Wanneer is een DPIA verplicht bij AI? Stappenplan 2026

Kort antwoord: een DPIA is verplicht als de verwerking van persoonsgegevens door uw AI-systeem waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van mensen (artikel 35 lid 1 AVG). Dat is in ieder geval zo bij de drie gevallen van artikel 35 lid 3: geautomatiseerde beoordeling of profilering waarop besluiten met rechtsgevolgen worden gebaseerd, grootschalige verwerking van bijzondere of strafrechtelijke gegevens, en stelselmatige en grootschalige monitoring van openbare ruimten. Ook verplicht is een DPIA voor elke verwerking op de lijst van verplichte DPIA's van de Autoriteit Persoonsgegevens, zoals profilering, fraudebestrijding, creditscores en controle van werknemers. Valt uw systeem daar niet onder, dan toetst u aan de negen criteria uit de richtsnoeren die de EDPB heeft bekrachtigd: bij twee of meer is in de meeste gevallen een DPIA nodig. Alleen een AI-systeem dat helemaal geen persoonsgegevens verwerkt, valt er zeker buiten.

Zoekt u alleen het ja of nee? Het korte antwoord op de vraag of een DPIA verplicht is staat op één pagina.

De functionaris gegevensbescherming van een zorgverzekeraar krijgt een vraag van de afdeling innovatie: "We willen een AI-model inzetten dat claimgedrag voorspelt. Moeten we daar iets mee?" Het antwoord is ja, en wat zij ermee moet is een DPIA. Maar niet zomaar een DPIA. Een die specifiek is ingericht op de risico's die AI-systemen met zich meebrengen.

De Data Protection Impact Assessment (DPIA), in het Nederlands de gegevensbeschermingseffectbeoordeling (GEB), is geen nieuw instrument. Artikel 35 van de AVG schrijft het al voor sinds 2018. Maar de opkomst van AI-systemen die op steeds grotere schaal persoonsgegevens verwerken, maakt de DPIA relevanter dan ooit. En met de EU AI Act, in werking sinds 1 augustus 2024 en stap voor stap van toepassing (artikel 113), ontstaat er een nieuw speelveld waarin de DPIA naast de FRIA (Fundamental Rights Impact Assessment) een eigen rol speelt. Die FRIA-plicht geldt sinds de Digital Omnibus (Verordening (EU) 2026/1744) vanaf 2 december 2027; voor systemen die al vóór die datum in gebruik zijn en bedoeld zijn voor overheidsinstanties, uiterlijk 2 augustus 2030 (artikel 111 lid 2).

In dit artikel leest u in vijf stappen of een DPIA verplicht is, hoe u die uitvoert voor AI, wat de Autoriteit Persoonsgegevens verwacht, en hoe u de DPIA combineert met de verplichtingen uit de AI Act.

Wanneer is een DPIA verplicht bij AI? In vijf stappen

Artikel 35 lid 1 AVG stelt dat een DPIA verplicht is wanneer een verwerking "waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen." Bij AI-systemen die persoonsgegevens verwerken is dat vaak het geval, maar de wet geeft een vaste volgorde om het te bepalen. Loop deze vijf stappen in deze volgorde door.

Stap 1: verwerkt het AI-systeem persoonsgegevens?

De AVG geldt alleen voor persoonsgegevens. Kijk daarbij niet alleen naar de invoer: ook trainingsdata, prompts, logbestanden en de uitkomst die het systeem over een persoon geeft, kunnen persoonsgegevens zijn. Verwerkt het systeem geen enkel persoonsgegeven, bijvoorbeeld een model dat productieprocessen optimaliseert op basis van machinegegevens, dan is er geen DPIA-plicht. In alle andere gevallen gaat u door naar stap 2.

Stap 2: valt het onder een van de drie gevallen van artikel 35 lid 3?

