Algoritmes, Artificial Intelligence en AVG
Kunstmatige intelligentie, ook wel bekend als Artificial Intelligence (AI), bestaat uit algoritmes die in staat zijn automatisch gegenereerde beslissingen te nemen.[1] Een AI-algoritme is als formule een soort recept voor computers. Een algoritme bestaat zo uit een aantal stappen die de computer moet volgen om een bepaald resultaat te behalen.[2] Deze algoritmes bepalen het recept en vormen (en voeden) het AI-model. AIle AI-modellen hebben data nodig, vaak grote hoeveelheden, zodat het algoritme bij elke analyse een betere uitkomst kan formuleren. Een bekend voorbeeld hiervan is een applicatie zoals Netflix, waarvan het algoritme telkens een passende film kan aanbevelen naar aanleiding van eerder bekeken films.[3] Omdat een algoritme niet alleen data, maar ook persoonsgegevens kan verwerken, is het van belang om na te gaan of er wel wordt voldaan aan de Algemene Verordening Gegevensbescherming (AVG). Om dit beter te begrijpen, wordt er in dit artikel eerst kort een onderscheid gemaakt tussen een aantal verschillende soorten AI-modellen. Daarna wordt ingegaan op de regels die gelden bij het gebruik van AI waarbij persoonsgegevens worden verwerkt en wat Lumen Group hierbij kan betekenen.
Machine Learning
Machine learning is een AI-model waarbij computers leren van data en patronen kunnen herkennen, zonder dat er expliciet geprogrammeerd hoeft te worden. Een voorbeeld hiervan is het kunnen herkennen van spam-e-mails. Het model leert welke kenmerken vaak voorkomen in spam-e-mails, zoals bepaalde woorden, of afzenders en kan op basis daarvan een nieuwe e-mail automatisch herkennen als spam of niet-spam.[4]
Supervised en Unsupervised Machine Learning
Machine Learning kent twee vormen; ‘supervised’ en ‘unsupervised’. Bij supervised machine learning worden in eerste instantie trainingsdata gebruikt om het algoritme te ondersteunen tijdens het leerproces. Op basis van gestructureerd data leert het algoritme wat de correcte uitkomst moet zijn, denk bijvoorbeeld aan een geautomatiseerd systeem om documenten te classificeren. Bij unsupervised machine learning wordt een algoritme getraind met een verzameling van ongestructureerd data. Het doel is om patronen te herkennen en op basis daarvan nieuwe verbanden te kunnen vormen uit ongestructureerd data. Een voorbeeld hiervan is ‘Google News’.[5]
Deep Learning
‘Deep Learning’ is een diepgaandere vorm van Machine Learning, waarbij het algoritme nog meer data nodig heeft dan bij Machine Learning. Deze data zijn niet alleen nodig om verbanden en patronen te herkennen, maar ook om een nauwkeurigere manier te vinden om een beslissing of resultaat te formuleren.[6] Deep Learning bestaat uit verschillende lagen waarbij in elke laag een analyse wordt uitgevoerd om patronen te herkennen en verwerken.[7] Hierbij kan een foto bijvoorbeeld geanalyseerd worden op verschillende lagen, waarbij de algoritmes specifieke elementen identificeren en vergelijken. Zo kan een AI-model verschillende objecten in een foto herkennen. Denk bijvoorbeeld aan een gezichtsherkenningsfunctie voor het ontgrendelen van een mobiele telefoon.[8]
Generatieve AI
