Wanneer u een systeem met artificiële intelligentie gebruikt of ontwikkelt, kunnen verschillende wettelijke kaders van toepassing zijn. Afhankelijk van de situatie kan enkel de AI Act van toepassing zijn, kan enkel de AVG van toepassing zijn, of kunnen beide regelgevingen tegelijkertijd van toepassing zijn.
Het is dan ook van cruciaal belang om vast te stellen in welke gevallen deze rechtsstelsels naast elkaar van toepassing zijn en, vooral, om te bepalen wanneer een effectbeoordeling moet worden uitgevoerd en op welke regelgevende grondslag deze berust.
De effectbeoordeling in de zin van de AVG
De gegevensbeschermingseffectbeoordeling (GEB) voorzien door de AVG benadrukt de hoge risico’s voor de rechten en vrijheden van natuurlijke personen in verband met de verwerking van hun persoonsgegevens.
Dit geldt met name in het geval van geautomatiseerde beslissingen met rechtsgevolgen, verwerkingen op grote schaal of systematisch toezicht op een toegankelijke openbare ruimte.
De nationale autoriteiten, zoals de GBA in België, kunnen deze lijst preciseren.
Er bestaat momenteel geen officieel analysemodel, maar het is mogelijk om gratis software te gebruiken, zoals die welke door de Franse toezichthoudende autoriteit, de CNIL, ter beschikking wordt gesteld om deze effectbeoordeling door te voeren.
Het recente Digital Omnibus voorstel (november 2025) stelt echter voor om een einde te maken aan deze nationale versnippering door een gemeenschappelijk model voor GEB op te leggen.
Dit model, uitgewerkt door de EDPS (Eurpean Data Protection Supervisor/Europees Toezichthouder voor Gegevensbescherming), bepaalt welke verwerkingen een GEB vereisen, welke daarvan zijn vrijgesteld, en stelt een methodologie en een uniform model vast. Hierdoor zal een op deze basis uitgevoerde GEB in de hele Europese Unie geldig zijn.
De effectbeoordeling in de zin van de AI Act
De IA Act voegt een specifieke GEB in voor voor AI-systemen met een hoog risico (bijlagen II en III), zoals systemen op het gebied van HR-beheer, stedenbouw of openbare diensten, met als doel de technische en maatschappelijke risico’s voor de grondrechten in kaart te brengen en te beperken.
De analyse mag zich niet uitsluitend richten op de risico’s met betrekking tot persoonsgegevens. Ze is breder van opzet, aangezien het gaat om een effectbeoordeling met betrekking tot de grondrechten (EBGR) (vaak aangeduid met de Engelse benaming „Fundamental Rights Impact Assessment” of FRIA).
Het AI-bureau (AI Office) zal een model (template) ter beschikking stellen om dit proces te vergemakkelijken.
De praktische toepassing ervan
Hoewel de inhoud ervan verschilt – de AVG richt zich op persoonsgegevens, terwijl de AI-wet zich richt op vooroordelen en systemische effecten –, bepaalt artikel 27 van de AI Act dat de EBGR een aanvulling vormt op de bestaande GEB van de AVG om dubbel werk te voorkomen.
Belangrijkste punten van beide soorten analyses:
| GEB – AVG | EBGR – AI Act | |
Beschrijving en achtergrond | Beschrijving van de verwerking en het doel; Overzicht van de verwerkingen | Implementatiecontext en beoogd doel; Betrokken actoren |
Noodzaak en proportionaliteit | Noodzaak en proportionaliteit ; Rechtmatigheid van de verwerking | Noodzaak en proportionaliteit ; Operationele duur en frequentie |
Rechten van personen | Risico’s voor rechten en vrijheden | Risico’s voor alle grondrechten ; Vooringenomenheid |
Veiligheid | Veiligheidsmaatregelen en maatregelen ter beperking van risico’s | Maatregelen ter beperking van risico’s ; Maatregelen voor menselijke controle |
Ons advies:
Controleer of uw AI-systemen gegevensverwerking inhouden die :
- vallen onder de verplichte gevallen zoals vastgelegd in de AVG (artikel 35) of de Belgische Gegevensbeschermingsautoriteit,
- of een systeem met een hoog risico vormen, zoals gedefinieerd in de AI Act,
- of onder beide regelgevingen tegelijk vallen.
In deze drie situaties is een effectbeoordeling noodzakelijk.
De methode blijft flexibel, maar moet voldoen aan de vereisten van de AVG en de AI Act.