In deze drie situaties is een DPIA altijd verplicht:

a) Geautomatiseerde beoordeling met rechtsgevolgen. Een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waarop besluiten worden gebaseerd met rechtsgevolgen of vergelijkbare ingrijpende gevolgen. Denk aan een AI-systeem dat bepaalt of iemand een lening krijgt, een verzekering mag afsluiten of in aanmerking komt voor een uitkering. Dit is voor AI-systemen de meest voorkomende trigger.

b) Grootschalige verwerking van bijzondere of strafrechtelijke gegevens. Wanneer uw AI-systeem op grote schaal bijzondere persoonsgegevens (artikel 9, zoals gezondheidsgegevens of biometrische gegevens om iemand uniek te identificeren) of strafrechtelijke gegevens (artikel 10) verwerkt. Een AI-model dat op grote schaal medische beelden analyseert, valt hier direct onder.

c) Stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten. Camerasystemen met gezichtsherkenning, crowd-analyse met AI of slimme sensoren in de openbare ruimte. De combinatie van AI en toezicht is een klassieke DPIA-trigger.

Valt uw toepassing hieronder, dan is de DPIA verplicht. Zo niet, ga door naar stap 3.

Stap 3: staat de verwerking op de AP-lijst?

Op grond van artikel 35 lid 4 heeft de Autoriteit Persoonsgegevens een lijst vastgesteld van 17 soorten verwerkingen waarvoor u vooraf een DPIA moet doen (Staatscourant 2019, nr. 64418). Voor AI-toepassingen zijn vooral deze categorieën relevant:

• Profilering en observatie en beïnvloeding van gedrag
• Fraudebestrijding, zwarte lijsten en heimelijk onderzoek
• Creditscores en de financiële situatie van mensen
• Controle van werknemers
• Biometrische gegevens, gezondheidsgegevens en genetische gegevens
• Cameratoezicht, locatiegegevens, communicatiegegevens en internet of things

Let op: de AP stelt bij elke categorie een eigen voorwaarde, vaak dat het om grootschalige of stelselmatige verwerking gaat. Lees daarom de omschrijving bij de categorie die op uw toepassing lijkt. De volledige lijst met die voorwaarden staat op onze pagina over de AP-lijst van verplichte DPIA's. De lijst is niet uitputtend: staat uw verwerking er niet op, dan kan een DPIA toch verplicht zijn. Daarvoor is stap 4.

Stap 4: toets aan de negen criteria uit de EDPB-richtsnoeren

Staat de verwerking niet in stap 2 of 3, dan beoordeelt u zelf of er waarschijnlijk een hoog risico is. De richtsnoeren van de vroegere Artikel 29-werkgroep, die de EDPB heeft bekrachtigd (WP248 rev.01), noemen negen criteria:

1. Evaluatie of scoretoekenning, waaronder profilering en voorspelling
2. Geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare wezenlijke gevolgen
3. Stelselmatige monitoring
4. Gevoelige gegevens of gegevens van zeer persoonlijke aard
5. Verwerking op grote schaal
6. Matching of combineren van datasets
7. Gegevens over kwetsbare betrokkenen, zoals werknemers, kinderen of patiënten
8. Innovatief gebruik of toepassing van nieuwe technologische of organisatorische oplossingen
9. Verwerking die betrokkenen verhindert een recht uit te oefenen of een dienst of overeenkomst te gebruiken

Voldoet de verwerking aan twee of meer criteria, dan is volgens de richtsnoeren in de meeste gevallen een DPIA nodig. Een nieuwe AI-toepassing kan onder criterium 8 vallen, en wie AI inzet op het eigen personeel raakt criterium 7, want werknemers gelden in de richtsnoeren als kwetsbare betrokkenen. Eén extra criterium kan dan al genoeg zijn.