Generatieve AI is te herkennen aan AI-chatbots die vaak gebruikt worden als eerste aanspreekpunt voor klanten om te helpen bij het navigeren door bijvoorbeeld een website of applicatie.[9] ChatGPT is een van de meest bekende generatieve AI op de markt, mede doordat deze vorm van AI, menselijke interactie kan nabootsen en zelf nieuwe en originele content kan genereren. Dit komt doordat generatieve AI in eerste instantie wordt getraind met een grote hoeveelheid data, gevolgd door een finetuning van het algoritme. Dit zorgt ervoor dat de generatieve AI, de instructies van een gebruiker goed kan opvolgen en zo accuraat mogelijk kan uitvoeren. Vervolgens wordt het algoritme meerdere keren getest (vaak door softwareontwikkelaars) en eventueel wordt er meer data toegevoegd om de ‘kennis’ van de AI te vergroten.[10] Generatieve AI kan hierdoor worden geïntegreerd in diverse soorten applicaties om hieruit op grote schaal instructies van gebruikers uit te voeren. Denk aan applicaties zoals Google AI of DALL E 2, waarbij de laatstgenoemde applicatie zelfs in staat is om originele content zoals afbeeldingen te genereren.[11] Desalniettemin, dergelijke AI-modellen zijn niet altijd getraind met de meest actuele gegevens (databronnen), wat de kwaliteit en betrouwbaarheid van de resultaten kunnen beïnvloeden. Dus wanneer de gebruikte databronnen regelmatig worden geactualiseerd, kan een generatief AI-model optimaal functioneren en fouten minimaliseren.[12]
AI en de AVG
Wanneer persoonsgegevens worden verwerkt als input bij het gebruik van een AI-model, moet hierbij worden voldaan aan de Algemene Verordening Gegevensbescherming (AVG).[13] Dezelfde regels gelden in dat geval als bij een andere verwerking van persoonsgegevens. Denk hierbij aan doel(binding), verwerkingsgrondslag, effectiviteit, proportionaliteit, subsidiariteit en data-integriteit, transparantie en veiligheid. Aspecten die extra aandacht verdienen bij het ‘bouwen’ en gebruiken van een AI-model zijn transparantie, dataminimalisatie, data-integriteit en privacy by design en default. ‘Privacy Enhancing Technologies’(PET’s) kunnen hierbij helpen. Een AI-model wordt vaak beschouwd als een ‘black box’, waardoor het moeilijk is om te achterhalen hoe het systeem gegevens heeft verwerkt.[14] Juist daarom is het van belang zo transparant mogelijk te zijn over het gebruik van het AI-model en de algoritmes en de verwerking van de persoonsgegevens daarbij. Tegelijkertijd draagt de verwerking van zo min mogelijk persoonsgegevens bij aan het beginsel van dataminimalisatie.
Daarnaast zijn AI-modellen sterk afhankelijk van de data. Hierdoor kan het resultaat of een gegenereerde ‘output’ direct een (grote) negatieve impact hebben op iemands rechten en vrijheden wanneer bijvoorbeeld op basis van ‘onjuiste’ persoonsgegevens een beslissing wordt gegenereerd. Zo kan dit bijvoorbeeld bijdragen aan discriminatie of ongelijkheid. Ga je zelf een AI-model (laten) ontwikkelen? Houd dan rekening met de principes van ‘privacy by design en ‘privacy by default’ en verdiep je in PET’s. Dit betekent dat je bovengenoemde privacyaspecten integreert in het AI-model en het AI-model zo privacy vriendelijk mogelijk ontwerpt om de rechten en vrijheden van de betrokkenen te beschermen. De Autoriteit Persoonsgegevens houdt sinds 1 januari 2024 ook toezicht hierop.
Data Protection Impact Assessment verplicht (DPIA)
Ook vloeit voort uit de AVG dat het verplicht is een Data Protection Impact Assessment (DPIA) uit te voeren, wanneer je gebruik wilt gaan maken van een AI-model waarbij persoonsgegevens verwerkt worden.[15] Dit komt doordat algoritmische systemen worden geclassificeerd als hoog risico systemen, met name wanneer ze bijvoorbeeld op grote schaal gebruik maken van persoonsgegevens, of elementen bevatten van geautomatiseerde besluitvorming, potentiële discriminatie of bevooroordeelde elementen.[16] Een DPIA biedt meer inzicht in de omvang van privacy risico’s, waardoor er passende maatregelen kunnen worden getroffen. Bovendien biedt het ontwikkelaars de mogelijkheid om privacy by design en default toe te passen, zodat de risico’s voor de rechten en vrijheden van personen verkleind kunnen worden.
