voor het gesprek. De beheerder kan uitleggen hoe de koppeling is ingericht. Vraag de leverancier om ontbrekende technische informatie en houd open punten zichtbaar als die informatie nog niet beschikbaar is.

Bepaal ook wie een afspraak uitvoert en wie de werking beoordeelt. Dat voorkomt dat een voornemen in het rapport blijft staan terwijl de dagelijkse inrichting anders is. Het is een voorstel voor de uitvoering van uw onderzoek, geen ingevuld oordeel dat de toepassing veilig of rechtmatig is.

Koppel een risico aan een maatregel, een verantwoordelijke uitvoerder en bewijs van de werking
Een maatregel moet terugkomen in het ontwerp en in de controle daarop.

Leg de beslissing en het vervolg vast

Leg vast welke verwerking is onderzocht, welke risico’s u ziet, welke maatregelen worden uitgevoerd en wat daarna nog resteert. RVO wijst op voorafgaand overleg met de Autoriteit Persoonsgegevens wanneer een hoog risico niet voldoende kan worden voorkomen of beperkt. Een DPIA maakt een onopgelost hoog risico niet vanzelf aanvaardbaar.

Maak daarnaast duidelijk wanneer de beoordeling opnieuw wordt bekeken. Een ander doel, een nieuwe gegevenskoppeling of een uitbreiding naar meer personen kan de eerdere afbakening veranderen. De overheidsvoorlichting noemt gewijzigd gegevensgebruik of nieuwe technologie als aanleiding voor een nieuwe beoordeling.

Voor het fictieve kantoor kan de uitkomst zijn dat de kleine, afgebakende werkwijze verder wordt onderzocht terwijl de brede koppeling nog vragen openlaat. Dan heeft het onderzoek invloed op de keuze. Dat is nuttiger dan een vinkje achter de naam van een AI-model.

Bronnen

Coverfoto: Nastuh Abootalebi op Unsplash. Diagrammen: eigen illustraties van FactBase.

DPIAAI-gebruikPrivacyrisico