De Autoriteit Persoonsgegevens verduidelijkt wat transparantie bij kunstmatige intelligentie betekent voor organisaties en burgers in Nederland. Het gaat om uitleg bij de AVG en de nieuwe Europese AI‑verordening, met gevolgen voor bedrijven en overheid. Organisaties moeten duidelijk maken wanneer en hoe algoritmen worden gebruikt, en wat dat voor mensen betekent. De toelichting is relevant op het moment van schrijven, nu de AI‑verordening gefaseerd in werking treedt.
AP verduidelijkt AI-transparantie
De Autoriteit Persoonsgegevens (AP) legt uit dat transparantie meer is dan een label “AI gebruikt”. Organisaties moeten in begrijpelijke taal vertellen waarom een systeem wordt ingezet, welke gegevens het gebruikt en wat de gevolgen zijn. Ook moeten zij aangeven of een mens kan ingrijpen of bezwaar mogelijk is. Dit geldt voor websites, apps en interne processen.
Bij geautomatiseerde besluitvorming met grote impact gelden extra plichten onder de AVG. Denk aan kredietbeoordeling, het toekennen van toeslagen of selectie voor een baan. Mensen hebben recht op uitleg over de “logica” van het besluit, de betekenis en verwachte gevolgen. Ook hebben zij recht op menselijke tussenkomst en om het besluit aan te vechten.
Transparantie geldt zowel bij directe interactie als achter de schermen. Praat iemand met een chatbot, dan moet dat duidelijk zijn. Worden persoonsgegevens gebruikt om een model te trainen of te testen, dan moet dat in de privacyverklaring staan. Organisaties horen ook te zeggen hoe lang gegevens worden bewaard en met wie zij worden gedeeld.
De AP benadrukt dat transparantie hand in hand gaat met dataminimalisatie en beveiliging. Dat betekent: niet meer gegevens verzamelen dan nodig en passende bescherming toepassen. Voor hoog-risico-toepassingen komen daar onder de AI‑verordening extra eisen bij. Denk aan documentatie, testen en toezicht.
Transparantie betekent dat organisaties helder maken dát AI wordt gebruikt, hoe het in hoofdlijnen werkt en welke gevolgen dit kan hebben voor de betrokken persoon.
AVG en AI Act samen
De AVG verplicht organisaties al tot duidelijke informatie, doelbinding en rechten voor betrokkenen. De Europese AI‑verordening (AI Act) voegt daar specifieke transparantie-eisen aan toe. Voorbeelden zijn de plicht om deepfakes te labelen en om te melden dat je met een chatbot praat. Voor generieke modellen (GPAI), zoals ChatGPT of Gemini, komen eisen voor documentatie en samenvattingen van trainingsdata.
De regels gaan gefaseerd gelden, op het moment van schrijven. Verboden praktijken gelden eerder, transparantieplichten zoals chatbot- en deepfake-labels volgen ongeveer binnen 12 maanden. De volledige verplichtingen voor hoog-risico‑systemen komen later, rond 24 maanden na inwerkingtreding. Organisaties moeten dus nu al plannen maken om op tijd te voldoen.
De AI‑verordening maakt een onderscheid tussen risicoklassen. Hoog-risico is bijvoorbeeld biometrische identificatie op openbare plekken of systemen voor onderwijs en werk. Zulke toepassingen krijgen strenge eisen voor management, testen, logging en menselijke controle. Transparantie is daar een vast onderdeel van.
De Nederlandse context telt ook mee. Overheidsorganisaties werken aan algoritmeregisters en interne richtlijnen voor inzet van AI. Dat sluit aan bij de AI‑verordening en ondersteunt naleving van de AVG. Burgers moeten zo kunnen zien welke systemen worden gebruikt en voor welk doel.
Concreet: stappen voor organisaties
Begin met een inventarisatie van alle algoritmen en datamodellen in uw processen. Noteer per toepassing het doel, de gebruikte gegevens en de risico’s. Leg vast of er geautomatiseerde besluiten worden genomen en of een mens kan ingrijpen. Werk dit door in uw privacyverklaring en interne procedures.
