Ga naar de hoofdinhoud
Praxikon
DPIA-intake

Gratis Agent-check · AI Act en AVG

Agent-check: welke regels gelden voor uw AI-agent?

Door , AI- en privacyjuristBijgewerkt

Het korte antwoord

Een AI-agent is in de regel een AI-systeem in de zin van de AI Act (artikel 3 punt 1) en valt onder de AVG zodra er persoonsgegevens mee worden verwerkt. Wat er precies geldt, hangt af van uw rol, de taak van de agent en wat hij zelf mag doen. Deze check zet dat voor u op een rij.

Beantwoord negen vragen over de toepassing en vijf over de agent. U ziet direct welke plichten uit de AI Act en de AVG waarschijnlijk gelden, met het artikel bij elke conclusie, een oordeel over vijf risico's die bij agents horen en een voorgevulde regel voor uw agentregister. De DPIA-intake en het FRIA-concept kunt u daarna in Word per mail ontvangen.

  • Gratis
  • Vijf minuten
  • Berekend in uw browser

Achtergrond: de gids AI-agents en de wet

Over de toepassing

Negen vragen uit de DPIA-intake: wie u bent, wat de agent doet en met welke gegevens.

1. Wat voor organisatie zet het systeem in?

Open: onbekend blijft een open vraag

2. Wat is de rol van die organisatie bij het AI-systeem?

Open: onbekend blijft een open vraag

3. Is het een AI-systeem: leidt het uit gegevens zelf af wat de uitkomst is (machine learning, taalmodel), in plaats van alleen vaste regels die een mens heeft geschreven?

Een systeem dat alleen vaste regels uitvoert die mensen hebben opgesteld, zoals een rekenregel of een uitgeschreven beslisboom, is geen AI-systeem. Een model dat uit voorbeelden is getraind wel, ook als het na de ingebruikname niet verder leert. Een expertsysteem dat met vastgelegde kennis zelf conclusies trekt, kan ook een AI-systeem zijn.

Open: onbekend blijft een open vraag

4. Worden er persoonsgegevens verwerkt (gegevens over herkenbare mensen)?

Open: onbekend blijft een open vraag

5. Waarvoor wordt het systeem gebruikt?

Deze gebieden staan in bijlage III of bijlage I van de AI Act. Een verzekering telt alleen bij risico en prijs van een levens- of ziektekostenverzekering; kies bij een andere verzekering, of bij fraudeopsporing, "Geen van deze".

Open: onbekend blijft een open vraag

6. Maakt het systeem een score, rangschikking of voorspelling over personen (profilering)?

Scoort het systeem bedrijven, zoals inrichtingen, aangevers of vergunninghouders? Dan ja als daar eenmanszaken, vof's of andere ondernemers bij zitten die een natuurlijk persoon zijn: gegevens over hen zijn persoonsgegevens. Alleen rechtspersonen, zoals bv's en nv's: nee.

Open: onbekend blijft een open vraag

7. Valt de beslissing over een persoon zonder dat een mens de zaak inhoudelijk beoordeelt?

Ook ja als een mens alleen een deel ziet, bijvoorbeeld alleen de top tien, en de anderen zonder menselijke toets een besluit krijgen dat hen raakt, zoals een afwijzing. Wie alleen niet wordt geselecteerd voor nader onderzoek, krijgt daarmee nog geen besluit.

Open: onbekend blijft een open vraag

8. Heeft de uitkomst rechtsgevolgen of treft ze mensen in aanmerkelijke mate (uitkering, baan, lening, onderzoek, examen)?

Open: onbekend blijft een open vraag

9. Doet het systeem een of meer van deze dingen?

Over de agent

Vijf vragen over wat de agent zelf kan. Daar zitten de risico's die een gewone check mist.

1. Wat kan de agent zelf doen, zonder dat een mens tussenkomt?

Kies alles wat van toepassing is.

2. Welke inhoud van buiten leest de agent?

Inhoud die u niet zelf in de hand hebt. Daarin kan een verborgen opdracht staan.

3. Kan de agent vertrouwelijke gegevens inzien?

Persoonsgegevens, klantdossiers, bedrijfsgeheimen of inloggegevens.

4. Waar keurt een mens goed voordat de agent handelt?
5. Wordt vastgelegd wat de agent doet, en kunt u hem stoppen?

Zo werkt het

Van vragen naar een regel in uw register

  1. 01

    De toepassing

    Negen vragen uit de DPIA-intake: uw rol, de taak van de agent en de gegevens.

  2. 02

    De agent

    Vijf vragen over wat de agent zelf kan: acties, inhoud van buiten, vertrouwelijke gegevens, goedkeuring en logging.

  3. 03

    Het oordeel

    Vijf punten over de agent, het oordeel van de casus-check onder de AI Act en de AVG, en uw regel voor het agentregister.

Veelgestelde vragen

Over de Agent-check

Wat is de Agent-check?

Een gratis hulpmiddel van Praxikon dat laat zien welke regels uit de AI Act en de AVG waarschijnlijk gelden voor een AI-agent, en hoe het staat met vijf risico's die bij agents horen: de gevaarlijke driehoek, menselijke goedkeuring, melden dat het AI is, logging en noodstop, en leveranciers. Het gebruikt dezelfde vaste regels als de DPIA-intake, plus vijf toetsen voor agents.

Wat gebeurt er met mijn antwoorden?

Het oordeel wordt in uw browser berekend. De antwoorden over de agent verlaten uw browser niet. De antwoorden over de toepassing gaan alleen naar de server als u zelf iets per mail aanvraagt, zoals de DPIA-intake of het rapport onder het oordeel.

Wat is de gevaarlijke driehoek?

Een agent die vertrouwelijke gegevens kan inzien, inhoud van buiten leest en zelf iets naar buiten kan sturen, kan via een verborgen opdracht in een mail of webpagina gegevens laten wegsturen. Haal één van de drie weg, of laat een mens elk bericht naar buiten goedkeuren.

Is dit juridisch advies?

Nee. De check geeft een eerste oordeel op basis van uw antwoorden, de wettekst, de richtsnoeren van de Commissie, de waarschuwing van de Autoriteit Persoonsgegevens en de OWASP-lijst voor agents. Wilt u dat een jurist meekijkt en het oordeel aftekent, dan kan dat via Praxikon.