Welke verwerkingen vinden eigenlijk plaats?
Begin hier, want zonder dit antwoord kun je de rest niet invullen.
Zodra een AI-model persoonsgegevens verwerkt, is dat een verwerking in de zin van de AVG. Dat geldt voor een klantnaam in een CRM-record net zo goed als voor een e-mail met een klacht erin.
Breng in kaart: welke categorieen persoonsgegevens gaan er doorheen, met welk doel, en op welke grondslag. Bij de meeste MKB-toepassingen is dat gerechtvaardigd belang of uitvoering van een overeenkomst, maar dat moet je wel kunnen onderbouwen.
Wat je daarna hebt, is de basis voor je verwerkingsregister. Dat moet je sowieso bijhouden.
Wat hoort in de verwerkersovereenkomst?
Je AI-leverancier is een verwerker. Dat betekent een verwerkersovereenkomst, en daarin horen in elk geval: wat er wordt verwerkt en waarvoor, hoe lang gegevens worden bewaard, welke subverwerkers worden ingeschakeld, waar de verwerking plaatsvindt, welke beveiligingsmaatregelen gelden en wat er gebeurt bij beeindiging.
Controleer specifiek twee punten die bij AI-leveranciers anders liggen dan bij gewone software. Of je data wordt gebruikt voor het trainen van modellen, en hoe lang prompts en antwoorden worden bewaard voor bijvoorbeeld misbruikdetectie.
| Vraag | Kort antwoord | Verdieping |
|---|---|---|
| Welke verwerkingen vinden eigenlijk plaats? | Begin hier, want zonder dit antwoord kun je de rest niet invullen. | Lees verder |
| Wat hoort in de verwerkersovereenkomst? | Je AI-leverancier is een verwerker. | Lees verder |
| Hoe ga je om met bewaartermijnen? | Een AI-koppeling maakt kopieen die je niet altijd ziet. | Lees verder |
| Wat betekent dataclassificatie in de praktijk? | Niet alle data hoeft door een AI-koppeling te kunnen. | Lees verder |
| Wie is verantwoordelijk? | Jij, als verwerkingsverantwoordelijke. | Lees verder |
Hoe ga je om met bewaartermijnen?
Een AI-koppeling maakt kopieen die je niet altijd ziet. Een samenvatting van een klantdossier die als notitie in je CRM belandt, is een nieuwe verwerking met een eigen bewaartermijn.
Spreek af waar output landt en hoe lang die blijft staan. In de praktijk is de eenvoudigste regel: AI-output volgt de bewaartermijn van het record waar hij bij hoort. Wordt het klantdossier opgeschoond, dan gaat de samenvatting mee.
Let ook op logging. Logs die vastleggen wie wat heeft opgevraagd, bevatten zelf persoonsgegevens en hebben dus ook een termijn nodig.
Wat betekent dataclassificatie in de praktijk?
Niet alle data hoeft door een AI-koppeling te kunnen. Dataclassificatie klinkt zwaar maar komt neer op drie categorieen.
Wat mag altijd mee: gewone klant- en procesdata waar je medewerkers toch al bij kunnen.
Wat alleen onder voorwaarden mee mag: gevoeliger materiaal zoals contracten, financiele gegevens en personeelsinformatie. Hier beperk je de toegang tot specifieke rollen.
Wat nooit mee mag: bijzondere persoonsgegevens zoals gezondheidsgegevens, en alles waar je geen grondslag voor hebt.
Die indeling vertaal je naar scopes in je koppeling. Dat is het moment waarop beleid techniek wordt.
Wie is verantwoordelijk?
Jij, als verwerkingsverantwoordelijke. Dat verandert niet doordat je een leverancier inschakelt.
Dat betekent praktisch dat je moet kunnen aantonen welke keuzes je hebt gemaakt en waarom. Een kort document waarin staat welke data toegankelijk is, voor wie, met welke grondslag en met welke bewaartermijn, is daarvoor meestal genoeg. Dat document is ook wat je pakt wanneer een klant of een toezichthouder ernaar vraagt.
Waar begin je?
Maak eerst het overzicht van welke gegevens door de koppeling kunnen, voordat je de koppeling inricht. Andersom werkt het ook, maar dan doe je het werk twee keer.
Bronnen en productinformatie
- Zoho Security FAQ, officiële productinformatie
- Anthropic Privacy Center, officiële productinformatie