Ga naar de hoofdinhoud
Praxikon

Gratis template · Word · Nederlands en Engels

DPIA-template voor AI-systemen, met brug naar de FRIA en het IAMA

Een DPIA voor AI is de gegevensbeschermingseffectbeoordeling die artikel 35 AVG vraagt als een AI-toepassing waarschijnlijk een hoog risico oplevert voor de rechten van mensen. De verwerkingsverantwoordelijke beschrijft de verwerking, toetst grondslag, noodzaak en geautomatiseerde besluiten, weegt risico's en maatregelen, en rondt dat af voordat echte persoonsgegevens het systeem in gaan.

Laatst gecontroleerd tegen de wet
Redactie
, jurist privacy en AI
Versie en template-ID
2.0 · praxikon:template:dpia-ai
Rechtsgrond
Verordening (EU) 2016/679 (AVG); Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744

Voor wie is dit template?

  • Privacyfunctionaris of opsteller van de DPIA, namens de verwerkingsverantwoordelijkeInhoud van de DPIA (artikel 35 lid 7 AVG) en de screening op de DPIA-lijst van de Autoriteit Persoonsgegevens (artikel 35 lid 4 AVG)
  • Functionaris gegevensbescherming (FG)Advies over de DPIA (artikel 35 lid 2 AVG) en het besluit over voorafgaande raadpleging van de AP (artikel 36 AVG)
  • Proceseigenaar die het AI-systeem inzetWerkproces en menselijk toezicht; als gebruiksverantwoordelijke van een hoog-risicosysteem ook artikel 26 lid 2 en lid 9 AI Act (voor bijlage III vanaf 2 december 2027)
  • Inkoop en juridischAfspraken met de AI-leverancier als verwerker (artikel 28 AVG) en de gebruiksaanwijzing die de aanbieder levert (artikel 13 AI Act)
  • Overheden en organisaties die openbare diensten verlenenFRIA als gebruiksverantwoordelijke (artikel 27 AI Act, vanaf 2 december 2027) en het IAMA
  • OndernemingsraadInstemming bij regelingen over personeelsgegevens en personeelsvolgsystemen (artikel 27 lid 1 onder k en l WOR)

Wat staat erin

  • Beslisbox: is een DPIA verplicht voor deze AI-toepassing, met de DPIA-lijst van de AP en de criteria van de EDPB (hoofdstuk 1)
  • Wat artikel 26 lid 9 AI Act wel en niet zegt over de DPIA (hoofdstuk 1)
  • Systeem, rollen onder AVG en AI Act, werkproces en gegevensstromen van training tot feedback (hoofdstuk 2)
  • Grondslag per verwerking, belangenafweging volgens EDPB Opinion 28/2024 en vragen over de rechtmatige ontwikkeling van het model (hoofdstuk 3)
  • Noodzaak, bewaartermijnen, transparantie en rechten, inclusief artikel 50 en artikel 86 AI Act (hoofdstuk 4)
  • Beslisbox voor artikel 22 AVG na het SCHUFA-arrest, met waarborgen en menselijk toezicht (hoofdstuk 5)
  • AI-leveranciers: rollen, doorgifte en tien contractvoorwaarden (hoofdstuk 6)
  • Risicomatrix en tien veelvoorkomende AI-risico's, elk met een maatregel, eigenaar en termijn (hoofdstuk 7 en 8)
  • Advies van de FG, zienswijzen, ondernemingsraad, voorafgaande raadpleging en besluit (hoofdstuk 9 en 10)
  • Brug naar de FRIA (artikel 27 AI Act) en het IAMA, plus een uitgewerkt fictief voorbeeld van een gemeente (hoofdstuk 11 en 12)

Zo gebruikt u het template

  1. Doe eerst de screening in hoofdstuk 1. Is een DPIA niet verplicht, leg dan vast waarom en herhaal de screening bij elke wijziging.
  2. Vraag de gebruiksaanwijzing en documentatie op bij de aanbieder en vul hoofdstuk 2 in samen met de eigenaar van het werkproces.
  3. Werk de hoofdstukken 3 tot en met 6 uit: grondslag, noodzaak, geautomatiseerde besluiten en de leverancier.
  4. Benoem de risico's en geef elke maatregel een eigenaar en een termijn (hoofdstuk 7 en 8).
  5. Vraag het advies van de FG, betrek de ondernemingsraad waar nodig en laat de verwerkingsverantwoordelijke besluiten vóór de verwerking begint (hoofdstuk 9 en 10).
  6. Moet u ook een FRIA of IAMA doen, neem dan de verwijzingen uit hoofdstuk 11 over in plaats van de tekst te kopiëren.