Maak uitleg in gewone taal beschikbaar voor klanten en burgers. Beschrijf in hoofdlijnen hoe het systeem tot een uitkomst komt en welke factoren zwaar wegen. Geef aan hoe iemand bezwaar kan maken of een mens kan laten meekijken. Train medewerkers om die uitleg consistent te geven.
Label AI‑interacties duidelijk in de interface, zoals bij chatbots van OpenAI (ChatGPT) of Google (Gemini). Markeer AI‑gegenereerde beelden en audio als zodanig, bijvoorbeeld met een digitaal watermerk (een onzichtbaar kenmerk in het bestand). Onderzoek waar C2PA‑metadata of vergelijkbare standaarden passen in uw workflow. Vermeld in contentbeleid hoe u misleiding voorkomt.
Voer een data protection impact assessment (DPIA) uit waar dat nodig is. Betrek de functionaris voor gegevensbescherming (FG) en leg keuzes vast. Voor overheden: publiceer kerninformatie in het algoritmeregister en houd die actueel. Zorg ten slotte voor logging en monitoring, zodat u besluiten kunt reconstrueren en uitleggen.
Wat burgers mogen verwachten
Burgers mogen weten wanneer zij met een systeem praten en niet met een mens. Zij kunnen vragen om uitleg over een besluit dat hen raakt, zoals een geweigerde aanvraag of opvallende risicoscore. Vaak hebben zij ook recht op menselijke beoordeling van dat besluit. Dit volgt uit de AVG en wordt aangevuld door de AI‑verordening.
Mensen hebben recht op inzage in hun persoonsgegevens, rectificatie en soms verwijdering. Zij kunnen ook bezwaar maken tegen profilering, zeker bij marketing of risicoselectie. Organisaties moeten duidelijk maken welke gegevens zij gebruiken en waarom. Bij twijfel kunnen burgers terecht bij de FG of klachten indienen bij de AP.
AI‑gegenereerde beelden, stemmen en teksten moeten herkenbaar zijn. Dat verkleint de kans op misleiding door deepfakes. Platforms en uitgevers moeten maatregelen nemen om dit zichtbaar te maken. Dat geldt ook voor campagnes en publieke communicatie.
Praktisch helpt het om communicatie te bewaren als bewijs, zoals e‑mails of schermfoto’s. Zo kan iemand sneller uitleg of herbeoordeling krijgen. Bij complexe besluiten is het verstandig om expliciet een menselijk oordeel te vragen. Dat recht blijft bestaan, ook als systemen steeds geavanceerder worden.
Uitzonderingen en handhaving
Transparantie kent grenzen, zoals het beschermen van bedrijfsgeheimen en beveiliging. Toch moeten organisaties “zinvolle informatie” geven over de werking in hoofdlijnen. Dat hoeft geen broncode te zijn, maar wel voldoende om een besluit te begrijpen en te betwisten. Deze balans is verankerd in de AVG en wordt door de AI‑verordening ondersteund.
Volledig geautomatiseerde besluiten zijn soms toegestaan, bijvoorbeeld als dat nodig is voor een contract of wettelijk is geregeld. Dan zijn extra waarborgen verplicht, zoals menselijke tussenkomst en het recht op bezwaar. Organisaties moeten kunnen uitleggen waarom zij voor automatisering kiezen. Ook moeten zij risico’s vooraf beoordelen en beperken.
De AP kan handhaven bij schendingen van de AVG, met boetes die kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde omzet. Onder de AI‑verordening komen aparte toezichthouders en markttoezicht, met hoge boetemaxima voor ernstige overtredingen, op het moment van schrijven tot tientallen miljoenen of een percentage van de omzet. Verwacht ook controles op documentatie, testen en labeling. Samenwerking tussen toezichthouders binnen de EU wordt de norm.
Voor mkb en start-ups gelden soms verlichting en sandbox‑mogelijkheden. Toch blijven de basisprincipes gelijk: wees duidelijk, leg keuzes vast en bied een menselijk vangnet. Wie nu investeert in transparantie, voorkomt klachten en vertraging later. En bouwt vertrouwen op bij klanten en burgers.