De AI Act en de AVG: wat betekent dit voor organisaties?

Wat is de EU AI Act en wat betekent deze voor organisaties die AI-oplossingen gebruiken?

Op 13 maart 2024 heeft het Europees Parlement ingestemd met de AI Act. Deze uitgebreide Europese verordening is bedoeld om de ontwikkeling en het gebruik van kunstmatige intelligentie (AI) binnen de Europese Unie te reguleren.

Het belangrijkste doel van de AI Act is ervoor te zorgen dat AI-technologieën op een verantwoorde, transparante en veilige manier worden ontwikkeld en gebruikt, met respect voor fundamentele rechten. De verordening is van toepassing op een breed scala aan AI-systemen in verschillende sectoren, waaronder de gezondheidszorg, transport en financiële dienstverlening.

De AI Act bevat onder meer de volgende belangrijke regels:

• Strenge eisen voor hoog-risico-AI-systemen: AI-systemen die bijvoorbeeld worden gebruikt in kritieke infrastructuur, rechtshandhaving of werkgelegenheid, kunnen als hoog risico worden aangemerkt en moeten aan uitgebreide verplichtingen voldoen.
• Verbod op bepaalde AI-praktijken: bepaalde toepassingen die een onaanvaardbaar risico vormen voor personen of de samenleving zijn verboden, zoals bepaalde vormen van gedragsmanipulatie, het uitbuiten van kwetsbaarheden en social scoring.
• Hoge boetes bij niet-naleving: organisaties die niet aan de AI Act voldoen, kunnen worden geconfronteerd met aanzienlijke sancties.
• Conformiteitsbeoordelingen: voor bepaalde hoog-risico-AI-systemen geldt een conformiteitsbeoordeling om vast te stellen of het systeem aan de toepasselijke eisen voldoet.

Waar is de AI Act van toepassing? Ook buiten de EU?

Net als de AVG heeft de AI Act een aanzienlijke extraterritoriale werking.

De verordening is niet alleen van toepassing op organisaties die binnen de Europese Unie zijn gevestigd. Ook aanbieders buiten de EU kunnen onder de AI Act vallen wanneer zij AI-systemen of AI-modellen op de Europese markt aanbieden.

Daarnaast kunnen aanbieders en gebruiksverantwoordelijken buiten de EU onder de AI Act vallen wanneer de output van een AI-systeem binnen de Europese Unie wordt gebruikt.

De AI Act bevat ook enkele belangrijke uitzonderingen. Zo gelden onder voorwaarden uitzonderingen voor AI-systemen die uitsluitend worden ontwikkeld en gebruikt voor wetenschappelijk onderzoek en ontwikkeling.

Daarnaast zijn bepaalde onderzoeks-, test- en ontwikkelingsactiviteiten voorafgaand aan het op de markt brengen of in gebruik nemen van een AI-systeem uitgezonderd. Voor tests onder reële omstandigheden gelden afzonderlijke regels.

Wanneer treedt de AI Act in werking?

Na de goedkeuring door het Europees Parlement moest de tekst nog formeel worden aangenomen en gepubliceerd in het Publicatieblad van de Europese Unie.

Na publicatie treedt de verordening twintig dagen later in werking. De verplichtingen uit de AI Act worden vervolgens gefaseerd van toepassing.

Belangrijke momenten zijn onder meer:

• zes maanden na inwerkingtreding: de verboden AI-praktijken worden van toepassing;
• twaalf maanden na inwerkingtreding: verschillende verplichtingen voor General Purpose AI (GPAI) en governance worden van toepassing;
• vierentwintig maanden na inwerkingtreding: een groot deel van de overige bepalingen wordt van toepassing;
• zesendertig maanden na inwerkingtreding: bepaalde verplichtingen voor hoog-risico-AI-systemen die onder specifieke productwetgeving vallen, worden van toepassing.

Deze gefaseerde invoering geeft organisaties tijd om hun AI-governance, processen en documentatie aan te passen.

De AI Act en de AVG: hoe kunnen organisaties beide regelgevingskaders combineren?

De AI Act vervangt of wijzigt de AVG en de ePrivacy-regels niet. Wanneer bij het gebruik of de ontwikkeling van AI persoonsgegevens worden verwerkt, blijven de regels van de AVG dus volledig van toepassing.

Organisaties moeten daarom rekening houden met beide regelgevingskaders.

Enkele voorbeelden:

Verwerkingsregister (RoPA)

Verwerkingen waarbij AI wordt ingezet, kunnen als verwerkingsactiviteiten in het Register of Processing Activities (RoPA) moeten worden opgenomen.

Daarbij moet onder meer worden vastgelegd welke persoonsgegevens worden verwerkt, voor welk doel, op welke rechtsgrond en met welke partijen de gegevens worden gedeeld.

Privacy Impact Assessment en Data Protection Impact Assessment

Het inzetten van nieuwe AI-technologie kan aanzienlijke privacyrisico’s met zich meebrengen.

Daarom moet worden beoordeeld of een Data Protection Impact Assessment (DPIA) verplicht is. Dit is met name relevant wanneer sprake is van nieuwe technologieën, grootschalige verwerking, profilering of andere verwerkingen die waarschijnlijk een hoog risico opleveren voor de rechten en vrijheden van betrokkenen.

Technische en organisatorische maatregelen en accountability

Organisaties moeten passende technische en organisatorische maatregelen treffen om AI-systemen veilig en in overeenstemming met de AVG te gebruiken.

Daarbij kan onder meer worden gedacht aan:

• een intern beleid voor verantwoord AI-gebruik;
• duidelijke procedures en verantwoordelijkheden;
• toegangs- en beveiligingsmaatregelen;
• documentatie over de gebruikte AI-systemen;
• risicobeoordelingen en controles;
• een Fundamental Rights Impact Assessment waar dit onder de AI Act vereist is;
• conformiteitsbeoordelingen voor bepaalde hoog-risico-AI-systemen.

Een geïntegreerde aanpak van AI-governance en gegevensbescherming helpt organisaties om aan beide regelgevingskaders te voldoen en risico’s tijdig te beheersen.

Wilt u AI-compliance opnemen in uw privacy- en governanceprogramma? Neem dan contact met ons op via info@dpoconsultancy.nl.