Datakwaliteit, governance en compliance bij AI
Datakwaliteit, governance en compliance bij AI
Dit domein toetst of je datakwaliteit kunt meten, governance-rollen kunt benoemen en de belangrijkste verplichtingen uit de AVG en de EU AI-verordening kunt toepassen op een concrete toepassing.
Datakwaliteit
- Dimensies: juistheid, volledigheid, tijdigheid, consistentie, uniciteit, validiteit en actualiteit. Kies per use case welke dimensies kritisch zijn; bij een voorspellend model wegen actualiteit en representativiteit zwaar, bij een klantdossier uniciteit en juistheid.
- Meten met regels en steekproeven, vastleggen in een kwaliteitsrapportage en herstelbeleid afspreken bij overschrijding.
Governance
- Rollen: data-eigenaar (beslist over gebruik en kwaliteit), data steward (uitvoering en afstemming), technisch beheer (inrichting) en proceseigenaar (gebruik in het proces). Zonder eigenaar is er geen aanspreekpunt.
- Instrumenten: datacatalogus, herkomstregistratie (lineage), definities en modellen, kwaliteitsmonitoring, toegangs- en wijzigingsbeheer.
Compliance
- AVG: rechtsgrond, doelbinding, dataminimalisatie, bewaartermijnen, transparantie, verwerkersovereenkomst, doorgifte buiten de EER en een DPIA bij hoog risico. Artikel 22 beperkt geautomatiseerde besluiten met rechtsgevolgen.
- EU AI-verordening: risicogerichte aanpak met verboden praktijken, hoog-risicosystemen (waaronder werving en selectie, krediet, onderwijs en kritieke infrastructuur) met eisen aan risicobeheer, datagovernance, documentatie, logging, menselijk toezicht en nauwkeurigheid; transparantieverplichtingen bij onder meer chatbots; en verplichtingen voor general-purpose AI-modellen.
- Andere kaders: BIO of ISO 27001 voor informatiebeveiliging, ISO/IEC 42001 voor een AI-managementsysteem.
Uitgewerkt voorbeeld
Een CV-screeningstool rangschikt sollicitaties. Stap 1: vaststellen dat werving en selectie een hoog-risicotoepassing is. Stap 2: AVG-grondslag en DPIA, inclusief biasonderzoek op de trainingsdata en een bezwaarprocedure. Stap 3: inrichtingseisen - technische documentatie, logging, menselijke beoordeling voordat een kandidaat wordt afgewezen, en uitleg aan kandidaten. Stap 4: monitoring en herbeoordeling. De redenering: de classificatie bepaalt het pakket aan verplichtingen, en de organisatie die het systeem gebruikt heeft eigen plichten, ook als de leverancier het model bouwt.
Valkuilen
- Denken dat alleen de leverancier verplichtingen heeft.
- De DPIA pas achteraf doen, of anonimisering aannemen zonder toets.
- Bijzondere persoonsgegevens verwerken op basis van gerechtvaardigd belang.
- Datakwaliteit eenmalig controleren bij de invoering en daarna niet meer.