Kan een AI-balie wel met gevoelige gegevens werken?
Een vraag die terugkomt zodra ik bij een tandartspraktijk, dierenarts of notariskantoor aan tafel zit, en die ik serieuzer neem dan de meeste andere bezwaren: kan zo'n AI-gestuurde balie eigenlijk wel met onze gegevens werken? Het verdient een eerlijk antwoord in plaats van een geruststelling.
· ontwikkeling · 6 min · Mats Ponte
Een tandarts wijst op de patiëntendossiers, een notaris op de geheimhoudingsplicht: dat is toch iets anders dan een webshop die een verzendadres verwerkt, hoor ik dan, en dat is een terecht punt. Dit is geen juridisch advies, ik ben geen jurist. Wat ik hieronder schets is hoe ik er in de praktijk mee omga, en waarom. Bij twijfel hoort dat gesprek bij uw eigen adviseur of functionaris gegevensbescherming thuis, niet bij mij.
Niet elke gevoelige gegeven is even gevoelig
Het scheelt nogal wat welk type praktijk het is. Bij een tandarts of huisarts gaat het om gezondheidsgegevens, en die vallen onder de AVG in een aparte, zwaardere categorie: bijzondere persoonsgegevens. Artikel 9 van de verordening stelt de verwerking daarvan in de basis verboden, met uitzonderingen voor onder meer zorgverlening. Bij een notariskantoor ligt het weer anders: daar is het niet zozeer de aard van de gegevens die de zwaarte bepaalt, maar de wettelijke geheimhoudingsplicht en het daarvan afgeleide verschoningsrecht. Cliëntgegevens invoeren in een willekeurige publieke AI-dienst kan die plicht raken, los van wat de AVG al voorschrijft.
Bij een dierenarts ligt het weer genuanceerder. De gegevens van het dier zelf zijn geen bijzondere persoonsgegevens, maar de gegevens van de eigenaar, naam, adres, telefoonnummer, zijn gewoon persoonsgegevens onder de AVG en verdienen dezelfde zorgvuldigheid als bij elke andere praktijk. Dat onderscheid is meer dan een detail. Het bepaalt wat ik als eerste bouw, en wat nadrukkelijk niet.
Waarom een kleine eerste stap hier een AVG-argument is
Ik schreef eerder al waarom een eerste automatisering in een eigen omgeving hoort te draaien, los van de bestaande systemen. Bij een praktijk met gevoelige gegevens is dat niet alleen een kwestie van omkeerbaarheid, het is ook precies wat artikel 5 van de AVG voorschrijft: doelbinding en minimale gegevensverwerking. Een systeem dat alleen triageert, hoeft niet het volledige patiëntendossier of het complete notarisdossier te kunnen lezen. Het heeft genoeg aan wat nodig is om te herkennen waar een verzoek over gaat: is dit een spoedgeval, een reguliere afspraak, een statusvraag over iets dat al loopt.
Dat is in de praktijk het verschil tussen twee heel andere producten. Een tool die het hele dossier inleest om zogenaamd slim te reageren, moet aan een hele reeks eisen voldoen voordat hij ook maar mag draaien: een verwerkersovereenkomst, een uitgewerkte rolverdeling, doorgaans EU-hosting, en bij een notariskantoor bovendien een antwoord op de vraag of dit de geheimhoudingsplicht raakt. Een tool die alleen sorteert op basis van wat er binnenkomt, zonder de inhoud van het dossier zelf te hoeven raadplegen, is een aanzienlijk lichter gesprek. Niet omdat het probleem dan is opgelost, maar omdat de gegevens die de deur uit gaan simpelweg kleiner in aantal en gewicht zijn.
Drie praktijken, drie eerste stappen
Bij een tandartspraktijk met een patiëntenstop zit de pijn doorgaans niet in het dossier, maar in de balie: mensen die bellen en niet weten of hun klacht spoed is, of een aanvraag die blijft liggen omdat er niemand tijd heeft om terug te bellen. Daar helpt een triage die op trefwoorden herkent of iets spoed is en het voorstel op een werklijst legt, zonder ooit het medisch dossier te hoeven inzien.
