AI-verordening vs AVG: verschillen en overlap
Hoe de AI-verordening en de AVG verschillen in reikwijdte, verplichtingen, boetes en handhaving, en waar ze overlappen.
Aanbieders en gebruiksverantwoordelijken van AI-systemen die persoonsgegevens in de EU verwerken, moeten de AI-verordening en de AVG naleven. Onverminderd artikel 4 bis en 59 laat de AI-verordening de AVG onverlet (artikel 2, lid 7).
De AVG geldt sinds 25 mei 2018. De AI-verordening geldt gefaseerd vanaf 2 februari 2025. Boetes onder de AI-verordening bedragen tot 35 miljoen EUR of 7 % van de totale wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99, lid 3). Onder de AVG zijn het tot 20 miljoen EUR of 4 %, als dat bedrag hoger is (artikel 83, lid 5). Volgende stap: koppel de rollen van elk AI-systeem aan beide wetten.
De twee wetten verschillen in reikwijdte, risicobenadering, verplichtingen, boetes en handhaving
| Onderwerp | EU AI-verordening | AVG |
|---|---|---|
| Reikwijdte | AI-systemen die in de EU in de handel worden gebracht of in gebruik worden gesteld, GPAI-modellen die in de EU in de handel worden gebracht, in de EU gevestigde of gelegen gebruiksverantwoordelijken, en aanbieders en gebruiksverantwoordelijken elders van wie de output in de EU wordt gebruikt (artikel 2, lid 1) | Verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of verwerker in de EU, en verwerking van gegevens van personen in de EU door anderen die hun goederen of diensten aanbieden of hun gedrag in de EU monitoren (artikel 3) |
| Risicobenadering | Regels naar risico: verboden praktijken (artikel 5), hoogrisico-AI-systemen (artikel 6) en transparantieverplichtingen (artikel 50), plus aparte regels voor GPAI-modellen | De verplichtingen groeien met het risico. Voor verwerking die waarschijnlijk een hoog risico inhoudt, is een gegevensbeschermingseffectbeoordeling (DPIA) vereist (artikel 35) |
| Belangrijkste verplichtingen | Voor hoogrisico-AI-systemen: risicobeheer, datagovernance, technische documentatie, registratie, transparantie, menselijk toezicht, nauwkeurigheid, robuustheid en cyberbeveiliging (artikel 9 tot en met 15) | Een rechtsgrond, doelbinding, gegevensminimalisatie en de rechten van betrokkenen (artikelen 5, 6 en 12 tot en met 22) |
| Maximale boetes | Tot 35 miljoen EUR of 7 % van de totale wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99, lid 3) | Tot 20 miljoen EUR of 4 % van de totale wereldwijde jaaromzet, als dat bedrag hoger is (artikel 83, lid 5) |
| Handhaving | Nationale markttoezichtautoriteiten. Het AI-bureau van de Commissie is exclusief bevoegd voor GPAI-modellen en voor sommige AI-systemen: die welke door dezelfde aanbieder op een GPAI-model zijn gebaseerd (met uitzonderingen) en die welke zijn geïntegreerd in zeer grote onlineplatforms of zeer grote onlinezoekmachines (artikel 75 en 88) | De nationale gegevensbeschermingsautoriteiten (toezichthoudende autoriteiten) (artikel 51) |
| Toepassingsdatum | Gefaseerd van 2 februari 2025 tot 2 augustus 2028, met enkele data tot 2 augustus 2030 (artikel 113) | Sinds 25 mei 2018 (artikel 99, lid 2) |
Op deze gebieden overlappen de wetten elkaar en gelden beide
Geautomatiseerde besluitvorming
Artikel 22 AVG geeft mensen het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit dat rechtsgevolgen heeft of hen anderszins in aanmerkelijke mate treft, behoudens de uitzonderingen van artikel 22, lid 2. De AI-verordening eist dat hoogrisicosystemen effectief menselijk toezicht mogelijk maken (artikel 14). Zij geeft ook een persoon die wordt getroffen door een besluit van een gebruiksverantwoordelijke op basis van de output van een hoogrisicosysteem uit bijlage III (behalve kritieke infrastructuur) recht op uitleg, wanneer het besluit rechtsgevolgen heeft of de persoon anderszins aanmerkelijk treft en die persoon het als nadelig voor zijn gezondheid, veiligheid of grondrechten beschouwt. Dit geldt alleen voor zover het Unierecht dat recht niet al toekent (artikel 86).
