Veilige basis
Wij weten waarop je componenten moet beoordelen en selecteren wat past bij jouw bedrijf. Van veilig inloggen en gegevensopslag tot AI-diensten en koppelingen.
Een overtuigende demo zegt nog weinig over veiligheid, gegevensgebruik en beheer. Je AI-consultant kijkt wat een oplossing daadwerkelijk kan en waar de grenzen liggen. Zo helpen we je ongeschikte of onveilige keuzes herkennen voordat je klantgegevens en dagelijkse werk ervan afhankelijk worden.
De keuzes vóór de eerste versie
Een tool kan goed passen bij een experiment, terwijl er voor dagelijks gebruik met klantgegevens nog iets ontbreekt. Wij helpen je dat onderscheid maken. Voldoet een onderdeel niet aan de afgesproken eisen, dan kiezen we een alternatief of gebruiken we het niet met jouw klantgegevens.
We onderzoeken opslag, verwerking, loggegevens, back-ups en toegang door leveranciers. Ook wat een AI-dienst bewaart of voor modeltraining gebruikt, hoort bij de beoordeling. De hele gegevensstroom moet passen binnen de afgesproken EU-grens.
We toetsen de werking met representatieve testgegevens zonder echte klantinformatie. We kijken ook naar ontbrekende gegevens, fouten en uitzonderingen. Zo beoordelen we of een component jouw werk ondersteunt en waar menselijke controle nodig blijft.
We beoordelen toegangsrechten, beveiligingsupdates, herstelmogelijkheden en de beschikbare documentatie. Een belofte op een website is onvoldoende: de benodigde maatregelen moeten ook beschikbaar zijn, goed worden ingesteld en onderhouden kunnen worden.
We bekijken terugkerende kosten, gebruiksgrenzen, exportmogelijkheden en afhankelijkheid van de leverancier. Zo weet je vooraf wat er gebeurt als je meer gebruikers krijgt, je gebruik groeit of je een onderdeel wilt vervangen.
Vanaf de eerste versie
De geselecteerde componenten moeten ook goed samenwerken en worden ingericht. Je AI-consultant legt de keuzes en grenzen vast. Deze zes onderwerpen nemen we mee in het ontwerp en de oplevering.
Je team kan werken, zonder dat iedereen overal bij kan.
Persoonlijke accounts, passende toegangsrechten en meervoudige verificatie vormen het vertrekpunt. We controleren toegang ook in de achterliggende verwerking en spreken af hoe je rechten aanpast als iemand van functie wisselt of vertrekt.
Je weet waar de gegevens van je klanten blijven.
We ontwerpen de omgeving voor verwerking binnen de Europese Unie. We nemen de database, bestanden, back-ups, loggegevens, koppelingen en eventuele AI-diensten mee. Voor ingebruikname controleren we of de gekozen diensten en afspraken aan die grens voldoen.
Een klantnaam komt niet onnodig in een testbestand of AI-prompt terecht.
We bepalen welke gegevens een taak nodig heeft, hoe lang je ze bewaart en wie ze mag gebruiken. Daarbij horen versleuteling tijdens transport en opslag, zorgvuldig sleutelbeheer en testgegevens die geen echte klantinformatie bevatten.
Bij een fout is duidelijk hoe je het werk weer oppakt.
We spreken back-ups, herstelcontroles, updates en het opvolgen van beveiligingsmeldingen af. Belangrijke handelingen maken we herleidbaar, met zo min mogelijk persoonsgegevens in logbestanden. Bij oplevering weet je wie het beheer uitvoert.
Je medewerker krijgt hulp en houdt zicht op de uitkomst.
We beoordelen het doel, de risico’s en de regels die voor jouw AI-toepassing gelden. We begrenzen welke gegevens naar het model gaan, leggen de afspraken over bewaren en modeltraining vast en bepalen wanneer een medewerker moet controleren of ingrijpen.
Verder verbeteren kan met inzicht in de keuzes die al zijn gemaakt.
