AVG en AI-act: de bronnen die je echt nodig hebt, plus een DPIA-voorbeeld.

Wie over de AVG of de AI-verordening gaat googelen, belandt al snel in een moeras van adviesbureaus, halve waarheden en angstverhalen. Zonde, want de officiële bronnen zijn gratis, Nederlandstalig en beter geschreven dan hun reputatie doet vermoeden. Omdat wij software bouwen die aan deze regels moet voldoen, houden we die bronnen zelf voortdurend bij. Dit is onze leeslijst, met daarbij een DPIA-voorbeeld dat je vrij mag gebruiken.

Eerst de basis: de AVG.

Autoriteit Persoonsgegevens: AVG algemeen. De officiële basisuitleg over wat de AVG inhoudt en welke verplichtingen voor jouw organisatie gelden. Begin hier.
EDPB: documenten en richtsnoeren. Alle richtsnoeren en aanbevelingen van de European Data Protection Board, voor als je precies wilt weten hoe een regel in heel Europa wordt uitgelegd.

De DPIA: wanneer moet het, en hoe.

Een DPIA (data protection impact assessment) is een risicoanalyse die je uitvoert vóórdat je een gegevensverwerking start die waarschijnlijk een hoog privacyrisico oplevert. Twee bronnen die je hierover nodig hebt:

Autoriteit Persoonsgegevens: DPIA. Wat een DPIA is, wanneer je er een moet uitvoeren en hoe je de risico’s vooraf in kaart brengt.
Autoriteit Persoonsgegevens: lijst verplichte DPIA. De officiële lijst van verwerkingen waarvoor een DPIA altijd verplicht is, zoals grootschalig cameratoezicht of het volgen van medewerkers.

De AI-verordening.

De Europese AI-verordening geldt sinds 2024 en wordt in fasen van kracht. Voor de meeste organisaties die AI willen inzetten is de risicogebaseerde aanpak het belangrijkst: wat je moet regelen hangt af van wat je AI-systeem doet. In ons artikel over de AI-verordening voor het mkb leggen we dat in gewone taal uit; dit zijn de bronnen erachter:

De AI-verordening zelf op EUR-Lex. De volledige officiële Nederlandse tekst van Verordening (EU) 2024/1689.
Europese Commissie: regelgevend kader AI. Nederlandstalige uitleg over de risicoklassen, de verboden praktijken en de invoeringstermijnen.
Rijksoverheid: gids AI-verordening. De praktische gids die uitlegt wat de verordening voor Nederlandse bedrijven en organisaties betekent.
Rijksinspectie Digitale Infrastructuur: kunstmatige intelligentie. Hoe het toezicht op AI in Nederland is belegd.
Autoriteit Persoonsgegevens: algoritmes en AI. De AP is coördinerend toezichthouder op de AI-verordening; hier vind je hun uitleg over verantwoord algoritme- en AI-gebruik.

Voor wie beveiliging of de overheid raakt.

NCSC: basisprincipes voor digitale weerbaarheid. Vijf basisprincipes die elke organisatie op orde zou moeten hebben, van risicoanalyse tot incidentvoorbereiding.
Digitale Overheid: Baseline Informatiebeveiliging Overheid (BIO). Het basisnormenkader voor informatiebeveiliging bij alle overheidslagen, aansluitend op ISO 27001 en 27002. Onmisbaar als je voor of met de overheid werkt.

Ons DPIA-voorbeeld, vrij te gebruiken.

Veel kleine organisaties stellen een DPIA uit omdat het formulier nergens te vinden is. Daarom hebben we een voorbeeld-DPIA gemaakt als invulbaar werkdocument, opgebouwd volgens de criteria van de Autoriteit Persoonsgegevens en de Europese richtsnoeren: beschrijving van de verwerking, noodzaak en evenredigheid, risico-inschatting per risico en de maatregelen daartegen.

Belangrijk: dit is een werkdocument om gestructureerd na te denken, geen juridisch advies. Verwerk je gegevens met een hoog risico, of twijfel je, raadpleeg dan een deskundige of de Autoriteit Persoonsgegevens zelf.

Wil je weten hoe jouw systemen en processen ervoor staan, ook op dit vlak? In de korte inventarisatie brengen we het samen in kaart. Een gratis gesprek van 30 minuten, daarna een rapport met advies en een vaste prijs. Dat rapport is van jou, wat je er daarna ook mee doet.