AI in het sociaal domein: wat mag wel en niet volgens de AVG en AI Act?

Ik zit regelmatig met directeuren van welzijnsorganisaties om de tafel. De vraag die steeds terugkomt: "Vincent, we willen AI inzetten om onze rapportages sneller te maken, maar we zijn bang voor de AVG. En nu is er ook nog die AI Act. Wat mogen we eigenlijk wel en niet?"

Het is een terechte vraag. De combinatie van de AVG, de UAVG en de nieuwe AI Act van de Europese Unie maakt het speelveld ingewikkeld. Maar de angst is vaak groter dan de beperkingen. Veel AI toepassingen in het sociaal domein zijn gewoon toegestaan, mits je de regels volgt.

Ik bouw al jaren AI toepassingen voor de sector, van het platform DAAR voor vrijwilligersmatching tot Bijeen.app voor evenementenmanagement. Dit artikel is een praktische gids, geen juridisch advies. Raadpleeg bij twijfel altijd een gespecialiseerde jurist of je Functionaris Gegevensbescherming.

Het verschil tussen AI ondersteuning en AI beslissingen

De kern van de wetgeving is een simpel onderscheid: helpt AI de mens, of neemt AI een beslissing over de mens?

AI ondersteuning is bijna altijd toegestaan. Een AI die je helpt een rapport te schrijven, een samenvatting te maken van een gesprek, of suggesties doet voor netwerkmatches op basis van profielen valt onder normale AVG regels zolang er geen beslissingen worden genomen op basis van die uitvoer.

AI beslissingen zijn aan strengere regels gebonden. Zodra AI gaat profileren, voorspellen of (mee)beslissen over toegang tot voorzieningen, kom je in het domein van hoog risico AI. Dat vereist een Data Protection Impact Assessment, menselijk toezicht en transparantie voor de betrokkenen.

Concreet: de AI matchmaking van Bijeen genereert suggesties voor netwerkcontacten. Een menselijke organisator beslist of die suggesties worden gedeeld. Dat is dus gewoon AI ondersteuning. Maar een AI die bepaalt of iemand wel of geen recht heeft op een bepaalde voorziening, dat is een beslissing. En die is aanzienlijk strenger gereguleerd.

Wat de AVG zegt over AI in het sociaal domein

De AVG geldt voor elke verwerking van persoonsgegevens, of dat nu met AI gebeurt of met een spreadsheet. De principes zijn helder: dataminimalisatie, doelbinding, transparantie, juistheid en integriteit.

In de praktijk betekent dit voor AI toepassingen in de welzijnssector:

• Dataminimalisatie: gebruik niet meer gegevens dan nodig voor het specifieke doel. Een AI die netwerksuggesties doet heeft geen medische gegevens nodig, alleen interesses en functies.
• Transparantie: vertel deelnemers dat AI wordt gebruikt en hoe. Dat kan in de privacyverklaring en bij het aanmeldformulier.
• Menselijk toezicht: zorg dat een mens de uitvoer van AI beoordeelt voordat die wordt gebruikt voor belangrijke beslissingen.
• Geen black boxes: de AI moet uitlegbaar zijn. Je moet kunnen begrijpen waarom een bepaalde suggestie wordt gedaan.

Voor de welzijnssector, waar we werken met kwetsbare deelnemers en publieke middelen, geldt een extra verantwoordelijkheid. De ondergrens is: geen black box beslissingen over mensen, altijd dataminimalisatie, een DPIA vooraf en aantoonbaar menselijk toezicht.

Wat de AI Act toevoegt

De Europese AI Act, die in fasen wordt ingevoerd vanaf 2025, classificeert AI systemen in risicocategorieën. Voor het sociaal domein zijn twee categorieën relevant:

Hoog risico AI omvat systemen die worden gebruikt voor toegang tot essentiële diensten, zoals sociale voorzieningen, gezondheidszorg en onderwijs. Dit zijn systemen die een directe impact hebben op de rechten en kansen van mensen. Voor hoog risico AI zijn strenge eisen van toepassing: risicobeheer, data governance, transparantie, menselijk toezicht en robuustheid.

