Een Data Protection Impact Assessment (DPIA) is een gestructureerd proces om privacyrisico’s van dataverwerking systematisch in kaart te brengen, te beoordelen en te beperken. Dit is essentieel zeker als je AI-systemen inzet. In Nederland ken je dit ook als AVG artikel 35.
Waarom is een DPIA belangrijk?
Voor kantoren is een DPIA geen luxe, maar een verplichting waar echt geld aan hangt. Een DPIA dient drie doelen tegelijk: het helpt je risico’s vroeg op te sporen, voordat ze problemen worden. Het levert je een papieren spoor op dat je accountability aantoont — als een toezichthouder later controleert, kun je aantonen dat je dit serieus hebt genomen. En het bouwt vertrouwen op bij je cliënten, omdat je transparant bent over hoe je hun data behandelt.
Wat veel kantoren niet realiseren: het risico van geen DPIA is flink. Volgens de Autoriteit Persoonsgegevens kun je boetes krijgen tot 4% van je jaarlijkse omzet voor het niet uitvoeren van een verplichte DPIA. Voor een gemiddeld kantoor van tien à vijftien medewerkers loopt dat in de tienduizenden euro’s. Erger nog is de reputatieschade als cliënten erachter komen dat je hun data niet risico-getoetst hebt.
Wanneer heb je een DPIA nodig?
Een DPIA is verplicht zodra je dataverwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert. In de praktijk raken kantoren al snel aan de triggers.
De eerste trigger is automatische besluitvorming met rechtsgevolgen. Stel je voor: een accountant gebruikt een AI-tool om de boekhouding van cliënten automatisch in te delen naar risicoprofiel. Dat is een DPIA-situatie, omdat dat systeem de behandeling van de cliënt rechtstreeks bepaalt. Hetzelfde geldt voor profilingoperaties op basis van persoonlijke data: als je client-gedrag in kaart brengt om ze in categorieën in te delen, zit je in DPIA-territorium.
De tweede trigger is verwerking op groot schaal. Dat hoeft niet per se miljarden records te zijn; ook een notariskantoor dat persoonsgegevens van honderden cliënten centraal verwerkt en deelt met leveranciers voldoet aan “groot schaal”. Novel technology — nieuwe technologieën — is de derde trigger. AI-tools die jij nog niet eerder in kantoor hebt ingezet, vallen hier onder.
Een praktisch voorbeeld voor notarissen: je neemt een AI-tool in dienst om erfstellingscontracten sneller op te stellen. Dat systeem werkt met persoonsgegevens (namen, adressen, familierelaties). Dit is verwerking op groot schaal (cliëntenbestand), automatische hulp bij besluitvorming (welke clausules en waarschuwingen?), en novel technology. Bingo: DPIA verplicht.
DPIA en de AVG: juridisch kader
De AVG is de Nederlandse toepassing van de Europese GDPR. Artikel 35 van de AVG legt vast wanneer je een DPIA moet doen. Dit artikel noemt minstens drie situaties waarin het verplicht is.
Ten eerste: als je systematisch en op groot schaal persoonsgegevens verwerkt door geautomatiseerde middelen — dus vrijwel elke notaris of accountant die klantdata centraal opslaat en AI-tools inzet.
Ten tweede: als je gevoelige persoonsgegevens in grote hoeveelheden verwerkt. Voor een notaris zijn dit bijvoorbeeld erfinformatie, huishoudenssituaties en financiële gegevens.
Ten derde: als je systematisch publieke ruimtes bewaakt. Voor meeste kantoren niet relevant, tenzij je kantoor camera’s hebt gericht op openbare wegen.
De Autoriteit Persoonsgegevens (AP) bepaalt wat “groot schaal” en “hoog risico” betekenen in jouw situatie. Voor AI-systemen loopt dit vaak parallel aan bredere verplichtingen uit de AI Act voor bedrijven, die naast de AVG een eigen set eisen stelt.
DPIA bij AI-systemen: wat moet je weten?
AI-systemen maken DPIA’s complexer, omdat ze risico’s introduceren die traditionele dataverwerking niet heeft. Een spreadsheet met cliëntgegevens is statisch; een AI-model leert en verandert in de tijd.
Automatische besluitvorming is een groot risico. AI neemt besluiten zonder menselijke tussenkomst. Als je AI gebruikt om kredietwaardigheid in te schatten of cliënten in risicoclasses in te delen, moet je onderzoeken of die beslissingen eerlijk zijn en niet discrimineren.