Bij een notariskantoor is de veiligste eerste stap doorgaans een tool die op metadata werkt: wie belt, met welke aktesoort, is dit spoedeisend. Niet een tool die de inhoud van een dossier samenvat of erover redeneert, tenzij dat per kantoor expliciet is getoetst. Dat sluit aan bij hoe de eigen beroepsgroep digitalisering en AI benadert: als iets dat per situatie beoordeeld moet worden, niet als iets dat u in één stap voor de hele praktijk invoert.
Bij een dierenarts is de inzet meestal lichter, omdat het merendeel van wat er binnenkomt geen bijzondere persoonsgegevens betreft. Ook daar geldt echter: alleen de eigenaarsgegevens verzamelen die nodig zijn voor de afspraak, niet het hele klantprofiel omdat het toch al in dezelfde database staat. Drie praktijken, drie verschillende afwegingen, en telkens dezelfde vraag vooraf: wat moet het systeem echt zien om zijn taak te doen, en wat niet.
Wat een verantwoorde eerste stap wél vraagt
Een kleine scope scheelt veel, maar maakt de rest van het gesprek niet overbodig. Ook een triagesysteem dat geen dossierinhoud leest, verwerkt persoonsgegevens: een naam, een telefoonnummer, een reden voor het contact. Daarvoor hoort een verwerkersovereenkomst te staan waarin vastligt wat er gebeurt en wanneer gegevens weer weg zijn, en een keuze voor waar dat draait. Voor de meeste praktijken in deze sectoren is dat EU-hosting, zodat er geen doorgifte buiten de EU bij komt kijken die apart getoetst moet worden.
De Autoriteit Persoonsgegevens beschrijft in haar stappenplan voor ondernemers en het MKB dezelfde volgorde die ik hier aanhoud: eerst in kaart brengen welke gegevens er precies verwerkt worden en waarom, pas daarna een systeem daaromheen bouwen. Andersom werken, een tool kopen en achteraf uitzoeken wat hij allemaal binnenkrijgt, is de volgorde waar de meeste problemen ontstaan. Dat is ook waarom ik liever met een kopie van de relevante velden werk dan met directe toegang tot het bronsysteem: een kopie kunt u afbakenen tot precies wat nodig is, directe toegang geeft al snel meer mee dan de bedoeling was.
Wat dit betekent, en wat het niet betekent
Dit betekent niet dat een AI-gestuurde balie bij dit soort praktijken automatisch geen probleem is. Doorgaans is de eerste, kleinste stap wel degelijk verantwoord te maken, mits de scope klein blijft: geen dossierinhoud, een kopie in plaats van toegang tot het bronsysteem, een verwerkersovereenkomst waarin staat wat er gebeurt en wanneer gegevens weer weg zijn. Maar of dat in uw specifieke situatie klopt, met uw systemen en uw verplichtingen, is een vraag die ik in het eerste gesprek stel en niet zelfstandig beantwoord.
Twijfelt u, bespreek het dan met uw eigen adviseur of functionaris gegevensbescherming voordat er iets wordt gebouwd. Dat is geen vertraging, dat hoort bij hetzelfde uitgangspunt als de eigen omgeving waarin zo'n eerste stap draait: klein beginnen, met iets dat u ook weer kunt uitzetten zonder dat er ergens iets is blijven hangen.
Bronnen
- Artikel 5 AVG, beginselen inzake verwerking van persoonsgegevens (doelbinding en minimale gegevensverwerking) https://www.privacy-regulation.eu/nl/5.htm
- Artikel 9 AVG, verwerking van bijzondere categorieën van persoonsgegevens https://www.privacy-regulation.eu/nl/9.htm
- Autoriteit Persoonsgegevens, stappenplan AVG op orde voor ondernemers en MKB https://www.autoriteitpersoonsgegevens.nl/avg-voor-ondernemers/stappenplan-avg-op-orde-voor-ondernemers-en-mkb
- Koninklijke Notariële Beroepsorganisatie, afwegingskader verantwoorde AI-inzet in het notariaat https://www.knb.nl/publish/pages/12780/ai_afwegingskader_ai_weegschaal_deel_2.pdf
Beeld: Eigen werk, Aether AI · Geen licentie van derden nodig
De dienst hierbij, met werkende demo: Een harde grens voor vertrouwelijke klanten →
