De AVG, de Algemene Verordening Gegevensbescherming, is verordening (EU) 2016/679. Aangenomen op 27 april 2016 en van toepassing sinds 25 mei 2018, legt ze de regels vast die elke organisatie moet naleven die persoonsgegevens verwerkt van personen in de Europese Unie. In het Engels spreekt men van GDPR, in het Frans van RGPD.
Wat een persoonsgegeven is
Een persoonsgegeven is elke informatie waarmee een persoon rechtstreeks of onrechtstreeks geïdentificeerd kan worden: een naam, een e-mailadres, een telefoonnummer, een IP-adres, maar ook de beschrijving van een situatie die precies genoeg is om iemand te herkennen. In een gesprek met een AI-assistent levert een bezoeker die zijn naam geeft of zijn verwarmingsprobleem met zijn adres vertelt persoonsgegevens aan.
Sommige gegevens heten gevoelig en krijgen een versterkte bescherming (artikel 9): gezondheid, politieke opvattingen, religieuze overtuigingen, afkomst, seksuele geaardheid, biometrische gegevens. Een assistent zou er niet naar mogen vragen, en de organisatie moet voorzien wat er gebeurt wanneer een bezoeker ze spontaan deelt.
De basisprincipes
Artikel 5 van de AVG legt de principes vast die elke verwerking moet naleven:
- Rechtmatigheid, behoorlijkheid en transparantie: een rechtsgrond en duidelijke informatie aan de betrokkenen
- Doelbinding: gegevens gebruiken voor een vastgelegd doel, niet achteraf voor iets anders
- Minimale gegevensverwerking: alleen verzamelen wat nodig is
- Juistheid: gegevens actueel houden en fouten verbeteren
- Opslagbeperking: gegevens niet langer bewaren dan nodig, wat een bewaartermijn veronderstelt
- Integriteit en vertrouwelijkheid: gegevens beschermen tegen ongeoorloofde toegang en verlies
- Verantwoordingsplicht: kunnen aantonen dat die principes nageleefd worden
De zes rechtsgronden
Elke verwerking moet steunen op een van de zes gronden van artikel 6: toestemming, uitvoering van een overeenkomst of precontractuele maatregelen, een wettelijke verplichting, de bescherming van vitale belangen, een taak van algemeen belang, of het gerechtvaardigd belang van de organisatie, afgewogen tegen de rechten van de persoon. Voor een websiteassistent zijn de meest voorkomende de precontractuele maatregelen (een informatievraag over een dienst beantwoorden), het gerechtvaardigd belang (doorgeven aan het team, de dienst verbeteren) en toestemming (informatie onthouden om toekomstige gesprekken te personaliseren).
De rechten van betrokkenen
Betrokkenen hebben rechten die ze bij de organisatie kunnen uitoefenen: inzage in hun gegevens, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid, bezwaar. De organisatie moet binnen een maand antwoorden, met een mogelijke verlenging van twee maanden voor complexe verzoeken. Een tool waarmee u alle gegevens van een persoon op basis van zijn e-mailadres kunt terugvinden, exporteren en verwijderen, vereenvoudigt dat werk sterk.
Wie is waarvoor verantwoordelijk
De AVG onderscheidt twee rollen:
- De verwerkingsverantwoordelijke beslist waarom en hoe gegevens verwerkt worden. Voor een assistent op uw website is dat uw organisatie
- De verwerker verwerkt gegevens namens de verantwoordelijke, volgens diens instructies. Het platform dat de assistent levert, de hostingpartner en de leverancier van het taalmodel zijn verwerkers of subverwerkers
De relatie tussen beide wordt geregeld in een verwerkersovereenkomst, voorzien in artikel 28.
Doorgiften buiten de Unie
Wanneer gegevens de Europese Economische Ruimte verlaten, bijvoorbeeld naar een modelleverancier in de Verenigde Staten, moet de doorgifte geregeld zijn: een adequaatheidsbesluit van de Europese Commissie, modelcontractbepalingen of een ander mechanisme uit hoofdstuk V. Voor de Verenigde Staten dekt het adequaatheidsbesluit van 10 juli 2023 de bedrijven die gecertificeerd zijn onder het Data Privacy Framework.
De sancties
Boetes kunnen oplopen tot 20 miljoen euro of 4 % van de wereldwijde jaaromzet voor de ernstigste inbreuken. In België is de toezichthoudende autoriteit de Gegevensbeschermingsautoriteit (GBA), die klachten ontvangt, onderzoeken voert en sancties kan opleggen. Naast boetes is het grootste risico voor een kmo vaak het verlies van vertrouwen bij haar klanten.
De AVG en AI-assistenten
Een AI-assistent verandert de regels niet, maar vermenigvuldigt de aandachtspunten: wat bezoekers vrij schrijven, wat de assistent onthoudt, waar berichten verwerkt worden, hoelang ze bewaard worden, of ze dienen om een model te trainen. Ons artikel AI-assistent en AVG beschrijft de methode voor een kmo. De Europese AI-verordening, de AI Act, voegt eigen verplichtingen toe, zonder de AVG te vervangen.
De AVG in KernChat
KernChat wordt gehost in de Europese Unie. Gesprekken worden standaard 365 dagen bewaard, met een termijn die de organisatie kan aanpassen, en daarna verwijderd. Het contactgeheugen steunt op de toestemming van het contact wanneer de organisatie dat vereist, en elke onthouden informatie kan geëxporteerd of verwijderd worden. Berichten worden alleen aan de modelleverancier doorgegeven om het antwoord te genereren; KERN-IT gebruikt ze niet om een model te trainen.