Stap 5: leg de uitkomst vast, ook als u geen DPIA doet

Concludeert u dat er geen DPIA nodig is terwijl de verwerking wel aan een of meer criteria voldoet, onderbouw dat dan en leg de redenen vast; dat vragen de richtsnoeren uitdrukkelijk. Een DPIA is niet nodig als:

• het AI-systeem geen persoonsgegevens verwerkt (stap 1);
• één DPIA al een reeks vergelijkbare verwerkingen met vergelijkbare hoge risico's dekt (artikel 35 lid 1, laatste zin);
• de verwerking berust op een wettelijke grondslag waarbij bij de vaststelling al een algemene effectbeoordeling is gemaakt, tenzij de lidstaat een DPIA toch nodig vindt (artikel 35 lid 10).

Is de DPIA verplicht, dan voert u hem uit vóór de verwerking begint (artikel 35 lid 1). En ook als een DPIA formeel niet verplicht is, kan het verstandig zijn er een te doen: het helpt u aantonen dat u de AVG naleeft (verantwoordingsplicht, artikel 5 lid 2).

Wat maakt een DPIA voor AI anders?

Een DPIA voor een traditioneel informatiesysteem (een CRM, een HR-database) is relatief overzichtelijk. U weet welke data erin gaat, wat ermee gebeurt en wat eruit komt. Bij AI-systemen is dat fundamenteel anders.

Ondoorzichtigheid van het model

Bij veel AI-systemen, met name deep learning-modellen, is het moeilijk of onmogelijk om precies uit te leggen hoe het model tot een bepaalde uitkomst komt. Dit raakt direct aan het transparantiebeginsel uit de AVG (artikel 5 lid 1 onder a) en aan de waarborgen bij geautomatiseerde besluitvorming (artikel 22 lid 3). In uw DPIA beschrijft u hoe u met deze ondoorzichtigheid omgaat.

Trainingsdata als risicobron

Het AI-model is zo goed als de data waarop het is getraind. Bias in trainingsdata leidt tot discriminerende uitkomsten. In uw DPIA beoordeelt u de herkomst, kwaliteit en representativiteit van trainingsdata. Vragen die u moet beantwoorden:

• Zijn de trainingsdata representatief voor de populatie waarop het model wordt toegepast?
• Bevatten de trainingsdata historische vooroordelen die het model kan reproduceren?
• Zijn de trainingsdata rechtmatig verkregen en is er een geldige grondslag voor het gebruik?
• Hoe gaat u om met persoonsgegevens in de trainingsset na het trainen?

Model drift en continue verandering

Anders dan traditionele systemen kunnen AI-modellen in de loop van de tijd veranderen. Een model dat wordt bijgetraind (fine-tuning) of dat werkt met realtime data (online learning) kan langzaam afwijken van het oorspronkelijke gedrag. Uw DPIA is dus geen eenmalig document, maar een levend instrument dat u periodiek herziet.

Emergent gedrag

Grote taalmodellen en andere generatieve AI-systemen kunnen onverwacht gedrag vertonen dat niet direct voortvloeit uit de trainingsdata of de systeemconfiguratie. In uw DPIA beschrijft u hoe u monitort op onvoorzien gedrag en welke maatregelen u treft als het model zich onverwacht gedraagt.

De DPIA stap voor stap uitvoeren

De AVG schrijft in artikel 35 lid 7 vier minimumonderdelen voor de inhoud van een DPIA voor. Hieronder werken we elk onderdeel uit met specifieke aandachtspunten voor AI-systemen.

Onderdeel 1: beschrijf de verwerking systematisch

Begin met een complete beschrijving van het AI-systeem en hoe het persoonsgegevens verwerkt.

Beschrijf allereerst het AI-systeem zelf: wat voor type model is het (regelgebaseerd, machine learning, deep learning, generatief), wat is de functie ervan en welke beslissingen ondersteunt of neemt het? Wie is de aanbieder (provider) en wie de gebruiksverantwoordelijke (deployer)? Welke invoer ontvangt het systeem en welke uitkomst levert het?