Beperkt risico AI omvat systemen zoals chatbots en AI die content genereert. Hier gelden vooral transparantieverplichtingen: gebruikers moeten weten dat ze met AI te maken hebben.

Voor de meeste welzijnsorganisaties die AI inzetten voor rapportage, matching of communicatieondersteuning, is de impact beperkt. Zolang je binnen de AVG kaders blijft en geen beslissingen neemt over toegang tot voorzieningen, zit je goed.

Praktijkvoorbeeld: AI rapportage in Bijeen

In Bijeen.app gebruiken we AI voor twee dingen: het genereren van netwerksuggesties op basis van deelnemersprofielen en het opstellen van concept impactrapportages op basis van evenementdata.

De netwerksuggesties zijn puur adviserend. De AI analyseert geanonimiseerde profielinformatie en stelt matches voor. De organisator ziet die suggesties en beslist of en hoe ze worden gebruikt. De AI heeft nooit toegang tot namen, emailadressen of andere direct identificerende gegevens voor de matching.

De impactrapportage genereert een concept op basis van de data die tijdens het evenement is verzameld: check-ins, enquêteresultaten, matchdata. Het rapport is een voorzet die de organisator kan aanpassen en aanvullen. De uiteindelijke verantwoordelijkheid voor de inhoud ligt bij de mens.

Beide toepassingen vallen onder AI ondersteuning en blijven binnen de kaders van de AVG en de AI Act. Geen hoog risico, geen black box, geen beslissingen over mensen.

Vijf regels om veilig AI te gebruiken in de welzijnssector

1. Doe altijd een DPIA voordat je een nieuwe AI toepassing introduceert. Dat is niet alleen verplicht voor hoog risico AI, het is ook gewoon goed om vooraf na te denken over risico's.
2. Houd de mens in de keten. AI is een assistent, geen beslisser. Zorg dat een mens altijd de uitvoer beoordeelt voordat die wordt gebruikt.
3. Wees transparant. Vertel deelnemers, cliënten en medewerkers dat AI wordt gebruikt, waarvoor en met welke waarborgen.
4. Minimaliseer data. Gebruik niet meer persoonsgegevens dan strikt noodzakelijk. Anonimiseer waar mogelijk.
5. Documenteer. Houd bij welke AI systemen je gebruikt, welke data ze verwerken, en welke beslissingen erop worden gebaseerd. Dat is niet alleen verplicht, het beschermt je ook als er vragen komen.

Klaar om verantwoord met AI te starten?

Bijeen.app is gebouwd volgens deze principes. Je kunt het gratis uitproberen via Bijeen.app. ANBI organisaties ontvangen 15% korting. Voor een breder gesprek over AI strategie in het sociaal domein: www.WeAreImpact.nl.

Veelgestelde vragen

Moet ik een DPIA doen voor elke AI tool die ik gebruik?

Een DPIA is verplicht als de verwerking van persoonsgegevens waarschijnlijk een hoog risico inhoudt voor de rechten van betrokkenen. Voor eenvoudige AI ondersteuning zoals het genereren van rapportages is een DPIA niet altijd verplicht, maar het is wel aan te raden. Het dwingt je om voor na te denken over risico's en maatregelen.

Wat gebeurt er als ik de AI Act overtreed?

De AI Act voorziet in boetes die kunnen oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor de zwaarste overtredingen. Voor de meeste welzijnsorganisaties zijn de risico's kleiner, maar naleving is geen vrijblijvend advies. Het is wetgeving.

Geldt de AI Act ook voor open source AI?

Ja, met enkele uitzonderingen. De AI Act maakt onderscheid tussen aanbieders en gebruikers van AI. Als je een open source model gebruikt voor een hoog risico toepassing, ben je als gebruiker verantwoordelijk voor naleving. Gebruik bij twijfel een bewezen compliant platform zoals Bijeen.app.