Transparantie
De AVG verplicht verwerkingsverantwoordelijken mensen te informeren over de verwerking van hun gegevens (artikel 13 en 14). De AI-verordening verplicht aanbieders gebruiksverantwoordelijken een gebruiksaanwijzing voor hoogrisicosystemen te geven (artikel 13) en vereist bij sommige systemen mededelingen aan mensen (artikel 50). Beide kunnen op hetzelfde systeem van toepassing zijn.
Gegevenskwaliteit en vooringenomenheid
Artikel 5, lid 1, punt d), AVG eist dat persoonsgegevens juist zijn. De AI-verordening eist dat trainings-, validatie- en testdata van hoogrisicosystemen aan kwaliteitscriteria voldoen, inclusief een onderzoek naar mogelijke vooringenomenheid (artikel 10). Aanbieders mogen bij uitzondering bijzondere categorieën van persoonsgegevens verwerken om vooringenomenheid op te sporen en te corrigeren, onder strikte voorwaarden (artikel 4 bis).
Effectbeoordelingen
Waar van toepassing gebruiken gebruiksverantwoordelijken van hoogrisicosystemen de informatie van de aanbieder op grond van artikel 13 voor hun gegevensbeschermingseffectbeoordeling onder de AVG (artikel 26, lid 9). Een beoordeling van de gevolgen voor de grondrechten op grond van artikel 27 kan naar die beoordeling verwijzen (artikel 27, lid 4).
Deze verschillen bepalen wat u onder elke wet moet doen
Wat wordt geregeld
De AVG regelt de verwerking van persoonsgegevens. De AI-verordening regelt AI-systemen en AI-modellen voor algemene doeleinden, ongeacht of ze persoonsgegevens verwerken.
Wie de verplichtingen draagt
De AVG richt zich tot verwerkingsverantwoordelijken en verwerkers. De AI-verordening richt zich tot aanbieders, gebruiksverantwoordelijken, importeurs, distributeurs en andere operatoren. De rollen komen niet één op één overeen, dus controleer de definities van elke wet (AI-verordening artikel 3, AVG artikel 4).
Documentatie-eisen
De AVG vereist een register van verwerkingsactiviteiten (artikel 30) en gegevensbeschermingseffectbeoordelingen (artikel 35). De AI-verordening vereist technische documentatie (artikel 11), een conformiteitsbeoordeling (artikel 43) en, voor sommige gebruiksverantwoordelijken, een beoordeling van de gevolgen voor de grondrechten (artikel 27). Het ene vervangt het andere niet.
Veelgestelde vragen
Volstaat naleving van de AVG voor de AI-verordening?
Nee. De AI-verordening stelt aparte verplichtingen, zoals risicobeheer voor hoogrisicosystemen (artikel 9) en technische documentatie (artikel 11). Onverminderd artikel 4 bis en 59 laat zij de AVG onverlet (artikel 2, lid 7), dus beide wetten gelden.
Kunnen twee autoriteiten optreden tegen hetzelfde AI-systeem?
Ja. Een gegevensbeschermingsautoriteit handhaaft de AVG en een markttoezichtautoriteit de AI-verordening, elk binnen de eigen wet. Als een autoriteit een boete op grond van de AI-verordening vaststelt, houdt zij rekening met boetes die andere autoriteiten al hebben opgelegd voor dezelfde activiteit (artikel 99, lid 7, punt c)).
Gerelateerde gidsen
Verboden AI-praktijken volgens artikel 5 AI-verordening
De tien verboden praktijken. Artikel 5 laat artikel 9 AVG onverlet voor biometrische gegevens buiten de rechtshandhaving.
AI-verordening: tijdlijn van deadlines van 2024 tot 2030
Elke toepassingsdatum van de AI-verordening, met het bijbehorende artikel.
Scanara bereidt bewijs voor vanuit uw repositories
Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.