Het recht op een menselijke blik bij besluitvorming
AI-modellen zijn in staat geautomatiseerde beslissingen te nemen op basis van persoonsgegevens. Dit geldt bijvoorbeeld voor het goed laten keuren of afwijzen van een parkeervergunning of hypotheekaanvraag. Dit kan aanzienlijke risico’s voor de rechten en vrijheden van de betrokken personen met zich meebrengen.[17] Volgens de AVG heb je daarom recht op een menselijke blik bij geautomatiseerde besluitvorming.[18] Om AI-modellen op een veilige manier in de praktijk in te zetten en de risico’s voor de rechten en vrijheden van een persoon te verminderen, speelt een menselijke blik een belangrijke rol. Een menselijke blik bij automatische besluitvorming kan bijdragen aan een controle op eventuele risico’s voor de rechten en vrijheden van de betrokkenen. Betrokkenen hebben ook het recht om een nieuw, door een persoon genomen besluit, te kunnen vragen als zij een geautomatiseerd besluit van een organisatie hebben ontvangen.
Impact Assessment Mensenrechten en Algoritmes (IAMA)
Een Impact Assessment Mensenrechten en Algoritmes (IAMA) kan ervoor zorgen dat kunstmatige intelligentie op een verantwoorde manier ingezet wordt. Dit impact assessment is bedoeld om de mogelijke effecten en risico’s van kunstmatige intelligentie aan de hand van een breder palet aan mensenrechten te beoordelen.[19] Aan de hand daarvan kunnen geïdentificeerde inbreuken op grond- of mensenrechten worden vastgesteld en kunnen er passende mitigerende maatregelen worden genomen. De verkregen resultaten van een IAMA kunnen worden geïntegreerd in andere instrumenten, zoals de DPIA.
Algoritme register
Door de toenemende aanwezigheid van AI-systemen op de markt groeit ook de behoefte aan meer inzicht in impactvolle AI-algoritmes.[20] In Nederland hebben we een algoritmeregister waar overheidsorganisaties impactvolle AI-algoritmes kunnen registreren en openbaar stellen aan het publiek. Het algoritme register kan je hier raadplegen. Het doel van het algoritme register is om op een transparante wijze alle AI-algoritmes die bij de overheid worden gebruikt, centraal vast te leggen. Op deze manier kunnen burgers geïnformeerd worden over de AI-systemen die in gebruik zijn, waardoor zij meer inzicht kunnen krijgen in hoe deze algoritmes werken.
De volgende impactvolle algoritmes kunnen worden geregistreerd volgens de overheid: algoritmes met autonome elementen (dit betekent dat een geautomatiseerde beslissing voor een betrokkenen kan genereren) en algoritmes die directe invloed hebben op iemands rechten zoals een algoritme bedoeld om een vingerafdruk te herkennen en te vergelijken om iemands identiteit te verifiëren. Maar denk bijvoorbeeld ook aan een algoritme die het verkeer kan monitoren.[21] Op dit moment is het nog niet verplicht voor overheidsinstanties om algoritmes te registreren. Dit zal naar verwachting zeker nog een jaar duren, mede vanwege de ontwikkelingen rond de AI act.[22]
AI Act
De AI Act is een Europese verordening waaraan zowel ontwikkelaars als gebruikers van AI-systemen aan specifieke vereisten moeten (gaan) voldoen. De nieuwe Europese verordening vormt een aanvulling op de AVG. De regels uit deze verordening leggen verplichtingen voor AI-systemen vast op basis van de potentiële risico’s en de mate van impact op individuele rechten en vrijheden van een persoon.[23] Bovendien maakt de verordening onderscheid tussen laag risico, hoog risico en verboden AI-systemen.[24] Bij AI-systemen met een laag risico kun je denken aan systemen die in staat zijn specifieke taken uit te voeren zoals de ‘virtual assistant’ van Google of Amazon’s Alexa. Hoog risico AI-systemen zijn systemen die mogelijk een negatief effect kunnen hebben op iemands vrijheden of grondrechten.[25] Een voorbeeld hiervan is een AI-systeem dat wordt ingezet om een persoon toegang te verlenen tot een opleiding of onderwijs.[26] Verboden AI-systemen omvatten bijvoorbeeld systemen die ‘beslissingen’ nemen die van invloed zijn op de rechten en vrijheden van individuen en deze beslissingen kunnen manipuleren met nadelige gevolgen voor de individuen. Daarnaast wordt er een verplichting tot ‘record-keeping’ geïntroduceerd voor hoog risico AI-systemen in de vorm van een logboek, en deze systemen moeten zodanig ontworpen zijn dat menselijk toezicht mogelijk is.[27] Een voorbeeld van een verboden AI systeem is een AI systeem dat op afstand biometrische gegevens verwerkt voor (massa)surveillance in een publieke ruimte. Denk hierbij bijvoorbeeld aan gezichtsherkenning in een publieke ruimte. Naar verwachting zal deze verordening in de loop van 2024 van kracht worden, met een verplichting voor organisaties en gebruikers om deze binnen twee jaar na de datum van inwerkingtreding na te leven.
