Dossierstuk · AVG
AVG in de gemeente: wat een AI-proef wél moet vastleggen
Een proef met generatieve AI in de gemeente begint niet bij het model. Die begint bij de rol: wie is verwerkingsverantwoordelijke, wie is verwerker, en welke subprocessors komen erbij kijken.
De brochure die “AVG-proof” belooft, is geen document. De FG vraagt naar de verwerkersovereenkomst, het register van verwerkingen, de bewaartermijn van prompts en outputs, en of er training plaatsvindt op gemeentelijke stukken.
Drie dingen in de startnota
Drie dingen die in de startnota horen, voordat ICT een tenant opent:
- De rolverdeling in gewone taal, getekend door leverancier en gemeente.
- Een lijst subprocessors met land en doeleinde — of de expliciete mededeling dat die lijst ontbreekt.
- Een exit: export van logs en kennisbanken, en wat er na opzegging met de data gebeurt.
Wat dit dossierstuk niet doet: een product groen vinken. Dat is niet onze taak, en het is niet de taak van een dossierredactie.
Bronregel
| Claim | Bron | Stand |
|---|---|---|
| Verwerkersovereenkomst | AVG art. 28 — algemeen kader | Niet vastgesteld per product; wél een plicht van de gemeente |
| “AVG-proof” als claim | AP-communicatie, doorlopend | Geen erkende status bij de AP |
| Promptlogging | — | Vaak niet beschreven in publieke docs |
| Training op klantdata | — | Per leverancier; veld leeg tot schriftelijk antwoord |