Als een taak van een mens naar een systeem gaat, verandert vaak niet alleen wie het werk doet, maar ook hoe persoonsgegevens worden verwerkt. Een medewerker die een klantvraag beoordeelt, leest gegevens, weegt ze en beslist. Een systeem dat dezelfde taak overneemt, verwerkt die gegevens op een andere manier: gestructureerd, herhaalbaar, soms met opslag of doorgifte die er eerder niet was. De AVG kijkt naar de verwerking, niet naar de vraag of een taak 'geautomatiseerd' klinkt. Dat maakt automatisering in de kern een privacyrechtelijke gebeurtenis, ook als de uitkomst voor de klant hetzelfde lijkt.
Dit speelt op elk niveau van automatisering, van een simpel script tot een AI-systeem dat zelfstandig conclusies trekt. Bij het beoordelen van een taak op geschiktheid voor AI hoort dus ook de vraag welke gegevens erbij komen kijken en of de verwerking daarvan nog past binnen het doel waarvoor de gegevens ooit zijn verzameld. Hoe wij een taak beoordelen besteedt om die reden aandacht aan de aard van de gegevensverwerking, naast de vraag of de taak inhoudelijk geschikt is voor overdracht aan een systeem.
Drie elementen verschuiven meestal wanneer een taak automatiseert:
Geen van deze verschuivingen is per definitie een probleem. Ze zijn wel een moment om de verwerking opnieuw te bekijken, in plaats van aan te nemen dat een bestaande grondslag automatisch meeverhuist naar de nieuwe manier van werken.
Elke verwerking van persoonsgegevens heeft een grondslag nodig, bijvoorbeeld toestemming, een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang. Die grondslag is gekoppeld aan een verwerking zoals die destijds is vormgegeven en beoordeeld. Verandert de verwerking wezenlijk, dan kan de oorspronkelijke grondslag niet meer dekkend zijn.
Dat is vaker het geval dan het lijkt. Een gerechtvaardigd belang dat is afgewogen voor handmatige verwerking, houdt niet automatisch stand als het volume, de snelheid of de reikwijdte van de verwerking sterk toeneemt door automatisering. Toestemming die is gevraagd voor één specifiek doel, dekt geen tweede doel dat er door een AI-toepassing bijkomt. En bij geautomatiseerde besluitvorming met rechtsgevolgen voor betrokkenen gelden aanvullende voorwaarden, los van de vraag welke grondslag verder van toepassing is.
Of een taak in categorie één, twee of drie valt — AI kan het overnemen, AI kan het deels doen onder toezicht, of het blijft mensenwerk — zegt dus nog niets over de vraag of de onderliggende gegevensverwerking is afgedekt. Dat zijn twee aparte toetsen die wel met elkaar samenhangen: een taak die vanwege gegevensrisico's in categorie twee of drie blijft, doet dat vaak juist omdat de grondslag of de impact op betrokkenen nog niet is uitgezocht.
De AVG zelf, de uitleg van de Autoriteit Persoonsgegevens en de richtsnoeren van de Europese privacytoezichthouders zijn de plekken waar de actuele eisen staan, inclusief eventuele bijzondere regels voor AI-toepassingen die na publicatie van deze pagina kunnen wijzigen. Wij noemen hier bewust geen artikelnummers of termijnen: die kunnen wijzigen en horen thuis in de brontekst, niet in een overzicht dat mogelijk niet meer actueel is op het moment dat u leest.
Deze pagina beschrijft het mechanisme, geen advies op maat. Of een specifieke automatisering een nieuwe grondslag vraagt, een DPIA rechtvaardigt of raakt aan geautomatiseerde besluitvorming, is een juridische vraag die per situatie moet worden beantwoord, doorgaans met een jurist of functionaris gegevensbescherming.
Als automatisering een taak raakt die door meerdere mensen wordt uitgevoerd, is de privacyvraag meestal niet de enige. Ook de medezeggenschap kan in beeld komen: wanneer de ondernemingsraad erover gaat legt uit in welke gevallen instemming of advies nodig is als werkprocessen wijzigen. Beide trajecten — privacytoets en medezeggenschap — lopen naast elkaar en vervangen elkaar niet.
Deze pagina beschrijft wat er in de AVG-verwerking verandert bij automatisering; het beantwoordt niet of uw eigen taken juridisch zijn afgedekt of geschikt zijn voor overdracht aan AI. Voor een eerste, vrijblijvende indicatie van welk deel van de uren in uw profiel vandaag door AI is over te nemen, kunt u de gratis quickscan van ftetoai invullen: twaalf vragen, zonder account. De scan gaat over de taakinhoud, niet over de gegevensverwerking eromheen — die toets blijft apart nodig. De volledige werkscan, die dieper op individuele processen ingaat, is nog in aanbouw.
Vraag maar. Ik ken de kennisbank van deze site; wat ik niet weet, zeg ik erbij.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.