Moet een AI-systeem in het verwerkingsregister staan? Het korte antwoord: ja, zodra het systeem structureel persoonsgegevens verwerkt. Dat geldt ook onder de 250 medewerkers, want structureel gebruik is niet incidenteel (Artikel 30 lid 5 AVG). Daarnaast heeft u een eigen AI-register nodig om de verplichtingen uit de AI-verordening aan te tonen. Twee administraties, met een flinke overlap in wat erin staat. Wie ze los van elkaar opzet, voert dezelfde gegevens twee keer op.
Wat er in het verwerkingsregister moet staan
Artikel 30 lid 1 AVG schrijft per verwerkingsactiviteit zeven onderdelen voor:
- Naam en contactgegevens van de verwerkingsverantwoordelijke, van eventuele gezamenlijke verwerkingsverantwoordelijken en, in voorkomend geval, van de vertegenwoordiger van de verwerkingsverantwoordelijke en van de functionaris voor gegevensbescherming
- De verwerkingsdoeleinden
- Een beschrijving van de categorieën van betrokkenen en van de categorieën van persoonsgegevens
- De categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, onder meer ontvangers in derde landen of internationale organisaties
- Indien van toepassing, doorgiften aan een derde land of een internationale organisatie, met vermelding van dat land of die organisatie; alleen bij een doorgifte op grond van Artikel 49 lid 1, tweede alinea ook de documenten over de passende waarborgen
- Indien mogelijk, de beoogde termijnen waarbinnen de verschillende categorieën gegevens moeten worden gewist
- Indien mogelijk, een algemene beschrijving van de technische en organisatorische beveiligingsmaatregelen (Artikel 32 lid 1)
Twee onderdelen worden vaak verkeerd weergegeven. Onder a) horen ook uw gezamenlijke verwerkingsverantwoordelijken: deelt u de verwerkingsverantwoordelijkheid met een andere organisatie (Artikel 26 AVG), dan staan die erbij. De woorden "in voorkomend geval" in dat onderdeel slaan op de vertegenwoordiger van de verwerkingsverantwoordelijke en op de functionaris voor gegevensbescherming, die u alleen noemt als ze er zijn. Onder e) horen de documenten over de passende waarborgen er alleen bij als het gaat om een doorgifte op grond van Artikel 49 lid 1, tweede alinea. Bij een doorgifte op een standaardcontract of een adequaatheidsbesluit vraagt het register alleen de vermelding van het derde land of de internationale organisatie. Dat de waarborgen zelf op orde zijn, toont u los van het register aan. In uw privacyverklaring noemt u ze wel: Artikel 13 lid 1 onder f vraagt daar ook bij een doorgifte op grond van Artikel 46 welke waarborgen gelden en hoe de betrokkene er een kopie van krijgt.
De vorm is vrij. Schriftelijk mag ook elektronisch zijn (lid 3), dus een spreadsheet voldoet aan de letter van de wet. Op verzoek laat u het register aan de AP zien (lid 4). Verwerkt een leverancier gegevens voor u, dan houdt die als verwerker een eigen register bij (lid 2). Voor een AI-leverancier die uw prompts of documenten verwerkt, geldt dat net zo.
Geldt de uitzondering voor kleine organisaties ook bij AI?
Organisaties met minder dan 250 medewerkers zijn in beginsel vrijgesteld van de registerplicht (Artikel 30 lid 5). De uitzondering kent drie tenzij-gronden. Eén daarvan raakt vrijwel elk AI-gebruik: de vrijstelling vervalt zodra de verwerking niet incidenteel is. Een chatbot die dagelijks klantvragen beantwoordt of een HR-tool die doorlopend cv's leest, is structureel gebruik. De twee andere gronden komen bij AI ook snel in beeld: verwerkingen met een waarschijnlijk risico voor betrokkenen en verwerkingen van bijzondere categorieën gegevens. De AP vat het op haar eigen pagina's zo samen: een verwerkingsregister is bijna altijd verplicht, meestal ook voor kleine ondernemers.
Welke registratie de AI-verordening zelf vraagt
De AI-verordening kent geen algemene registerplicht voor organisaties die AI gebruiken. Wat er wel staat, is smaller en hangt aan het hoog-risicoregime. Aanbieders van hoog-risicosystemen uit Bijlage III registreren zichzelf en hun systeem in de EU-databank (Artikel 49 lid 1). De systemen uit punt 2 van die bijlage, kritieke infrastructuur, vallen daarbuiten. Overheidsinstanties en instellingen, organen of instanties van de Unie die zo'n systeem gebruiken, registreren ook dat gebruik (Artikel 49 lid 3 en Artikel 26 lid 8). Ook hier vallen de systemen uit punt 2 van Bijlage III buiten de plicht. Voor Bijlage III-systemen gaan die verplichtingen op 2 december 2027 gelden.
Waarom dan toch een eigen AI-register? Omdat vrijwel elke andere plicht uit de verordening overzicht veronderstelt. De AI-geletterdheidsplicht van Artikel 4 is een inspanningsverplichting waarbij u rekening houdt met kennis, ervaring, opleiding en gebruikscontext. Dat lukt alleen wanneer u weet wie met welk systeem werkt. De transparantieplicht van Artikel 50 vraagt dat u weet welke chatbots en beeldgeneratoren er draaien. Voor alles wat persoonsgegevens raakt, vraagt de verantwoordingsplicht van Artikel 5 lid 2 AVG dat u de naleving kunt aantonen. Hoe u zo'n register inricht, staat in het stappenplan voor een AI-register.