Wat doet Lumen Group?
Als Functionaris Gegevensbescherming (FG) van meerdere (onderwijs)instellingen anticiperen wij op de ontwikkelingen omtrent AI. In onze periodieke bijpraatsessies worden de relevante ontwikkelingen samen besproken en adviezen gegeven over wat u als (onderwijs)instelling moet doen om de risico’s aan het gebruik van het AI zoveel mogelijk in te perken.
Tot slot: een organisatie specifieke DPIA kan veel werk voor uw organisatie opleveren. Uiteraard adviseren en ondersteunen wij u hierbij als uw FG, binnen het FG-abonnement. Echter, het is ook mogelijk dat wij u (als aanvullende dienst) ontzorgen op dit gebied door voor u een of meerdere organisatie specifieke DPIA(‘s) uit te voeren. Neem hierover gerust contact met ons op via fg@lumengroup.nl.
[1] Algoritmes & AI | Authoriteit Persoonsgegevens
[2] Overheidsbrede visie Generatieve AI
[3] Mosqueira-Rey, E., Hernández-Pereira, E., Alonso-Ríos, D. et al. Human-in-the-loop machine learning: a state of the art. Artif Intell Rev 56, 3005–3054 (2023).
[4] Janiesch, C., Zschech, P. & Heinrich, K. Machine learning and deep learning. Electron Markets 31, 685–695 (2021).
[5] Idem.
[6] Janiesch, C., Zschech, P. & Heinrich, K. Machine learning and deep learning. Electron Markets 31, 685–695 (2021).
[7] Human-in-the-loop machine learning: a state of the art | Artificial Intelligence Review (springer.com)
[8] Deep learning for face recognition on mobile devices – Ríos‐Sánchez – 2020 – IET Biometrics – Wiley Online Library
[9] Idem.
[10] Overheidsbrede visie Generatieve AI
[12] Bias is niet het grootste probleem van AI: hier ligt de uitdaging (businessinsider.nl)
[13] Regels bij gebruik van AI & algoritmes | Autoriteit Persoonsgegevens
[14] De FAST-principes van AI: fairness, accountability, safety, transparency – Boom Management
[15] Regels bij gebruik van AI & algoritmes | Autoriteit Persoonsgegevens
[16] Toezicht op AI & Algoritmes | Autoriteit Persoonsgegevens
[17] Artificiele Intelligentie Human-in-Command
[18] Art 22 lid 2 AVG
[19] Impact Assessment Mensenrechten en Algoritmes
[20] Rapportage AI- & algoritmerisico’s Nederland – najaar 2023.pdf
[21] Identiteitsverificatie op basis van vingerafdruk voor opname in reisdocument – Rijksdienst Voor Identiteitsgegevens – Het Algoritmeregister van de Nederlandse overheid
[22] Idem.
[23] Voorlopig politiek akkoord EU-eisen ontwikkeling kunstmatige intelligentie | Nieuwsbericht | Rijksoverheid.nl
[24] Art 1 Voorstel voor een Wet op de Artificiële Intelligentie (AI Act)
[25] EU AI Act: first regulation on artificial intelligence
[26] Hoog-risico AI systemen – concept AI verordening – Legal AIR
[27] Art 12 Voorstel voor een Wet op de Artificiële Intelligentie (AI Act)
