AI en privacy; de IAMA, geen ‘ver van mijn bed-show’

AI en privacywetgeving

De inzet van Artificiële Intelligentie (hierna: AI) door overheden of andere organisaties heeft veelal betrekking op persoonsgegevens en betreft dan een ‘verwerking’ die aan alle vereisten van de privacywetgeving dient te voldoen. Alleen al om die reden is het goed om als privacy professional op de hoogte zijn van de regelingen en ontwikkelingen op het gebied van AI-regelgeving en de grote lijnen van de technische ontwikkelingen op dit terrein.
Hierbij komt dat de rechten en vrijheden, met name het recht op non-discriminatie, van ‘de betrokkene’ bij de inzet van AI snel in het geding kunnen zijn, terwijl de AVG niet alleen beoogt andere grondrechten (dan privacy) te eerbiedigen (zie overweging 4), maar deze in artikel 1 lid 2 AVG ook expliciet in bescherming neemt. En last but not least, de AVG bevat ook enkele bepalingen die betrekking kunnen hebben op het gebruik van AI. Om te beginnen artikel 2 (materieel toepassingsgebied), dat bepaalt dat de AVG van toepassing is op geheel of gedeeltelijk geautomatiseerde verwerking. En bekend natuurlijk is het recht van de betrokkene om niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit (artikel 22 AVG).

AI vaak nog een ‘ver van mijn bed-show’

Toch heb ik het idee dat AI voor menig privacy professional nog een ‘ver van mijn bed-show’ is. Waarschijnlijk wordt dit veroorzaakt door het feit dat nog niet bekend is wanneer de Europese AI-verordening in werking zal treden. Er is al wel een concepttekst, maar daar wordt nog over onderhandeld. En weliswaar krijgt de term IAMA, Impact Assessment Mensenrechten en Algoritmes, steeds meer bekendheid, maar collega’s merken daar nog vaak over op dat het nog niet verplicht is om deze te doen. En daarin hebben zij op zich – ik kom daar in het navolgende op terug – gelijk. Ten aanzien van het in opdracht van het Ministerie van BZK ontwikkelde IAMA wordt op een website van de Rijksoverheid inderdaad opgemerkt op dat het gebruik van het IAMA niet verplicht is.[1] Onlangs echter heeft de Tweede Kamer een motie aangenomen om deze IAMA verplicht te gaan stellen.[2]

Maar het zou mijns inziens een denkfout zijn om op basis van het voorgaande aan te nemen dat de inzet van AI in relatie tot persoonsgegevens niet reeds nu aan mensenrechten en grondrechten zou moeten worden getoetst. Bij uitstek overheden zijn immers gehouden deze rechten te respecteren en vooraf te bepalen of het voorgenomen handelen voldoet aan de eisen die gelden op grond van de Grondwet en (direct werkende) mensenrechten verdragen zoals het Europees Verdrag voor de Rechten van de Mens. En gezien de zgn. horizontale werking van grond- en mensenrechten kan ook in privaatrechtelijke verhoudingen een beroep op grond- en mensenrechten worden gedaan zodat ook de inzet van AI door bedrijven en andere private organisaties hieraan niet mag afdoen.
Maar er is geen juridische kennis voor nodig om te begrijpen dat de overheid bij de inzet van AI de mensenrechten dient te waarborgen; wat de vreselijk gevolgen van het niet respecteren daarvan, in het bijzonder het recht op non-discriminatie, kunnen zijn, is pijnlijk duidelijk geworden door de Toeslagenaffaire.

