Gerechtvaardigd belang en het verwerken van persoonsgegevens in een AI-model

29/01/2025 - De snelle opmars van Artificial Intelligence (AI) biedt ongekende kansen voor organisaties. Denk aan geavanceerde klantinteracties, verfijnde fraudedetectie en de optimalisatie van bedrijfsprocessen. Toch roept het gebruik van AI ook belangrijke (ethische) vragen op, met name wanneer persoonsgegevens worden verwerkt. Een cruciale vraag hierbij is: mag uw organisatie wel persoonsgegevens verwerken bij het ontwikkelen of gebruiken van een AI-model? In dit blog duiken we dieper in op deze vraag.   

De Algemene Verordening Gegevensbescherming (AVG) bevat beginselen waaraan elke verwerking van persoonsgegevens moet voldoen. Zo ook bij gegevensverwerkingen tijdens het ontwikkelen en/of inzetten van een AI-model. Eén van deze beginselen is dat een verwerking van persoonsgegevens gebaseerd moet zijn op een grondslag uit artikel 6 AVG. Hoewel toestemming vaak als grondslag wordt gebruikt, is dit niet altijd even bruikbaar. Het is vaak moeilijk in de context van een AI-model om elke persoon van wie u persoonsgegevens verwerkt te identificeren en deze personen om toestemming te vragen. Gerechtvaardigd belang is daarom hier de meest toepasselijke grondslag. In een recent advies geeft de European Data Protection Board (EDPB) aan dat de grondslag gerechtvaardigd belang onder omstandigheden gebruikt kan worden door organisaties bij het ontwikkelen of inzetten van een AI-model. Het advies bouwt voort op de eerder gepubliceerde EDPB Richtsnoeren 1/2024 voor de verwerking van persoonsgegevens op basis van artikel 6, lid 1, onder f), AVG.  

Gerechtvaardigd belang: hoe zat het ook alweer?  

Om gebruik te kunnen maken van de grondslag gerechtvaardigd belang moet een organisatie voldoen aan de volgende drie cumulatieve voorwaarden (de “driestappentoets”):   

1. De organisatie heeft een daadwerkelijk gerechtvaardigd belang.
2. De verwerking van persoonsgegevens is noodzakelijk voor de behartiging van het gerechtvaardigde belang.
3. De belangen van de betrokkenen wegen niet zwaarder dan de belangen van de verwerkingsverantwoordelijke of derde partij (belangenafweging). 

Een organisatie moet voorafgaand aan de verwerking zorgvuldig en schriftelijk documenteren dat aan alle de drie cumulatieve voorwaarden wordt voldaan.  

De EDPB noemt in haar advies een aantal voorbeelden van een gerechtvaardigd belang in de context van een AI-model. Het ontwikkelen van een chatbot om websitegebruikers beter van dienst te zijn, een systeem om frauduleuze inhoud of gedrag te herkennen of het verbeteren van de detectie van beveiligingsdreigingen worden beschouwd als een gerechtvaardigd belang.  

Belangenafweging: met welke factoren moet u rekening houden? 

De driestappentoets kan ingewikkeld zijn, met name de belangenafweging. Daarom gaan wij verder in op deze stap. De EDPB benoemt in haar advies verschillende factoren die meespelen bij de belangenafweging in de context van AI-modellen. Een AI-model kan zowel een negatief als positief effect op hebben op deze factoren.  

• De belangen van de betrokkenen. Denk aan het belang om controle te hebben over eigen persoonsgegevens of financiële belangen.
• De rechten en vrijheden van betrokkenen. Zoals het recht op gegevensbescherming, maar ook de vrijheid meningsuiting of vrijheid van informatievergaring.
• De impact van een verwerking op betrokkenen. Dit wordt onder meer bepaald aan de hand van de risico’s die een AI-model meebrengt voor betrokkenen door de manier waardoor het model is ontwikkeld of wordt ingezet.
• De redelijke verwachtingen van betrokkenen. Een betrokkene moet de verwerking van persoonsgegevens de verwerking van persoonsgegevens redelijkerwijs kunnen verwachten. 