Veelgemaakte fouten

  • Denken dat de AI-verordening de DPIA verplicht. De plicht komt uit artikel 35 AVG; artikel 26 lid 9 AI Act zegt alleen dat de gebruiksverantwoordelijke van een hoog-risicosysteem de informatie van de aanbieder daarvoor gebruikt.
  • De DPIA pas bij livegang doen. Ook een pilot met echte persoonsgegevens is een verwerking; de DPIA is klaar voordat die begint.
  • Aannemen dat artikel 22 AVG niet geldt omdat er een mens tussen zit. Volgt die mens de score in doorslaggevende mate, dan kan de score zelf het besluit zijn (HvJ EU 7 december 2023, C-634/21, SCHUFA).
  • Alleen kijken naar wat u invoert. Ook wat het model afleidt kan een bijzonder persoonsgegeven zijn (HvJ EU 1 augustus 2022, C-184/20), en logs en feedback bij de leverancier horen in de beoordeling.
  • De leverancier altijd als verwerker zien. Traint hij zijn model met uw gegevens voor eigen doelen, dan is hij voor dat gebruik zelf verwerkingsverantwoordelijke en heeft u een eigen grondslag nodig.

Wanneer heeft u een jurist nodig?

  • Het restrisico blijft hoog. Ook na maatregelen blijft een hoog risico over. Dan raadpleegt de verwerkingsverantwoordelijke vóór de start de Autoriteit Persoonsgegevens (artikel 36 AVG).
  • De AI-uitkomst beslist feitelijk mee. Een score of advies weegt doorslaggevend in een besluit over een persoon. Na het SCHUFA-arrest (C-634/21) kan dat onder artikel 22 AVG vallen; de verwerkingsverantwoordelijke heeft dan een uitzonderingsgrond en waarborgen nodig.
  • De leverancier gebruikt uw gegevens voor zichzelf. Hij traint zijn model met uw invoer. Voor dat gebruik is hij zelf verwerkingsverantwoordelijke (artikel 4 punt 7 AVG; buiten uw instructies om artikel 28 lid 10). Kan hij niet uitleggen hoe het model rechtmatig is ontwikkeld, dan raakt dat uw eigen gebruik (EDPB Opinion 28/2024). In beide gevallen beoordeelt de verwerkingsverantwoordelijke grondslag en contract opnieuw.

Veelgestelde vragen

Verplicht de AI-verordening een DPIA?

Nee. De plicht tot een DPIA komt uit artikel 35 AVG en rust op de verwerkingsverantwoordelijke. Artikel 26 lid 9 van de AI-verordening zegt alleen dat de gebruiksverantwoordelijke van een hoog-risicosysteem de informatie die de aanbieder op grond van artikel 13 verstrekt, gebruikt om die DPIA uit te voeren.

Wanneer is een DPIA voor een AI-toepassing verplicht?

Als de verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van mensen (artikel 35 lid 1 AVG). Dat is in elk geval zo bij de gevallen van artikel 35 lid 3 en bij verwerkingen op de DPIA-lijst van de Autoriteit Persoonsgegevens. Voldoet de verwerking aan twee of meer criteria van de EDPB, dan is een DPIA in de regel nodig.

Vervangt een DPIA de FRIA van artikel 27 AI Act?

Nee, maar de gebruiksverantwoordelijke mag in de FRIA naar de DPIA verwijzen of er delen uit overnemen (artikel 27 lid 4). De FRIA kijkt naar alle grondrechten en naar iedereen die gevolgen ondervindt, niet alleen naar gegevensbescherming. Het template laat per FRIA-element zien wat de DPIA al dekt.

Vanaf wanneer geldt de FRIA-plicht?

Vanaf 2 december 2027, vóór het eerste gebruik van een hoog-risicosysteem uit bijlage III (behalve punt 2, kritieke infrastructuur). De plicht rust op gebruiksverantwoordelijken die publiekrechtelijk orgaan zijn of openbare diensten verlenen, en op gebruiksverantwoordelijken van systemen voor kredietscores of voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen. Voor systemen die daarvoor al in gebruik waren, regelt artikel 111 lid 2 de overgang.

Is het IAMA verplicht?

Nee. Het Impact Assessment Mensenrechten en Algoritmes is een instrument uit het Algoritmekader van de rijksoverheid, geen wettelijke plicht onder de AI-verordening. Het dekt wel veel van de FRIA. Hoofdstuk 11 laat zien welke delen van de DPIA u voor het IAMA en de FRIA hergebruikt.

Mag ik het template aanpassen en delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, DPIA-template voor AI-systemen, met brug naar de FRIA en het IAMA, versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/dpia-ai-systems

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597