In gesprek met Marc Bonofacio: onze nieuwe Director Legal

02/08/2024 – Sinds medio april werkt Marc Bonofacio als Director Legal bij Considerati. In deze rol voorziet hij zowel commerciële als publieke organisaties van juridisch advies op het gebied van privacy, AI en IT. Door zijn brede ervaring is hij een pragmatische business partner die in staat is om complexe privacy en IT-vraagstukken te vertalen naar praktische oplossingen. Tijd om Marc beter te leren kennen.

Marc is een fervent Ajaxsupporter en trotse bewoner van onze hoofdstad, Amsterdam. Voordat Marc bij Considerati begon, was hij jarenlang bedrijfsjurist bij een internationale bierbrouwer. Hij hield zich vooral bezig met juridische ondersteuning van de globale IT- en marketingafdeling. In deze rol heeft hij veel ervaring opgedaan met advisering en uitonderhandeling van verschillende contracten op het gebied van IT-dienstverlening en cloud computing, softwarelicenties, outsourcing, e-commerce en privacy. Ook is hij werkzaam geweest bij een internationale IT-dienstverlener en een aanbieder van mobiele telefonie in Nederland.

Zijn nieuwsgierigheid en interesse blijft niet onopgemerkt. “De ontwikkeling van digitale technologieën zoals AI, Cloud computing en blockchain hebben een enorme invloed op onze maatschappij. Zowel bedrijven als overheden proberen hun bedrijfsprocessen te optimaliseren door slim gebruik te maken van digitale technologieën. In combinatie met hedendaagse cloudoplossingen die draaien in krachtige datacenters kunnen zij enorme hoeveelheden verwerken. Als gevolg zien we een toename van allerlei innovatieve digitale producten en diensten. Tegelijkertijd zorgt deze toename ook voor allerlei maatschappelijke uitdagingen op het gebied van privacy en security. Deze dynamiek en snelheid van bovengenoemde ontwikkelingen maken werken in dit vakgebied zo interessant.”

Wat trok jou aan in de functie Director Legal en het bedrijf Considerati?

Het leek mij interessant om na jaren voor een multinational gewerkt te hebben, waarde toe te voegen bij een erkend juridisch adviesbureau zoals Considerati. Door gebruik te maken van mijn kennis en ervaring hoop ik bij te dragen aan het succes van het bedrijf. Het feit dat ik naast inhoudelijke advisering op het gebied van privacy en AI, me ook bezig mag houden met business development leek me een leuke uitdaging die ik dan ook met beide handen heb aangegrepen.

Ik ben nu een paar maanden aan de slag en mijn ervaring is erg positief. Het is een dynamische organisatie waar heel veel kennis aanwezig is op het gebied van privacy en AI. Considerati heeft zowel bedrijven als overheden als klant en dat zorgt ervoor dat onze opdrachten gevarieerd en uitdagend zijn. De focus ligt vooral op privacy en AI. Met mijn kennis van IT ben ik onder andere in staat om ondersteuning te bieden bij projecten met een grote IT-component en te helpen bij ad hoc IT-vraagstukken. 

Er staat veel te gebeuren op het gebied van privacy en AI. Kan je wat vertellen over de recente ontwikkelingen binnen jouw vakgebied?

De belangrijkste ontwikkeling is natuurlijk dat op 1 augustus de AI Act in werking treedt. Met deze Europese verordening wordt het gebruik van AI gereguleerd en risico’s voor mens en maatschappij geminimaliseerd. Recente ontwikkelingen op het gebied van privacy en AI richten zich vooral op het aanpakken van de zorgen over privacy, ethiek en de naleving van regelgeving, waarbij de gedachte is dat privacy en ethiek centraal moeten staan bij de ontwikkelingen van AI-systemen.  Enkele voorbeelden hiervan zijn de ontwikkeling van verschillende AI-ethiek Richtlijnen, initiatieven voor verantwoord AI gebruik met nadruk op privacy zoals Google’s AI principles en Microsoft’s Responsible AI standard, en het gebruik van synthetische data (data niet gebaseerd op personen). Al deze maatregelen moeten ertoe leiden dat AI-systemen niet alleen transparant, veilig, en rechtvaardig zijn, waarbij privacy wordt gewaarborgd, maar ook dat de menselijke betrokkenheid, toezicht en maatschappelijke en milieu-impact wordt meegenomen bij de ontwikkeling en gebruik van AI-systemen. Dat is een interessante uitdaging voor organisaties waarbij Considerati vanuit haar dienstverlening graag ondersteunt. 

Welke stappen moeten organisaties volgens jou zetten als ze AI op een verantwoorde manier willen gebruiken?

In eerste instantie moeten bedrijven en overheden inventariseren wat voor AI-systemen worden gebruikt binnen hun organisatie door middel van het opzetten van een AI-register. Organisaties kunnen er ook voor kiezen om hiervoor aansluiting te zoeken bij hun bestaande registers die zijn opgezet in het kader van de naleving met de AVG. Het opzetten en onderhouden van een effectief register levert een belangrijke bijdrage aan het transparant en uitlegbaar maken van AI-toepassingen binnen de organisatie.