Breng vervolgens de datastromen in kaart. Welke persoonsgegevens gaan het systeem in als directe invoer, trainingsdata of contextdata? Hoe worden die gegevens verwerkt binnen het model? Waar worden ze opgeslagen: lokaal, in de cloud of bij de aanbieder? En worden gegevens gedeeld met derden, zoals API-aanbieders of cloudaanbieders?

Identificeer daarna de betrokkenen: welke categorieën personen worden geraakt, hoeveel personen dat potentieel zijn, en of er kwetsbare groepen bij betrokken zijn, zoals minderjarigen, patiënten of werknemers.

Ten slotte legt u de rechtsgrondslag vast. Op welke grondslag uit artikel 6 AVG is de verwerking gebaseerd? Bij bijzondere persoonsgegevens: welke uitzondering uit artikel 9 lid 2 is van toepassing? En bij geautomatiseerde besluitvorming: geldt er een uitzondering op grond van artikel 22 lid 2?

Onderdeel 2: beoordeel noodzaak en evenredigheid

Dit is de stap waar veel organisaties te snel overheen gaan. U moet aantonen dat het gebruik van AI-technologie noodzakelijk en evenredig is voor het doel dat u wilt bereiken.

Begin bij doelbinding: is het doel van de AI-verwerking welbepaald, uitdrukkelijk omschreven en gerechtvaardigd? Kan hetzelfde doel worden bereikt zonder AI of met minder ingrijpende middelen? Als een eenvoudige beslisboom hetzelfde resultaat oplevert, is een complex neuraal netwerk moeilijk te rechtvaardigen.

Kijk vervolgens naar minimale gegevensverwerking. Verwerkt het AI-systeem alleen de persoonsgegevens die strikt noodzakelijk zijn? Veel AI-modellen worden getraind op meer data dan nodig, simpelweg omdat die data beschikbaar is. Dat is geen geldige rechtvaardiging.

Beoordeel ook de opslagbeperking: hoe lang worden persoonsgegevens bewaard en zijn trainingsdata na het trainen nog herleidbaar tot personen? En ten slotte de juistheid: hoe waarborgt u dat de uitkomst van het AI-systeem klopt, en welk foutpercentage is aanvaardbaar gezien de impact op betrokkenen?

Onderdeel 3: identificeer en beoordeel de risico's

Hier wordt de DPIA AI-specifiek. Naast de gewone privacyrisico's kijkt u bij AI-systemen naar vijf aanvullende risicocategorieën. Wilt u die AI-vragen als vaste module aan uw bestaande DPIA-sjabloon toevoegen, met per onderdeel het bewijs dat erbij hoort, gebruik dan de AI-aanvulling op uw DPIA.

Discriminatie en bias is het meest besproken risico. Kan het model systematisch bepaalde groepen benadelen op basis van beschermde kenmerken? Hoe test u op bias voor en na ingebruikname, en welke fairness-maatstaven hanteert u? Een AI-systeem dat sollicitanten beoordeelt en structureel vrouwen lager scoort, is niet alleen onethisch maar ook in strijd met de AVG en het gelijkebehandelingsrecht.

Bij onrechtmatige profilering onderzoekt u of het systeem profielen van personen maakt op basis van hun gedrag, locatie of andere kenmerken. Kloppen die profielen, en worden ze gebruikt voor doelen die betrokkenen redelijkerwijs kunnen verwachten?

Verlies van autonomie gaat over de vraag in hoeverre het AI-systeem bepaalt wat mensen te zien krijgen, welke keuzes ze kunnen maken of hoe ze worden beoordeeld. Is er betekenisvolle menselijke tussenkomst mogelijk, of werkt het systeem in de praktijk als een black box die beslissingen dicteert?

Beoordeel ook de beveiligingsrisico's: hoe kwetsbaar is het model voor adversarial attacks, data poisoning of model extraction? En wat gebeurt er als het model wordt gecompromitteerd?

