Naar de inhoud
Menu
NL

Moeten we een DPIA doen voordat we AI gebruiken?

AVG en AILaatst bijgewerkt 2 min. lezen

Kort antwoord

Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht als een verwerking waarschijnlijk een hoog risico voor mensen meebrengt. Bij AI is dat meestal zo als de AI mensen systematisch beoordeelt of profileert (bijvoorbeeld sollicitanten of medewerkers), op grote schaal gevoelige gegevens verwerkt, medewerkers monitort, of nieuwe technologie zo inzet dat het mensen raakt. De DPIA beschrijft de verwerking, de noodzaak, de risico's en de maatregelen. Bij AI met een hoog risico gebruik je de informatie van de leverancier in je DPIA (artikel 26, lid 9, AI-verordening).

Typisch AI-gebruik waarvoor een DPIA nodig is

AI-gebruik DPIA?
Sollicitanten sorteren Meestal wel
Medewerkers beoordelen of monitoren Meestal wel
AI op gezondheidsgegevens in een praktijk Meestal wel
Kredietbeoordeling van klanten Meestal wel
Samenvatting van klantvragen met pseudoniemen Meestal niet
Concept voor een nieuwsbrief zonder persoonsgegevens Nee

Sjabloon in GoalCube

GoalCube heeft een concept-DPIA die wordt ingevuld met het gebruik uit je AI-register: doel, gegevens, risico, menselijke beslissing en pseudonimisering. Jij voegt je eigen beoordelingen toe en bewaart de DPIA samen met het register.

Zo pakken jullie het aan

  1. Beschrijf het gebruik.Doel, gegevens, AI-tool, wie erdoor geraakt wordt en wie wat ziet.
  2. Beoordeel noodzaak en evenredigheid.Is de AI nodig? Kan het met minder gegevens?
  3. Breng de risico's voor mensen in kaart.Fouten, discriminatie, lekken, doorgifte buiten de EU, gebrek aan inzage.
  4. Beschrijf de maatregelen.Pseudonimisering, menselijke beslissing, toegangsbeheer, logboek, verwijdering.
  5. Overleg met je FG (DPO), als je die hebt.En raadpleeg de toezichthouder (AP of GBA) als het risico hoog blijft.

Dit zegt de wet

Artikel 35 AVG – gegevensbeschermingseffectbeoordeling
Verplicht bij een waarschijnlijk hoog risico; lid 7 beschrijft de inhoud.
Artikel 36 AVG – voorafgaande raadpleging
Blijft het risico hoog, dan moet je de toezichthoudende autoriteit raadplegen.
Artikel 26, lid 9, AI-verordening
Gebruik de informatie van de aanbieder over de AI met een hoog risico in je DPIA.

Vragen en antwoorden

Moeten we een DPIA doen voor ChatGPT bij e-mails?

Meestal niet, als er geen persoonsgegevens van belang in zitten en niemand wordt beoordeeld.

Moeten we een DPIA doen voor AI bij werving en selectie?

Meestal wel. Sollicitanten systematisch beoordelen met nieuwe technologie is een klassiek voorbeeld.

Heeft de toezichthouder een lijst?

Ja. De Autoriteit Persoonsgegevens (NL) en de Gegevensbeschermingsautoriteit (BE) hebben elk een lijst van verwerkingen waarvoor een DPIA altijd verplicht is. Controleer die voor je gebruik.

Bronnen

Geschreven door de redactie van GoalCube. Laatst bijgewerkt 11 oktober 2026. GoalCube helpt jullie de AI Act en de AVG te volgen. Het is geen juridisch advies.

Wees er als eerste bij.

We verwachten in november 2026 live te gaan. Meld je aan, dan hoor je van ons zodra jullie aan de slag kunnen.

Lees ook