Wat is het?
De Algemene Verordening Gegevensbescherming is de Europese privacywet. Ze geldt voor organisaties die in de EU gevestigd zijn, en voor organisaties buiten de EU die goederen of diensten aanbieden aan, of het gedrag monitoren van, personen die zich in de EU bevinden. In België houdt de Gegevensbeschermingsautoriteit (GBA) toezicht. Kernprincipes: grondslag voor verwerking, dataminimalisatie, doelbinding en transparantie.
Hoe werkt het technisch?
- Privacy by design: bepaal vóór de bouw welke data je nodig hebt — en welke niet.
- Verwerkingsregister: documenteer welke gegevens je waar verwerkt en waarom.
- Rechten van betrokkenen technisch inrichten: inzage, correctie en verwijdering moeten uitvoerbaar zijn.
- Bij AI: pseudonimiseer of filter persoonsgegevens uit prompts en logs; train nooit ongecontroleerd op klantdata.
- Verwerkersovereenkomsten met leveranciers; let op datatransfer buiten de EU bij Amerikaanse AI-diensten.
- Bij risicovolle verwerkingen (zoals profilering of grootschalige AI) is een DPIA verplicht: een voorafgaande risico-inschatting.
Wat kun je ermee bouwen?
Een chatbot die gesprekken pseudonimiseert. Een dataminimalisatie-laag die namen en rijksregisternummers uit prompts filtert. Een verwijderproces dat persoonsgegevens ook uit back-ups en logs opruimt.
Commercieel gebruik
compliance is een verkoopargument — zakelijke klanten toetsen erop. Voorkomt boetes (tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, het hoogste bedrag geldt) en reputatieschade. GDPR-implementatie en DPIA’s zijn een dienst op zich.
Sterke combinaties
met data encryption (technische bescherming), audit logging (aantoonbaarheid) en AI governance (beleid over model- en datagebruik).
Belangrijkste 20%
minimaliseer data — wat je niet verzamelt, kun je niet lekken. Leg alles vast, want aantoonbaarheid is de kern van de wet. En onthoud: een LLM die persoonsgegevens verwerkt, valt volledig onder de GDPR.
Praktijkvoorbeeld (fictief)
Een recruitersplatform gebruikt een LLM om sollicitatiebrieven samen te vatten. Voor elke API-aanroep worden namen en adressen vervangen door tokens; de originele mapping staat versleuteld in eigen systemen. Logs bevatten geen persoonsgegevens. Directe identificatoren verlaten zo nooit de organisatie. De brieven blijven wel pseudonieme persoonsgegevens, dus een verwerkersovereenkomst en een DPIA blijven nodig; als de AI kandidaten mee selecteert, gelden ook de hoog-risico-eisen van de AI-verordening.