De relatie tussen de verwerkingsverantwoordelijke (de organisatie die het AI-model ontwikkelt of gebruikt) en de betrokkene beïnvloedt deze factoren. De relatie tussen de verwerkingsverantwoordelijke en de betrokkene wordt mede bepaald door de herkomst van de persoonsgegevens. Dit hangt af van de vraag of de gegevens direct bij de betrokkene zelf zijn verzameld of afkomstig zijn van een andere partij, bijvoorbeeld door aankoop of door informatie automatisch te kopiëren van het internet (“scraping”).   

Als blijkt dat de belangen en rechten van betrokkenen waarschijnlijk zwaarder wegen dan de belangen van de verwerkingsverantwoordelijke kan de verwerkingsverantwoordelijke aanvullende mitigerende maatregelen nemen. Deze maatregelen beperken de (negatieve) impact van het AI-model. Dit zijn maatregelen die verder gaan dan de AVG en worden bepaald door de omstandigheden van het specifieke geval. De EDPB benoemt in haar advies een aantal voorbeelden: 

• Technische maatregelen: persoonsgegevens zoveel mogelijk anonimiseren dan wel pseudonimiseren. Sluit bij scraping specifieke websites uit en zorg dat gevoelige of bijzondere persoonsgegevens niet worden verzameld;
• Versterken van rechten van betrokkenen: biedt een opt-out systeem voor het verwerken van persoonsgegevens aan, laat betrokkenen hun persoonsgegevens verwijderen uit het AI-model ondanks dat dit niet verplicht is volgens het recht om vergeten te worden (artikel 17 AVG) en biedt betrokkenen in het geval van scraping de mogelijkheid om bezwaar te maken tegen de verwerking;
• Vergroten van transparantie: voorzie betrokkenen van meer informatie en informeer hen via verschillende (media)kanalen. Deze transparantie gaat verder dan de vereisten van artikel 13 en 14 van de AVG. Het enkel opnemen in het privacy statement dat een AI-model wordt gebruikt is niet voldoende.  

Voorbeeld: ontwikkelen van chatbot 

Een organisatie wil een chatbot ontwikkelen om websitegebruikers beter van dienst te zijn. De organisatie ontwikkelt de chatbot met behulp van scraping. Dit kan een kopie van het gehele internet zijn of juist een kopie van een aantal specifieke websites. Wanneer de organisatie ervoor kiest om het volledige internet te kopiëren, brengt dit grote uitdagingen met zich mee. Hierdoor verwerkt de organisatie namelijk persoonsgegevens op grote schaal en doet dit ongedifferentieerd. Daarnaast is het is vrijwel onmogelijk om alle betrokkenen in te lichten over het gebruik van hun persoonsgegevens. In een dergelijk geval zijn strenge aanvullende maatregelen noodzakelijk. Een alternatieve aanpak is om slechts een beperkt aantal websites te kopiëren, bijvoorbeeld alleen de eigen websites van de organisatie of alleen een interne omgeving zoals de intranet-pagina. Deze aanpak maakt het eenvoudiger om de betrokkenen te informeren en hen de mogelijkheid te bieden bezwaar te maken tegen de verwerking van hun persoonsgegevens. 

Conclusie 

Gerechtvaardigd belang kan een grondslag zijn voor de verwerking van persoonsgegevens bij de ontwikkeling of inzet van een AI-model, maar vraagt om een zorgvuldige afweging vooraf. Het niet goed uitvoeren van de driestappentoets leidt namelijk tot het onrechtmatig verzamelen van persoonsgegevens. Dit kan resulteren in reputatieschade en mogelijk in een boete van de toezichthoudende autoriteit. Heeft u hulp nodig bij het uitvoeren van de driestappentoets? Neem gerust contact op met Considerati.