Er komt vanuit Europa een enorme golf aan nieuwe wetgeving. Zo’n 15 wetten in totaal. Daarbij komt de digitale transformatie die AI met zich meebrengt, en ook die nieuwe AI-toepassingen zijn per 1 augustus gereguleerd door inwerkingtreding van de AI Act. Dit brengt enorme veranderingen mee voor de rol Privacy Officers en FG’s. PONT | Data en Privacy besprak de rol van de nieuwe Privacy Officer en FG met Vonne Laan van The Data Lawyers. Laan verzorgt een deel van de opleiding: De Nieuwe Privacy Officer bij Berghauser Pont Academy die aanstaande 30 september van start gaat.
Hoewel het nog niet vaststaat dat de Autoriteit Persoonsgegevens (AP) de officiële toezichthouder voor de AI Act wordt, schetst zij al wel kaders voor het gebruik van AI- toepassingen. Laan: “De AP is duidelijk aan het voorsorteren om de primaire lokale toezichthouder op het gebied van AI te worden.”
Maar niet alleen de AP bereidt zich voor op de nieuwe regulering. Ook functionarissen gegevensbescherming (FG’s) dienen zich in te lezen in de nieuwe regulering in het digitale domein. “De AP stuurt erop aan dat Privacy Officers en FG’s zich verdiepen en gaan nadenken over de AI act,” aldus Laan.
Privacy Officers en FG’s moeten dus zelf kijken naar de mogelijke impact die de AI Act op de informatiehuishouding van hun organisatie zal hebben. Vonne Laan: “Het is duidelijk dat de AP wil dat FG’s hier iets mee doen, de vraag is alleen wat. Neem je de AI Act alleen mee in je rol als interne toezichthouder voor zover er persoonsgegevens worden verwerkt bij AI? Of zeg je als FG: ik ga ook als interne AI-toezichthouder functioneren en in de breedte – dus ook buiten het perspectief van de AVG - kijken of die systemen compliant zijn, voorsorterend op de AI Act.” Aldus Laan. “Dat laatste zal ook impact hebben op het gehele privacyteam. Als de FG toezicht gaat houden op AI compliance, in hoeverre zal het privacyteam dan betrokken zijn bij het waarborgen van de compliance?”
Organisaties die gebruikmaken van AI en onder de AI Act vallen moeten dus beoordelen hoe ze de regelgeving organisatorisch willen inrichten. Laan stelt dat veel organisaties in het kader van de AVG nog moeten werken aan governance. “In het kader van het volwassen worden van de AVG en de governance binnen organisaties moet vaak nog wel wat gebeuren als het op de onafhankelijkheid van de FG aankomt. Het moet geen slager zijn die zijn eigen vlees keurt. De FG moet dus niet zelf het werk uitvoeren en naderhand zijn eigen werk nakijken. De scheidslijnen tussen de FG enerzijds en Privacy Officers anderzijds, kan vaak nog duidelijker worden ingekaderd. Bijvoorbeeld in een beleidsstuk. De onafhankelijkheid van de FG brengt mee dat zij alleen informeert, adviseert en controleert. Dat dient ook te blijken uit de vastlegging van de posities van degenen die intern zijn betrokken bij privacy compliance.”
Volgens Laan kunnen de nieuwe wetten afleiden van privacy-compliance. Want hoewel er een aantal jaar geleden voldoende budget was voor de implementatie van de privacy- regelgeving binnen organisaties, wijst Laan op het effect dat nieuwe wetgeving heeft op de rol van FG’s. “De AI Act en andere nieuwe Europese datawetten werken soms als bliksemafleiders waardoor de FG moeilijker budget loskrijgt voor privacy-compliance gerelateerde zaken.” Al met al staan Privacy Officers en FG’s dus voor aanzienlijke uitdagingen in dit nieuwe wetgevingslandschap.
Meer weten over de rol van Privacy Officers in dit nieuwe juridische landschap? Klik hier voor de opleiding “De Nieuwe Privacy Officer: ontwikkel jezelf tot een privacy professional.”