Waarborgen van mensenrechten bij de inzet van AI; geen sinecure

De toets of bij de verwerking van persoonsgegevens door middel van AI mensenrechten worden geschonden en of wordt voldaan aan de AVG is geen sinecure. Om te beginnen zal de werking van een algoritme moeten worden doorgrond en bekeken moet worden wat de feitelijke uitkomsten zijn. Ook moet ervoor worden gewaakt dat er in een algoritme vooroordelen worden opgenomen om te voorkomen dat dit zou leiden tot discriminatie gezien de werking van ‘rommel in = rommel uit’. Voorts zal de inzet van AI moeten worden getoetst aan de rechtsbeginselen van artikel 5 AVG, in het bijzonder aan de beginselen van rechtmatigheid, behoorlijkheid, transparantie en subsidiariteit (en uiteraard alle andere relevante bepalingen van de AVG). En de toets aan de mensenrechten zelf vergt de nodige inspanningen; er zijn veel verschillende rechten die mogelijk geschonden kunnen worden en dikwijls is een bepaalde schending van een mensenrecht wettelijk toegestaan, hetgeen ook onderzocht zal moeten worden. En ook wanneer de inzet van AI voornoemde toetsen kan doorstaan, zal de vraag kunnen blijven bestaan of de uitkomst of gemaakte keuzen ethisch verantwoord is/zijn.

IAMA toch verplicht?

Om deze vele en ingewikkelde vragen te kunnen beantwoorden zodat de naleving van het mensenrechtenrecht verzekerd is, is een systematische benadering nodig en het samenbrengen van verschillende disciplines en deskundigen waaronder ontwikkelaars van algoritmen, data-scientists, CISO’s, privacy-juristen, mensenrechten-juristen en ethici. Met andere woorden, een IAMA. Hoewel de jure een IAMA nog niet verplicht is, ontkomt een verwerkingsverantwoordelijke er mijns inziens dus de facto niet aan om deze, voorafgaand aan het verwerken van persoonsgegevens met behulp van AI, wel te verrichten. Want de mensenrechten dienen hoe dan ook bij de inzet van AI te worden gewaarborgd.

Deze wetenschap en het daadwerkelijk verrichten van IAMA’s voorkomt dat verwerkingsverantwoordelijken vanuit een puur op privacy gerichte benadering een blinde vlek hebben c.q. houden voor de mogelijke schadelijke gevolgen voor de mensenrechten van betrokkenen bij de inzet van AI. En dat kan de beste overkomen, althans volgens Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, die de Raad van State medeplichtig achtte aan discriminatie van de slachtoffers van de toeslagenaffaire.[3]

De Autoriteit Persoonsgegevens geeft overigens in haar toezichtskader ‘Focus AP 2020-2023’aan dat zij zich zal richten op de totstandkoming van een stelsel van toezicht op AI en algoritmes waarin persoonsgegevens worden gebruikt.[4]

Een volgende logische stap is dat in het volgende toezichtskader van de Autoriteit het daadwerkelijk toezicht houden op AI en algoritmes in het kader van de verwerking van persoonsgegevens tot focusgebied wordt benoemd.

Een overweging ten overvloede, lijkt mij, om in het vervolg, bijvoorbeeld wanneer wordt overgegaan tot de inzet van een chatbot of de inzet van AI om bijstandsfraude op te sporen, de IAMA te hanteren.[5]

Mocht u nog vragen hebben, dan kunt u natuurlijk altijd telefonisch (06-43279065) of per e-mail (irma.smeding@lexdigitalis.nl) contact met mij opnemen.

Bronvermelding:
[1] https://www.digitaleoverheid.nl/nieuws/iama-brengt-mensenrechten-in-beeld-bij-algoritmes/
[2] https://www.tweedekamer.nl/kamerstukken/moties/detail?id=2022Z06024&did=2022D12329.
[3]  https://www.trouw.nl/binnenland/wolfsen-raad-van-state-discrimineerde-ook-slachtoffers-van-toeslagenaffaire~b2d85f0f/
[4] https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/focus_ap_202-2023_groot.pdf
[5] https://vng.nl/nieuws/kansen-artificiele-intelligentie-voor-gemeenten-in-beeld

** Foto van het beeld van Lady Justice boven op een poort van het Dublin Castle. Er is wellicht een relatie tussen dit ongebruikelijke beeld van Vrouwe Justitia en de geschiedenis van de Ieren onder the British rule…