Daarna moet worden geïnventariseerd in welke categorie desbetreffende AI-systemen vallen. De AI Act introduceert een risico gebaseerde aanpak waarbij AI-systemen worden ingedeeld in categorieën op basis van het risico dat ze met zich meebrengen: Verboden AI, Hoog-risico AI en Beperkt-risico AI, waarbij geldt hoe hoger het risico, hoe strenger de regels. 

Vervolgens is het verstandig om een AI governance framework op te zetten waarbij er een AI-beleid wordt opgesteld, medewerkers worden getraind met betrekking tot verantwoord gebruik van AI, AI Impact Assessments worden uitgevoerd en een AI-office wordt opgericht dat adviseert en besluit omtrent aanschaf en implementatie van nieuw AI-systemen. Tenslotte moet het gebruik van AI-systemen goed worden gemonitord en dienen incidenten te worden vastgelegd en gerapporteerd.

Hoe balanceert de AI Act tussen het stimuleren van innovatie en het waarborgen van veiligheid?

De AI Act hanteert een risico gebaseerde aanpak, waarbij verschillende verplichtingen van toepassing zijn voor aanbieders en gebruikers. Afhankelijk van het risiconiveau van het AI-systeem, gelden mogelijke strengere regels. Ook bevat de AI Act verschillende maatregelen om innovatie te bevorderen: het gebruik van sandboxes (gecontroleerde omgevingen waar bedrijven innovatieve AI-systemen kunnen testen en ontwikkelen), ondersteuning van AI-startups en promotie van onderzoek, ontwikkeling en bevordering van samenwerking tussen de publieke en private sector. Naast innovatie legt de AI Act ook veel nadruk op veiligheid en ethiek. Voor hoog risico-AI-systemen is menselijk toezicht vereist om ervoor te zorgen dat de AI-systemen op een verantwoorde manier functioneren. Verder zijn er strenge regels voor het gebruik van gegevens om ervoor te zorgen dat AI-systemen worden getraind op hoogwaardige, eerlijke data zonder vooringenomenheid. Ook moeten AI-systemen transparant zijn, wat betekent dat gebruikers moeten worden geïnformeerd wanneer ze interactie hebben met AI-systeem en hoe beslissingen worden genomen door het AI-systeem.

Welke sectoren zullen het meest beïnvloed worden door de AI Act en waarom?

AI heeft nu al een enorme invloed op bijna alle maatschappelijke sectoren. De opkomst van LLM’s zoals Chat GTP, Bard, Anthropic, Copilot en specifieke AI-toepassingen worden op steeds grotere schaal toegepast en de ontwikkelingen omtrent AI gaan razendsnel. In de gezondheidszorg zie je dat AI helpt bij het interpreteren van medische beelden, diagnostische tests en voorspellen van ziekten. Bij callcenters zie je dat AI chatbots vragen beantwoorden en binnen de IT-sector wordt AI gebruikt om code te schrijven, te testen en te onderhouden. In de creatieve sector wordt AI gebruikt voor content generatie (muziek, video en film) en marketing. Tegelijkertijd stijgen de investeringen in AI explosief en alle grote tech bedrijven integreren AI in hun producten en diensten. Kortom elke sector wordt hierdoor beïnvloed en AI ontwikkelt zich razendsnel. Het is dan ook verstandig om je hier als organisatie goed op voor te bereiden en een check te doen naar het gebruik van AI binnen de organisatie, gezien de mogelijke gevolgen.

Welk advies zou jij aan bedrijven geven die werken met AI-technologieën in het licht van de AI Act?

De AI Act legt verschillende verplichtingen op aan aanbieders of gebruikers van AI-systemen, zeker als het een Hoog-risico AI-systeem betreft. Hoewel de AI Act verschillende implementatie tijdslijnen kent voor de verschillende soorten AI-systemen, is het verstandig om op tijd te beginnen met de inventarisatie en classificering van AI-systemen binnen organisaties. Compliance met de AI Act zal bij veel organisaties hoog op de agenda staan aangezien niet-naleving van de verplichtingen uit de AI Act kunnen leiden tot hoge boetes. Het is van uiterst belang dat organisaties vooraf goed nadenken over hoe zij aan deze vereisten zullen gaan voldoen, zowel op strategisch als op organisatorisch niveau. Een ad hoc of ‘spot repair’ aanpak is dan ook niet aan te raden. Vanuit Considerati hebben wij alle vereisten van de AI Act in kaart gebracht en een heldere governance aanpak geformuleerd. Op basis van deze holistische aanpak ondersteunen wij organisaties bij de inrichting van hun AI governance, waarbij we rekening houden met reeds bestaande frameworks, zoals bijvoorbeeld voor privacy governance.