Visie Autoriteit Persoonsgegevens: CIO, houd controle over de hele GenAI-keten

Generatieve AI is volgens de Autoriteit Persoonsgegevens (AP) het stadium van experimenten voorbij en wordt onderdeel van de basis-infrastructuur. Dat betekent dat CIO’s GenAI moeten meenemen in hun strategisch beleid waarbij expliciet aandacht wordt gegeven aan governance en de bescherming van grondrechten en -waarden bij de keuze van platformen en lifecycle management. GenAI draait niet langer om het gebruik van wat losse tooling, maar moet worden meegenomen als integraal onderdeel van de bedrijfsprocessen.

Pas op voor de prompt

Een van de belangrijke constateringen in het rapport Verantwoord Vooruit is dat de AP het aantal datalekken als gevolg van generatieve AI heeft zien stijgen. Daarbij waarschuwt de toezichthouder vooral voor risico’s bij de invoer van persoonsgegevens, onder meer bij het opstellen van prompts. Door bijvoorbeeld beeldmateriaal te gebruiken zijn personen al snel te identificeren en wanneer het gaat om medisch advies kan er ook sprake zijn van bijzondere persoonsgegevens. In dit soort gevallen is de AVG van toepassing. Dat is ook het geval bij het trainen van generatieve AI-modellen. De AVG is relevant in de hele GenAI-keten, dus vanaf de eerste stap – de dataverzameling – tot aan finetuning en het uiteindelijk gebruik, tenzij de gebruikte data aantoonbaar geanonimiseerd is.

Exitstrategie belangrijk

De AP besteedt extra aandacht aan de afhankelijkheid van organisaties van dienstverleners van buiten de EU. Door GenAI vindt er een ‘ongekend snelle centralisatie van gevoelige data’ plaats. Het gebruik van generatieve AI is daarbij ondergebracht bij een klein aantal veelal Amerikaanse en Chinese aanbieders. Dit zorgt voor afhankelijkheid van de maatschappij en belemmert de EU bij het sturen op verantwoord gebruik. De AP raadt organisaties aan in ieder geval te letten op een exitstrategie en vendor lock-in te voorkomen, bijvoorbeeld door gebruik te maken van open weights-modellen on-premises of in een private cloudomgeving.

Voor CIO’s staat er een checklist in het rapport. Verantwoorde inzet van GenAI-toepassingen is mogelijk door:

• inzicht en transparantie,
• risico’s in kaart te brengen, af te wegen en te beperken,
• een heldere doelomschrijving op te stellen,
• systemen en data in gecontroleerd beheer te houden, en
• rechtmatigheid te waarborgen, bijvoorbeeld door de Functionaris Gegevensbescherming (de Data Protection Officer) in een vroeg stadium bij de ontwikkeling te betrekken.

De AP stimuleert het opzetten van regulatory sandboxes om via pilotprojecten te komen tot verantwoorde initiatieven binnen veilige kaders.