Ten slotte de transparantierisico's. Weten betrokkenen dat ze met een AI-systeem te maken hebben? En kunnen ze begrijpen hoe het systeem tot een beslissing komt? Bij complexe modellen is volledige uitlegbaarheid vaak niet haalbaar, maar u beschrijft wel welke stappen u neemt om zo transparant mogelijk te zijn.

Onderdeel 4: beschrijf de maatregelen

Voor elk geïdentificeerd risico beschrijft u welke maatregelen u neemt om het te beperken.

Bij AI-systemen zijn de meest voorkomende maatregelen: periodieke bias-audits om te testen op eerlijkheid en discriminatie, uitlegbaarheidstools zoals SHAP of LIME om modeluitkomsten te verklaren, en een human-in-the-loop-opzet waarbij een mens meekijkt bij beslissingen met grote impact.

Daarnaast is continue monitoring essentieel: u houdt model drift, prestatieverlies en onverwacht gedrag in de gaten. Richt solide data governance in met kwaliteitscontroles op trainingsdata en documentatie van de herkomst. Beperk via toegangscontrole wie het model kan aanroepen en welke data het kan benaderen. En zorg voor een incidentprocedure die beschrijft wat er gebeurt als het AI-systeem foutieve of schadelijke uitkomsten geeft.

De rol van de FG bij AI-systemen

De functionaris gegevensbescherming (FG, of DPO in het Engels) heeft een wettelijke adviesrol bij de DPIA: heeft u een FG aangewezen, dan winnt u zijn advies in (artikel 35 lid 2 AVG). Bij AI-systemen is die rol extra belangrijk.

Betrek de FG in een vroeg stadium, niet pas wanneer het systeem al is ingekocht of gebouwd. Raadpleeg de FG bij de selectie van een AI-leverancier (welke data gaat naar de aanbieder?), bij het ontwerp van de datastromen (welke persoonsgegevens zijn echt nodig?), bij de testfase (zijn de testresultaten aanvaardbaar voor de privacy?), bij de beslissing om het systeem in productie te nemen, en bij elke wezenlijke wijziging aan het model of de data.

Leg het advies van de FG en de opvolging ervan vast in de DPIA. Zo kunt u bij een controle laten zien wat er met het advies is gedaan. Hoe de FG die rol structureel invult naast de rest van de AI-governance, en waar die rol ophoudt, staat in AI-governance via de privacyfunctie.

Voorafgaande raadpleging: wanneer naar de AP?

Een vaak vergeten verplichting: artikel 36 AVG schrijft voor dat u de Autoriteit Persoonsgegevens raadpleegt wanneer de DPIA uitwijst dat de verwerking een hoog risico zou opleveren als u geen maatregelen neemt om het te beperken.

Bij AI-systemen komt dit vaker voor dan bij traditionele systemen. De ondoorzichtigheid van modellen, de kans op bias en de schaal van verwerking maken het moeilijker om alle risico's naar een aanvaardbaar niveau terug te brengen.

De procedure werkt als volgt:

1. U legt de DPIA voor aan de AP, samen met een beschrijving van de maatregelen die u al hebt genomen (artikel 36 lid 3)
2. De AP geeft binnen 8 weken schriftelijk advies; die termijn kan met 6 weken worden verlengd (artikel 36 lid 2)
3. De AP kan daarbij haar bevoegdheden gebruiken, tot en met een verbod op de verwerking (artikel 58)

In de praktijk raden we aan om de AP vroegtijdig te informeren wanneer u een AI-systeem wilt inzetten voor geautomatiseerde besluitvorming met grote impact op burgers.

DPIA en de EU AI Act: dubbele verplichtingen

Sinds de EU AI Act van kracht is, kunnen organisaties te maken krijgen met zowel een DPIA-verplichting (AVG) als een FRIA-verplichting (AI Act, artikel 27). Dit zijn twee verschillende beoordelingen met een verschillende focus.

