AVG en AI op de werkvloer: 7 vragen over persoonsgegevens
AI draait op data, vaak persoonsgegevens van medewerkers. De AVG blijft onverkort gelden. Deze 7 vragen helpen de OR op weg.
AI-systemen draaien op data, en vaak zijn dat persoonsgegevens van medewerkers of sollicitanten. De AI Act regelt de risico's van die systemen, maar de AVG blijft onverkort gelden. Voor de OR is dat reden om juist op het gebruik van gegevens te letten.
Deze zeven vragen helpen bij het gesprek met de bestuurder.
Waarom de AVG relevant blijft
De AI Act en de AVG vullen elkaar aan. De AI Act gaat over de veiligheid en betrouwbaarheid van AI-systemen. De AVG gaat over hoe je met persoonsgegevens omgaat: welke gegevens je mag verwerken, waarom en hoe lang.
Zeven vragen over persoonsgegevens
- Welke persoonsgegevens verwerkt het systeem precies?
- Wat is de grondslag voor die verwerking?
- Worden gegevens gebruikt om modellen te trainen?
- Waar worden de gegevens opgeslagen en hoe lang worden ze bewaard?
- Wie heeft toegang tot de gegevens?
- Kan een medewerker gegevens inzien, corrigeren of laten verwijderen?
- Is er een DPIA uitgevoerd en wat kwam daaruit?
DPIA en de OR
Verwerkt de organisatie persoonsgegevens met een hoog risico, bijvoorbeeld bij grootschalige monitoring of geautomatiseerde beoordeling? Dan is een data protection impact assessment (DPIA) verplicht. De OR kan vragen om de uitkomsten en om de maatregelen die daaruit volgen.
Geautomatiseerde besluiten
De AVG geeft medewerkers het recht niet zomaar te worden onderworpen aan een volledig geautomatiseerd besluit met aanmerkelijke gevolgen. Menselijke tussenkomst en uitleg zijn belangrijk.
Wat kan de OR doen?
Agendeer het onderwerp, vraag om inzage in de DPIA en let op de rol van de functionaris gegevensbescherming. Meer handvatten vind je in onze checklist met 10 vragen over AI en de OR.
Ordamo helpt om dossiers, documenten en besluiten op één plek te beheren, zodat de OR overzicht houdt over wat er speelt.
Häufig gestellte Fragen
Wat is het verschil tussen de AVG en de AI Act?
De AI Act gaat over de veiligheid en betrouwbaarheid van AI-systemen. De AVG gaat over de verwerking van persoonsgegevens: welke gegevens mogen worden verwerkt, met welke grondslag, hoe lang en met welke rechten voor betrokkenen. Beide kaders gelden naast elkaar.
Wanneer is een DPIA verplicht?
Een data protection impact assessment is verplicht bij verwerkingen met een hoog risico, bijvoorbeeld grootschalige monitoring of geautomatiseerde beoordeling van mensen. De OR kan vragen om de uitkomsten en de maatregelen die daaruit volgen.
Mag een werkgever volledig automatisch beslissen over medewerkers?
De AVG beperkt volledig geautomatiseerde besluiten met aanmerkelijke gevolgen. Menselijke tussenkomst en uitleg zijn belangrijk. De OR kan aandringen op duidelijke procedures en bezwaarmogelijkheden.
Wat kan de OR doen met persoonsgegevens en AI?
De OR kan het onderwerp agenderen in het artikel 24-overleg, vragen om inzage in de DPIA, letten op de rol van de functionaris gegevensbescherming en informatierechten en bezwaarmogelijkheden van medewerkers bespreken.