AI in de corporatiesector: veilig en verantwoord aan de slag

De Europese AI-verordening (ook wel AI-Act genoemd) stelt regels voor het ontwikkelen en gebruiken van AI-systemen. De wet werkt met een risico-indeling: hoe groter het risico van een toepassing, hoe strenger de regels. Een toepassing is een concrete manier waarop AI wordt ingezet in het werkproces, bijvoorbeeld de afhandeling van huurdersvragen. Naast de achterliggende technologie zijn de manier waarop en de context waarin een organisatie AI inzet van belang voor de risicobepaling.

Voor corporaties is het daarom belangrijk om per toepassing na te gaan in welke risicocategorie een AI-systeem valt, welke rol zij hebben, en welke verplichtingen daarbij horen. 

De AI-verordening kent meerdere risicocategorieën:

1. Verboden AI-praktijken (hoofdstuk 2): toepassingen met een onaanvaardbaar risico zijn niet toegestaan. 
2. Hoog-risico (hoofdstuk 3): voor toepassingen met een hoog risico gelden specifieke eisen over bijvoorbeeld menselijk toezicht en datakwaliteit. 
3. Risico op misleiding (hoofdstuk 4): bij deze toepassingen is een lager risico, maar ook hiervoor gelden verplichtingen. Wanneer een corporatie AI bijvoorbeeld inzet in contact met huurders in de vorm van een chatbot, dan moet ze dit duidelijk aangeven. 

Hoofdstuk 2, 3 en 4 van de AI-verordening omschrijven er welke verplichtingen gelden per risicocategorie.

De AI-verordening kent onder andere 2 belangrijke rollen:

• Aanbieder: de partij die een AI-systeem of een AI-model ontwikkelt, of laat ontwikkelen, en dit onder eigen naam in gebruik stelt. Dit is de partij die het systeem aanbiedt en daarvoor juridische verantwoordelijkheid draagt. 
• Gebruiksverantwoordelijke: de partij die een AI-systeem gebruikt in het eigen werkproces en daar zelf verantwoordelijkheid voor draagt. Een corporatie is bijvoorbeeld gebruiksverantwoordelijke wanneer zij een AI-tool inzet voor huurderscontact of interne ondersteuning, ook als het systeem niet specifiek voor de corporatie is ontwikkeld.

Corporaties kunnen afhankelijk van de toepassing beide rollen aannemen. Deze en andere rollen zijn gedefinieerd in artikel 3 (hoofdstuk 1) van de AI-verordening. 

Door vast te stellen welke rol de corporatie aanneemt en in welke risicocategorie een toepassing valt, kan de corporatie bepalen welke verplichtingen daarvoor gelden. Bij inzet van AI in processen die invloed hebben op mensen, dienstverlening of besluitvorming is het verstandig om dit vroeg in kaart te brengen.

Lees meer op de website van de Europese Commissie of ga direct naar de AI-verordening. 

Daarnaast moet je rekening houden met de AVG. Deze geldt wanneer bij de toepassing van AI persoonsgegevens worden verwerkt. Je moet dan onder andere letten op rechtmatigheid, transparantie, doelbinding, dataminimalisatie en beveiliging. 

Bij de inzet van zelflerende systemen is extra zorgvuldigheid nodig. De Autoriteit Persoonsgegevens (AP) benadrukt dat organisaties aan betrokkenen in duidelijke en eenvoudige taal moeten kunnen uitleggen hoe persoonsgegevens worden gebruikt, ook als de precieze werking van een model complex is of bedrijfsgeheimen bevat. 

Lees meer over AI en de AVG op de website van de AP: 

1. Beschrijf de toepassing: leg vast waarvoor AI wordt gebruikt, in welk proces, door wie en met welk beoogd resultaat.
2. Bepaal de rol en risicocategorie: stel vast of de corporatie voor deze toepassing vooral gebruiker of aanbieder is, en of de toepassing hoog-risico, beperkt risico of risico op misleiding betreft.
3. Toets de verplichtingen van de AI-verordening: bepaal welke eisen voor deze toepassing gelden, denk aan transparantie, menselijk toezicht, datakwaliteit of logging.
4. Toets aan de AVG bij het verwerken van persoonsgegevens: controleer dan onder meer grondslag, doelbinding, dataminimalisatie, transparantie, beveiliging en of een DPIA nodig is.
5. Leg keuzes, afspraken en monitoring vast: maak voor de toepassing duidelijk wie eigenaar is, wie toezicht houdt, welke controles nodig zijn en wanneer de toetsing opnieuw wordt bekeken.