De DPIA vindt haar grondslag in artikel 35 AVG en richt zich op de bescherming van persoonsgegevens. Toezichthouder is de Autoriteit Persoonsgegevens. Een ontbrekende of gebrekkige DPIA valt onder de boetecategorie van artikel 83 lid 4 AVG: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Elke verwerkingsverantwoordelijke met een verwerking die waarschijnlijk een hoog risico oplevert, moet een DPIA uitvoeren.

De FRIA is gebaseerd op artikel 27 van de AI Act en kijkt breder dan privacy: naar alle grondrechten die een AI-systeem kan raken. De uitkomst meldt de gebruiksverantwoordelijke aan de markttoezichtautoriteit (artikel 27 lid 3). De plicht geldt alleen voor bepaalde gebruiksverantwoordelijken van hoog-risicosystemen uit bijlage III (behalve punt 2, kritieke infrastructuur): publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, en wie AI inzet voor kredietwaardigheid of voor levens- en ziektekostenverzekeringen (bijlage III punt 5 onder b en c). Een eigen boeteplafond voor artikel 27 noemt de AI Act niet; de sancties volgen uit nationale regels (artikel 99 lid 1).

De vijf belangrijkste verschillen en de gecombineerde aanpak staan in onze vergelijking: het verschil tussen DPIA en FRIA.

Hoe combineert u DPIA en FRIA?

Artikel 27 lid 4 van de AI Act laat u in de FRIA verwijzen naar de delen van de DPIA die een verplichting al afdekken, of die delen overnemen. In de praktijk betekent dit:

1. Start met de DPIA (die is breder qua scope voor gegevensbescherming)
2. Voeg de FRIA-onderdelen van artikel 27 lid 1 toe als aparte secties (non-discriminatie, menselijke waardigheid, toegang tot de rechter, enzovoort)
3. Documenteer per recht zowel de privacy-impact als de bredere grondrechten-impact
4. Gebruik een template dat beide beoordelingen afdekt

Conformiteitsbeoordeling: de derde laag

Naast DPIA en FRIA kent de AI Act ook de conformiteitsbeoordeling (artikel 43) voor aanbieders van hoog-risico-AI-systemen. Waar de DPIA naar risico's van de gegevensverwerking kijkt en de FRIA naar grondrechtenrisico's, richt de conformiteitsbeoordeling zich op technische en organisatorische eisen, zoals de documentatie van bijlage IV en het kwaliteitsbeheersysteem. Als aanbieder van een hoog-risico-AI-systeem heeft u er mogelijk alle drie mee te maken. Als gebruiksverantwoordelijke doorgaans de DPIA, en de FRIA als u onder artikel 27 valt.

Praktijkvoorbeelden

Voorbeeld 1: AI-chatbot voor klantenservice

Een telecombedrijf wil een AI-chatbot inzetten die klantgegevens kan inzien om vragen te beantwoorden.

DPIA-trigger: grootschalige verwerking van persoonsgegevens en innovatieve technologie (criteria 5 en 8 uit stap 4).

Specifieke risico's:

• De chatbot kan per ongeluk persoonsgegevens van klant A tonen aan klant B (datalek)
• Het model kan getraind zijn op klantgesprekken zonder geldige grondslag
• Gevoelige informatie (betalingsachterstanden, klachtenhistorie) kan onbedoeld in antwoorden verschijnen

Maatregelen: strikte toegangscontrole per sessie, filtering van uitkomsten op persoonsgegevens, geen training op productiedata zonder pseudonimisering, duidelijke melding dat het een AI-systeem betreft.

Voorbeeld 2: HR-screening met AI

Een recruitmentbureau wil AI inzetten om cv's automatisch te screenen en te rangschikken.

DPIA-trigger: geautomatiseerde besluitvorming met wezenlijke gevolgen en profilering (stap 2 onder a, en de AP-categorie profilering).