Je krijgt de specifiek voor jou ontwikkelde code en de afgesproken documentatie. Daarin leggen we de gebruikte diensten, gegevensstromen, toegangsrechten en beheerafspraken vast. Ook export, overdracht en de verantwoordelijkheden bij wijzigingen spreken we af.
De volledige gegevensstroom
Een Europese server is één onderdeel. Ook een back-updienst, een koppeling, een AI-model of toegang door een leverancier kan bepalen waar klantgegevens terechtkomen. Daarom bekijken we de hele keten, inclusief onderaannemers en ondersteuning.
Voor ingebruikname leggen we vast welke partijen gegevens verwerken, waar dat gebeurt en welke afspraken gelden. Een dienst die de afgesproken EU-grens niet kan respecteren, gebruiken we niet voor jouw klantgegevens. We kiezen een passende oplossing of laten die functie uit.
Je krijgt daarmee een uitgangspunt dat je ook bij een volgende koppeling kunt controleren: welke gegevens gaan erheen, wie kan erbij en blijft de verwerking binnen de afgesproken omgeving?
EU-verwerking is onze ontwerpafspraak voor deze omgeving. De AVG stelt daarnaast eisen aan onder meer het doel, de rechtsgrond, beveiliging en bewaartermijnen. Opslag binnen de EU maakt een toepassing op zichzelf nog niet AVG-conform.
AI Act en AVG in de praktijk
We brengen per AI-toepassing het doel, de risicoklasse en onze rollen in kaart. De AI Act stelt verschillende eisen aan aanbieders en organisaties die AI gebruiken. We vertalen de toepasselijke verplichtingen naar de inrichting, documentatie en werkwijze van jouw toepassing.
Daarbij maken we duidelijk waar AI wordt ingezet, welke informatie het model mag gebruiken en hoe je een uitkomst beoordeelt. Je team krijgt uitleg over het gebruik, de beperkingen en de momenten waarop menselijke controle nodig is. Een AI-voorstel dat een klant raakt, laten we beoordelen voordat het tot een beslissing leidt.
Gegevens over herkenbare personen, zoals de naam van een contactpersoon, vallen ook onder de AVG. We bekijken daarom of die informatie nodig is voor de taak en of we haar kunnen weglaten of afschermen. We leggen vast wat een AI-leverancier mag bewaren en of gegevens voor modeltraining worden gebruikt.
Voor toepassingen met zwaardere risico’s, zoals AI bij personeelsselectie of kredietbeoordeling, beoordelen we de aanvullende eisen vóór gebruik en betrekken we waar nodig specialistische expertise.
Een herkenbaar werkmoment
De verantwoordelijke collega ziet de gegevens die nodig zijn om de aanvraag af te handelen. Toegang volgt uit diens rol.
Alleen de benodigde informatie gaat naar een vooraf beoordeelde AI-dienst binnen de afgesproken EU-omgeving. Een naam die niet nodig is, laten we weg.
Het voorstel blijft herkenbaar als AI-uitkomst. De collega controleert de bron en de gegevens voordat de aanvraag verdergaat.
Illustratieve werkwijze. Welke stappen en controles nodig zijn, bepalen we voor jouw toepassing.
You improve it.
Je spreekt rechtstreeks met de AI-consultant die de software ontwikkelt. Die kan uitleggen waarom een bouwsteen is gekozen en wat een wijziging betekent voor je gegevens. Bij de overdracht krijg je naast de code de afgesproken informatie om deze basis te kunnen beheren.
Voeg je later een leverancier, AI-model of koppeling toe? Dan beoordeel je opnieuw of die past bij de gekozen basis en de afspraken over je gegevens. Je AI-consultant kan je daarbij helpen. We spreken af wie de controle uitvoert en wie het beheer verzorgt.
Lees hoe we samenwerkenMeer over de regels: AVG voor het mkb — EDPB · Internationale doorgifte — EDPB · AI Act — Europese Commissie.
Een eerste AI-idee of al een tool op het oog?
Vertel wat je wilt verbeteren en welke oplossingen je overweegt. We bespreken wat jouw bedrijf nodig heeft. Stuur bij het eerste contact geen klantgegevens mee.