AVG & AI-modellen

AI-modellen en persoonsgegevens

Dat er een spanningsveld bestaat tussen de Algemene Verordening Gegevensbescherming (“AVG”) en het gebruik van artificiële intelligentie, hoeft weinig te verbazen. AI-toepassingen verwerken vaak grote hoeveelheden data, waaronder ook persoonsgegevens. Dat spanningsveld speelt echter niet alleen op het moment waarop een onderneming een AI-tool effectief gebruikt. Ook bij de ontwikkeling van AI-modellen zelf moeten de basisprincipes van de AVG in acht worden genomen. AI-modellen worden immers getraind, bijgewerkt of verfijnd op basis van datasets waarin persoonsgegevens kunnen voorkomen.

Dat brengt meteen een fundamentele vraag met zich mee: op welke juridische basis mogen die persoonsgegevens worden verwerkt?

Welke rechtsgrond voor AI-ontwikkeling?

Een van de basisprincipes van de AVG is dat elke verwerking van persoonsgegevens moet steunen op een geldige verwerkingsgrondslag. Dat kan bijvoorbeeld toestemming zijn, de uitvoering van een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang. In de context van AI-modellen is vooral die laatste grondslag relevant. Bij grote trainingsdatasets, gegevens van derden of via webscraping verzamelde data is het immers niet altijd evident om individuele toestemming van elke betrokkene te verkrijgen.

Het EDPB over gerechtvaardigd belang

Precies daarom heeft de Ierse toezichthoudende autoriteit aan het Europees Comité voor gegevensbescherming (de European Data Protection Board, ‘EDPB’) gevraagd of een verwerkingsverantwoordelijke zich kan beroepen op gerechtvaardigd belang als rechtsgrond voor de verwerking van persoonsgegevens bij de ontwikkeling en de inzet van AI-modellen. Het EDPB moest daarbij verduidelijken hoe kan worden aangetoond dat gerechtvaardigd belang in die context een passende rechtsgrond vormt. Het EDPB beantwoordde die vraag in Opinie 28/2024.

Het antwoord van het EDPB is genuanceerd. Gerechtvaardigd belang wordt niet uitgesloten als rechtsgrond voor AI-ontwikkeling of AI-inzet. Dat betekent dus dat toestemming niet altijd noodzakelijk is. Daaruit mag echter niet worden afgeleid dat AI-modellen zomaar zonder toestemming en zonder verdere beoordeling mogen worden ontwikkeld. De verwerkingsverantwoordelijke moet geval per geval aantonen dat het gerechtvaardigd belang een passende rechtsgrond is.

Daarvoor moet de klassieke driestappentoets worden doorlopen. Eerst moet er een rechtmatig, duidelijk omschreven, reëel en concreet belang bestaan. Een algemene verwijzing naar innovatie, efficiëntie of commerciële opportuniteiten volstaat niet. Vervolgens moet de

verwerking noodzakelijk zijn om dat belang te bereiken. Er moet dus worden nagegaan of er geen minder ingrijpende manier bestaat om hetzelfde doel te realiseren. Tot slot moet een belangenafweging gebeuren: de rechten en vrijheden van de betrokkenen mogen niet zwaarder doorwegen dan het belang van de onderneming.

Bij die afweging hecht het EDPB bijzonder gewicht aan de redelijke verwachtingen van de betrokkenen: of de gegevens openbaar beschikbaar waren, of ze rechtstreeks bij de betrokkene dan wel via een andere bron (zoals webscraping) werden verkregen, en of de betrokkene de verwerking redelijkerwijs kon verwachten.

Valt die afweging negatief uit, dan kunnen mitigerende maatregelen de impact op de betrokkenen alsnog beperken en de verwerking verdedigbaar maken. Het EDPB geeft daarvan een niet-limitatieve lijst, zoals pseudonomisering, het gebruik van synthetische data, verhoogde transparantie, het faciliteren van de rechten van betrokkenen (zoals het recht op wissing en een opt-out) en technische maatregelen die verhinderen dat het model persoonsgegevens uit de trainingsdata reproduceert.

Aandachtspunt voor ondernemingen

Voor ondernemingen betekent dit dat het ontwikkelen of inzetten van AI-modellen steeds moet vertrekken vanuit de juiste verwerkingsgrondslag. Wie zich op gerechtvaardigd belang wil beroepen, moet die keuze concreet onderbouwen en documenteren.

In voorkomend geval moet dus een driestappentoets worden uitgevoerd, waarbij wordt aangetoond welk belang wordt nagestreefd, waarom de verwerking noodzakelijk is en waarom de impact op betrokkenen aanvaardbaar blijft. AI-ontwikkeling zonder toestemming is dus niet uitgesloten, maar alleen verdedigbaar wanneer de verwerking juridisch voldoende wordt onderbouwd.

Vragen of behoefte aan juridisch advies?

Neem gerust contact op voor vragen, advies op maat of juridisch sparren. Onze expert Mieke Trombetta helpt u verder.

Mieke Trombetta
mieke.trombetta@halsten.be