Privacy en optionele AI

Compliancewerk kan persoonsgegevens en vertrouwelijke bedrijfsinformatie bevatten. Denk aan namen van verantwoordelijken, opleidingsregistraties, toegangscontroles en documenten van leveranciers. Begin met het doel: welke informatie is nodig om een maatregel te onderbouwen of een actie uit te voeren?

Gebruik waar mogelijk een beperkte registratie of samenvatting. Voor het aantonen van een training zijn onderwerp, deelnemer, datum en eventuele geldigheid vaak nuttiger dan een volledig personeelsdossier. Laat je privacyverantwoordelijke beoordelen welke gegevens passend zijn en welke afspraken daarvoor nodig zijn.

Maak per verwerking duidelijk wie over het doel en gebruik van gegevens beslist en welke partijen de uitvoering verzorgen. Leg toepasselijke afspraken over verwerking, leveranciers, locaties, beveiliging en afhandeling van verzoeken vast. De praktische inrichting moet aansluiten op deze afspraken.

Bespreek daarbij meer dan alleen de database. Bijlagen, exports, loggegevens, supportinformatie en back-ups hebben ieder een eigen gebruik en levensduur. Een dossier dat buiten de omgeving wordt gedeeld, vraagt ook afspraken met de ontvanger over bewaring en verder gebruik.

Spreek af wanneer bewijs opnieuw wordt beoordeeld, wanneer historische informatie behouden moet blijven en wanneer gegevens worden verwijderd. Geldigheid en bewaring zijn verschillende zaken: een verlopen document kan nog nodig zijn om een eerder dossier te begrijpen.

Verwijder daarom gecontroleerd. Bekijk eerst of een bestand nog aan een beoordeling of vastgelegde dossierstand is gekoppeld. Leg vast hoe je omgaat met vervanging, archivering en back-ups. Een verzoek tot verwijdering vraagt om afstemming met de verantwoordelijke voor de betreffende gegevens en eventuele andere bewaarredenen.

Een supportvraag hoeft niet meteen toegang tot al je inhoud te geven. Beschrijf eerst het probleem met zo weinig mogelijk gevoelige informatie. Een foutmelding, tijdstip en geschoond voorbeeld zijn vaak voldoende om een onderzoek te starten.

Als inhoudelijke inzage nodig is, spreken we het doel en de benodigde toegang af. De persoon die toestemming geeft moet daartoe bevoegd zijn. Tijdelijke ondersteuning krijgt een duidelijke afbakening, en relevante toegang en handelingen moeten controleerbaar blijven. Deel geen account of wachtwoord om ondersteuning mogelijk te maken.

AI is een optionele ondersteuning bij uitleg en suggesties. Je kunt de compliancewerkwijze ook zonder AI uitvoeren. Wanneer AI onderdeel van de opdracht wordt, bepalen we eerst welke functie je wilt gebruiken, welke gegevens daarvoor nodig zijn en welke externe partij eventueel betrokken is.

Externe AI-verwerking van geüploade documentinhoud is geen onderdeel van de beschreven basiswerkwijze. Een wens om documenten automatisch te laten analyseren vraagt om een afzonderlijke gegevens- en beveiligingsbeoordeling, passende afspraken en een expliciete vrijgave. Behandel zo’n uitbreiding als een nieuwe gegevensstroom.

Gebruik een AI-uitkomst als voorstel dat een bevoegde medewerker controleert. AI bevestigt geen bewijs, accepteert geen risico namens het bestuur en vervangt geen inhoudelijk of juridisch oordeel. Zorg dat duidelijk blijft wie de uiteindelijke beoordeling heeft gemaakt.

Een medewerker wil hulp bij de uitleg van een eis over periodieke toegangscontrole. Een algemene beschrijving van het proces kan voldoende zijn voor een suggestie. Een export met namen, e-mailadressen en toegangsrechten van alle medewerkers voegt mogelijk onnodige gegevens toe.

Bespreek eerst het proces en de gewenste verbetering. De verantwoordelijke beoordeelt de suggestie vervolgens aan de hand van de echte situatie, binnen de daarvoor ingerichte omgeving. Zo blijft de onderbouwing bij de juiste mensen en wordt hulpmateriaal niet vanzelf een nieuwe verzameling persoonsgegevens.