Specifieke risico's:

• Discriminatie op basis van geslacht, leeftijd, etniciteit of postcode (proxy-discriminatie)
• Kandidaten worden afgewezen zonder menselijke beoordeling
• Trainingsdata weerspiegelen historische vooroordelen bij aannemen

Maatregelen: verplichte menselijke beoordeling van alle afwijzingen, een bias-audit voor ingebruikname, geen gebruik van beschermde kenmerken als variabelen, transparantie naar kandidaten over het gebruik van AI, regelmatige monitoring op eerlijkheid.

Voorbeeld 3: voorspellende analyse in de zorg

Een zorgverzekeraar wil AI inzetten om het risico op chronische aandoeningen te voorspellen en preventieve programma's aan te bieden.

DPIA-trigger: bijzondere persoonsgegevens (gezondheid), profilering en grootschalige verwerking.

Specifieke risico's:

• Gezondheidsgegevens zijn een van de gevoeligste categorieën persoonsgegevens
• Risicoprofielen kunnen leiden tot uitsluiting van verzekeringsdekking
• Voorspellingen kunnen stigmatiserend werken
• Onnauwkeurige voorspellingen kunnen leiden tot onnodige medische ingrepen

Maatregelen: een geldige grondslag en uitzondering voor gezondheidsgegevens, strenge pseudonimisering, geen gebruik voor acceptatiebeleid (alleen preventie), validatie door medische professionals, een opt-outmogelijkheid voor verzekerden.

DPIA als levend document

Een veelgemaakte fout is om de DPIA te behandelen als een eenmalig goedkeuringsdocument. Bij AI-systemen is dat een recept voor problemen. De AVG schrijft in artikel 35 lid 11 voor dat u toetst of de verwerking nog volgens de DPIA verloopt, in ieder geval wanneer het risico verandert.

Bij AI-systemen zijn er specifieke momenten waarop herziening nodig is:

• Het model wordt opnieuw getraind met nieuwe data
• De invoerdata veranderen wezenlijk (andere bronnen, andere populatie)
• Het systeem wordt ingezet voor een nieuw doel of een nieuwe doelgroep
• Er zijn incidenten geweest met het AI-systeem
• De wet- en regelgeving verandert (zoals de gefaseerde toepassing van de AI Act)
• De technologie verandert fundamenteel (overstap naar een ander modeltype)

Wij raden aan om minimaal jaarlijks een review van de DPIA uit te voeren, en vaker wanneer het AI-systeem actief wordt bijgetraind.

DPIA-template voor AI-systemen

Het DPIA-template voor AI-systemen volgt de stappen uit deze handleiding: een beslisbox of de DPIA verplicht is, de gegevensstromen van training tot feedback, de grondslag per verwerking, een beslisbox voor artikel 22 AVG, een risicomatrix met maatregelen, het advies van de FG en een brug naar de FRIA van artikel 27 AI Act en het IAMA. Het is een bewerkbaar Word-bestand, gecontroleerd tegen de wet op 6 oktober 2026. Vergelijkt u liever met het officiële voorbeeld, dan staat het DPIA-sjabloon van de EDPB (consultatieversie) apart beschreven.

Conclusie

De DPIA voor AI-systemen is geen formaliteit. Het is het instrument waarmee u laat zien dat u de privacy van mensen serieus neemt nu AI-systemen steeds dieper ingrijpen in het dagelijks leven. Met de EU AI Act wordt de DPIA bovendien onderdeel van een breder compliancelandschap waarin ook de FRIA en de conformiteitsbeoordeling hun plek hebben.

Begin vroeg, betrek uw FG, wees eerlijk over de risico's en behandel de DPIA als een levend document. Dat is niet alleen wat de wet voorschrijft, het is ook wat uw organisatie beschermt.

Meer over de relatie tussen DPIA en FRIA? Lees onze vergelijking van DPIA en FRIA. Valt u ook onder de FRIA-plicht? De FRIA-gids bij artikel 27 en de FRIA generator helpen u verder.