Hoe implementeer je AI wettelijk correct in je organisatie?

Als je AI implementeert in je organisatie moet je daarbij rekening houden met de General Data Protection Regulation (GDPR). Op zich is het eenvoudig: als je in een AI-systeem met persoonsgegevens omgaat, moet je alle GDPR-principes naleven. Het gaat dan om het rechtmatige, transparante en correcte gebruik van data, niet meer data dan nodig (data minimisation), enkel voor een specifiek doel (purpose limitation) en met verplichtingen rond opslagbeperking, juistheid en confidentialiteit. Thomas stelt dat “Het grootste spanningsveld tussen de GDPR en AI is dat tussen het doel en data minimisation. Persoonsgegevens mag je maar voor bepaalde doeleinden gebruiken, en liefst zo weinig mogelijk. Maar als je AI traint, heb je veel data nodig en doe je dat meestal voor andere doeleinden.

Daarnaast hechten autoriteiten almaar meer belang aan de juridische grondslag (zoals de toestemming van de betrokkene of het gerechtvaardigd belang van de organisatie) voor het verwerken van persoonsgegevens. “Binnen de Europese Unie kunnen persoonsgegevens vrij bewegen, maar bij transfers voorbij de Europese grenzen zijn mogelijk bijkomende beschermingsmaatregelen nodig”, zegt Thomas Van Gremberghe. 

Daarnaast staat de confidentialiteit onder druk, gezien vele werknemers onbedachtzaam gevoelige data met AI-systemen delen. Hier gaat het niet alleen over persoonsgegevens, maar ook over bedrijfsgeheimen.

De risico’s die medewerkers nemen, brengen Thomas Van Gremberghe tot een belangrijk laatste punt: “Om de nadelige gevolgen van onveilig AI-gebruik te beperken, doe je er als organisatie goed aan je medewerkers op te leiden. Implementeer een AI-beleid over het toegelaten gebruik, met informatie over de risico’s en de opportuniteiten. Al te vaak zag ik hoe werknemers goedbedoeld gevoelige data in een tool als ChatGPT gooien … waarop de werkgever als reactie dan maar meteen het gebruik van alle AI verbiedt. Dat kan en mag de bedoeling niet zijn.”