Bias en discriminatie vormen een tweede zorg. AI-modellen leren uit historische data. Zit in jouw trainingsdata discriminatie (bijvoorbeeld: mannen krijgen meer promoties, vrouwen vaker afwijzingen), dan leert het model die discriminatie aan. Bij accountants ziet dit er zelden dramatisch uit, maar subtiele bias (bijv. bepaalde bedrijfstypen krijgen hogere tarieven aangerekend) kan zich wel voordoen.
Model drift is een derde risico. Een model dat vandaag nauwkeurig is, kan morgen slechter presteren. Waarom? Het trainingsmateriaal oudt op, de werkelijkheid verandert, de invoerdata verandert. Dit raakt kantoren die op AI vertrouwen zonder regelmatig te checken of het model nog goed werkt.
Explainability — het vermogen om te verklaren wat AI doet — is cruciaal. Als een AI “nee” zegt, kan je dat dan uitleggen? Voor veel kantoren is dit wettelijk essentieel. Een notaris moet kunnen verklaren waarom zij specifieke clausules aanbiedt; een accountant moet kunnen motiveren waarom zij een bepaalde risicoklasse adviseert. Als je AI gebruikt en niet kunt uitleggen wat de AI deed, heb je een probleem.
Voor AI-systemen met een hoger risiconiveau volstaat een DPIA soms niet. Dan kan ook een AIIA relevant zijn, of zelfs een wettelijk verplichte FRIA als het om een hoog-risico AI-systeem onder de AI Act gaat. Beide instrumenten kijken breder dan alleen privacy.
Hoe voer je een DPIA uit?
Een DPIA volgt vier stappen die niet in één dag klaar zijn, maar wel een logische volgorde volgen.
Begin met data mapping. Beschrijf stap voor stap hoe data vloeit door je organisatie. Wie verzamelt de data? Waar gaat het naartoe? Wie heeft er toegang? Welke AI-tools zien deze data? Dit klinkt simpel, maar veel kantoren weten dit niet precies. Een notaris weet bijvoorbeeld niet altijd dat ondersteunend personeel bulk-exports van cliëntdata doet naar een cloud-tool. Dit is je eerste ontdekkingsmoment.
Volg data mapping met risico-identificatie. Per verwerkingsstap: welke risico’s kunnen optreden? Kan data lekken? Is het systeem misbruikt? Discrimineert het? Kan iemand ongeoorloofd besluiten nemen? Dit doe je niet alleen, maar samen met het team dat de data echt gebruikt. Basiskennis over AI-risico’s bij dat team maakt dit gesprek een stuk gerichter, bijvoorbeeld via een AI-geletterdheid cursus.
In de derde stap mitigeer je: wat kun je doen tegen deze risico’s? Technische maatregel: encryptie, access control, logging. Organisatorisch: wie mag wat zien, wie controleert wie? Contractueel: wat staat er in je verwerkersovereenkomst met leveranciers? Voor AI specifiek: kun je het model regelmatig testen op bias?
Tot slot documenteer je. Schrijf op: welke data, welke risico’s, welke maatregelen. Dit document is je bewijs dat je serieus hebt gewerkt, niet zomaar een checklist hebt afgevinkt.
Templates helpen, maar elk kantoor is anders. De Autoriteit Persoonsgegevens biedt handreikingen; sommige leveranciers van AI-tools geven ook sjablonen. Maar de echte waarde zit niet in het template — het zit in het gesprek dat je voert terwijl je het invult.
Waar kun je terecht voor AI-risicoanalyse
Je hebt verschillende opties: een DPIA zelf uitvoeren is mogelijk, vooral als je kantoor klein is en de dataverwerking niet ingewikkeld. Maar zodra AI in het spel komt, groeit de complexiteit.
Zelf doen met een template: gratis, maar je mist inzicht in kantoor-specifieke risico’s. Externe consultant: uur-based, kan flink oplopen, maar geeft je een onafhankelijk perspectief. Tools en software: veel leveranciers van AI-tools leveren mee-templates voor DPIA’s.
Een praktisch startpunt is een AI-nulmeting. Dit is geen volledige DPIA en geen vervanging ervan, maar een praktische risicokaart speciaal voor kantoren, beschikbaar voor accountantskantoren en notariskantoren. In twee weken breng je in kaart welke AI-tools je hebt, welke risico’s ze meebrengen, waar de blinde vlekken zitten. Dit geeft je de informatie die je nodig hebt voor een gerichte, veel snellere DPIA.
