Gegevens en artificiële intelligentie: in orde zijn, en in orde blijven
De GDPR (AVG) geldt vanaf het eerste klantenbestand, en de AI-verordening geldt vanaf het eerste AI-hulpmiddel dat u gebruikt, ook als u het niet zelf ontwikkelde. Ik documenteer, ik stuur bij en ik kan het mandaat van functionaris voor gegevensbescherming (DPO) opnemen.
Advocaat aan de balie van Brussel sinds 2021, Gecertificeerd functionaris voor gegevensbescherming (Maastricht), Gepubliceerde erelonen
Waarom het telt
Een vennootschap van vijf personen valt onder de GDPR zodra ze een klantenbestand bijhoudt, personeel tewerkstelt of een contactformulier publiceert. Drie stukken dragen het geheel: het register van de verwerkingsactiviteiten, de informatie aan de betrokkenen en de overeenkomst met elke verwerker.
De AI-verordening viseert ook de gebruiksverantwoordelijken: wie een hulpmiddel gebruikt zonder het te hebben ontworpen. Cv's sorteren, klanten scoren of werknemers monitoren met een AI-hulpmiddel brengt eigen verplichtingen mee: menselijk toezicht, informatie, bewaring van de logs. De transparantieverplichtingen gelden sinds 2 augustus 2026. Het uitstel voor de systemen met een hoog risico staat vast: 2 december 2027 voor bijlage III, 2 augustus 2028 voor bijlage I.
Uw grote klanten vragen deze documenten op vóór ze tekenen, en de Gegevensbeschermingsautoriteit (GBA) vraagt ze op na een klacht. Ik stel ze op, ik houd ze bij en ik verdedig uw standpunt voor de autoriteit als er een controle start. Wat u mij toevertrouwt, valt onder het beroepsgeheim.
Typische situaties
Een kmo van 40 personen die zou rekruteren met een tool die cv's automatisch sorteert
Ze zou de verwerking moeten kwalificeren, de kandidaten en het personeel informeren, de rol van de leverancier nagaan en menselijk toezicht voorzien. Ze zou ook moeten documenteren dat er geen volledig geautomatiseerde beslissing is (artikel 22 van de GDPR).
Een medische praktijk die een inzageverzoek zou krijgen van een gewezen patiënt
Ze zou binnen de maand moeten antwoorden, haar antwoord moeten bijhouden en over een interne procedure moeten beschikken; zonder dat zou een klacht een ruimere controle kunnen openen.
Een marketingbureau dat een Amerikaanse e-mailingtool zou gebruiken
Het zou de doorgifte buiten de Unie moeten omkaderen met standaardcontractbepalingen en het beschermingsniveau van het land van bestemming moeten beoordelen.
Een webwinkel die de inhoud van zijn klantendatabank zou verliezen
Hij zou het risico moeten inschatten, de inbreuk binnen 72 uur bij de autoriteit moeten melden als dat risico bestaat, en de betrokkenen moeten informeren.
Een SaaS-uitgever die van een bankklant een beveiligingsvragenlijst van 80 vragen zou krijgen
Hij zou moeten antwoorden met een bijgewerkt register, een conforme verwerkersovereenkomst en, als NIS2 op zijn klant van toepassing is, gedocumenteerde maatregelen. Anders zou de verkoop moeten wachten.
Wat inbegrepen is
Conformiteitsaudit
Overzicht van de verwerkingen, vastgestelde tekortkomingen, geprioriteerd herstelplan, rapport in tien delen.
Register van de verwerkingsactiviteiten
Opstelling, modellen voor de bijwerking en instructies voor uw teams.
Publieke documenten
Privacyverklaring, cookiebeleid, informatievermeldingen, specificatie van de cookiebanner.
Gegevensbeschermingseffectbeoordeling (DPIA)
Voor verwerkingen met een risico: beschrijving, beoordeling, gekozen maatregelen.
AI-transparantie en gebruiksbeleid
Vermeldingen uit de AI-verordening, procedure voor menselijke nalezing, intern beleid voor het gebruik van AI-hulpmiddelen, nota aan het personeel.
NIS2
Toepasselijkheidsdiagnose, overzicht, herstelplan.
Mandaat van functionaris voor gegevensbescherming
Aanmelding bij de autoriteit, opvolging van de regelgeving, antwoorden op verzoeken, jaarverslag. Drie maandformules hieronder.
Hoe het verloopt
- 01
Kadering
Vijfenveertig minuten videogesprek om het probleem en de opties op tafel te leggen.
- 02
Schriftelijke offerte
Omvang, vaste prijs en indicatieve termijn, vóór elke opdracht.
- 03
Uitvoering
Ik stel op, onderhandel of dien in, en houd u op de hoogte.
- 04
Oplevering en vervolg
Toegelichte documenten, aandachtspunten en de volgende termijnen.
Waarom een advocaat als DPO
Beroepsgeheim over uw contacten
Artikel 458 van het Strafwetboek: wat u mij toevertrouwt, blijft gedekt.
Beroepsaansprakelijkheidsverzekering van de Orde
Collectieve polis afgesloten door de balie, van kracht voor elk dossier.
Onafhankelijkheid en geen belangenconflict
Vereist door de artikelen 38 en 39 van de GDPR, gecontroleerd door de regels van de balie.
Drie niveaus, een prijs die vastligt vóór de start
Het kantoor werkt met AI-tools voor opzoekwerk en eerste ontwerpen, onder controle van een advocaat. De tijd die ze besparen, wordt niet aangerekend: die zit al in deze vorken.
- In orde komenEen website, app of AI-tool die snel in orde moet.Privacy- en cookiebeleid, transparantievermeldingen voor AI, verwerkersovereenkomst, intern beleid voor AI-gebruik.890 tot 1.450 €
- Een stand van zakenU wilt schriftelijk weten waar u staat.Audit AVG en ePrivacy, register van verwerkingen, effectbeoordeling, diagnose AI-verordening voor één systeem, internationale doorgiften.1.500 tot 3.400 €
- NalevingsprogrammaMeerdere AI-systemen, NIS2 of een gereguleerde sector.Volledige gap-analyse AI-verordening, NIS2, uitvoeringsplan en opvolging.Vanaf 4.000 €
De exacte prijs hangt af van uw dossier. U krijgt hem schriftelijk na het eerste contact, dat gratis is, en hij verandert daarna niet meer zonder uw akkoord. Bedragen excl. btw; officiële taksen en kosten komen erbij.
Alle niveaus en hoe er gefactureerd wordt (in het Frans)Veelgestelde vragen
Vijfenveertig minuten om uw situatie te kaderen, 120 € excl. btw
Een videogesprek van 45 minuten, vooraf betaald.
Een schriftelijk verslag in vijf punten binnen 24 werkuren: het probleem zoals u het stelt, de opties, mijn aanbeveling, het budget voor het vervolg, de termijn.
Vertrouwt u mij binnen 30 dagen een opdracht toe, dan worden de 120 € in mindering gebracht.