Welke velden overlappen en welke apart blijven
Doel van het systeem
Staat in beide. Het verwerkingsdoel van Artikel 30 en het beoogde doel van een AI-systeem beschrijven hetzelfde, elk vanuit een eigen wet.
Categorieën gegevens en betrokkenen
Staat in beide. Wat het systeem leest en over wie, is voor de AVG een registerveld. Voor de AI-verordening bepalen ze de risicoklasse niet zelfstandig: die volgt uit wat het systeem doet en waarvoor het bedoeld is (Artikel 6). Ze helpen die functie wel herkennen, bijvoorbeeld bij biometrische gegevens (Bijlage III punt 1) of bij een systeem dat personen profileert (Artikel 6 lid 3). Moet u een beoordeling van de gevolgen voor de grondrechten uitvoeren, dan beschrijft u daarin welke categorieën personen gevolgen ondervinden (Artikel 27 lid 1 onder c).
Leverancier
Staat in beide, met een andere rol. Voor de AVG is de AI-leverancier vaak verwerker, met een verwerkersovereenkomst (Artikel 28 AVG). Voor de AI-verordening is dezelfde partij aanbieder.
Beveiligingsmaatregelen
Staat in beide. Artikel 30 vraagt een algemene beschrijving; dezelfde maatregelen dragen het bewijs onder uw AI-dossier.
Bewaartermijn
Alleen het verwerkingsregister. Artikel 30 lid 1 onder f vraagt de beoogde termijn per categorie gegevens, voor zover u die kunt geven.
Rechtsgrondslag
Alleen aan de AVG-kant, maar buiten de zeven onderdelen van Artikel 30. De grondslag hoort bij de verwerking zelf (Artikel 6 AVG). De AP raadt aan hem in het register toch te vermelden, als hulp bij de verantwoordingsplicht van Artikel 5 lid 2.
Risicocategorie en rol
Alleen het AI-register. De indeling verboden, hoog, beperkt of minimaal, plus de vraag of u aanbieder of gebruiksverantwoordelijke bent.
Eén invoer, twee uitkomsten
De wet verplicht u nergens om twee losse documenten bij te houden. Artikel 30 schrijft de inhoud voor, de vorm blijft vrij. U kunt een AI-systeem dus één keer vastleggen met de AVG-velden en de AI Act-velden aan hetzelfde record. Het verwerkingsregister is dan een uitsnede van die ene administratie. Dat scheelt invoerwerk. Belangrijker is dat de twee nooit uit de pas lopen: een systeem dat in het ene overzicht wordt bijgewerkt en in het andere blijft hangen, valt bij een controle direct op.
Veelgestelde vragen
Moet ChatGPT in ons verwerkingsregister staan?
Ja, zodra medewerkers er structureel persoonsgegevens mee verwerken. De verwerkingsactiviteit is dan bijvoorbeeld het opstellen en samenvatten van teksten met een AI-assistent, met daarbij de categorieën gegevens die erin omgaan en de leverancier als ontvanger. Gebruikt uw organisatie de tool aantoonbaar zonder persoonsgegevens, dan valt er niets te registreren. Dat aantonen vraagt wel beleid en instructie, want de invoer van medewerkers bepaalt wat er werkelijk wordt verwerkt.
Is een AI-register verplicht onder de AI-verordening?
Nee, een algemene registerplicht voor gebruikers van AI staat er niet in. De registratieplichten van Artikel 49 hangen aan Bijlage III. De aanbieder registreert zijn systeem (lid 1). Concludeert hij op grond van Artikel 6 lid 3 dat het geen hoog risico inhoudt, dan registreert hij het alsnog (lid 2). Overheidsinstanties registreren daarnaast hun gebruik (lid 3). De systemen uit punt 2 van Bijlage III vallen buiten de leden 1 en 3. Voor iedereen geldt dat u de overige verplichtingen, van AI-geletterdheid tot transparantie, alleen kunt aantonen met een eigen overzicht van uw AI-gebruik.
Mogen het verwerkingsregister en het AI-register één document zijn?
Ja. Artikel 30 AVG schrijft voor welke gegevens vastliggen, in schriftelijke of elektronische vorm; over de indeling zegt de wet niets. Voorwaarde is dat u het AVG-deel er op verzoek van de AP zelfstandig uit kunt leveren (Artikel 30 lid 4). Eén administratie waaruit u beide overzichten trekt, voldoet daaraan.
Geldt de vrijstelling onder 250 medewerkers bij AI-gebruik?
Nee, meestal vervalt die. De vrijstelling van Artikel 30 lid 5 stopt zodra de verwerking niet incidenteel is. Structureel AI-gebruik is per definitie doorlopend. Ook bijzondere categorieën gegevens, zoals gezondheidsgegevens in een zorgtoepassing, halen de vrijstelling onderuit. De omvang van de organisatie is daardoor zelden het beslissende criterium.
Begin met de inventarisatie die beide wetten voedt
Of u nu bij het verwerkingsregister begint of bij het AI-register, de eerste stap is dezelfde: weten welke systemen er draaien en welke gegevens ze aanraken. In AIComplianceHub registreert u elk AI-systeem één keer, met leverancier, toepassing en risicoclassificatie bij elkaar, zodat de gegevens voor beide overzichten uit dezelfde bron komen. In Scale draagt het platform ook uw verwerkingsregister (Artikel 30 AVG), met de verwerkingen zonder AI erbij. De gratis risicoscan laat binnen vijf minuten zien welke systemen om aandacht vragen.