AI compliance as a Service

Wat is AI compliance?

AI compliance gaat over de vraag of uw organisatie AI verantwoord ontwikkelt of gebruikt en voldoet aan de regels die daarvoor gelden. De belangrijkste regels staan in de Europese AI-verordening. Die deelt AI-toepassingen in naar risico. Sommige toepassingen zijn verboden en voor andere gelden strenge eisen. Voor de meeste gaat het vooral om transparantie en zorgvuldig gebruik.

Welke verplichtingen voor u gelden, hangt ook af van uw rol. De AI-verordening kent meerdere rollen, zoals aanbieder, gebruiksverantwoordelijke, importeur en distributeur. In de sectoren waarin Shinrai werkt, gaat het vrijwel altijd om één van de eerste twee:

• Aanbieder: de organisatie die een AI-systeem ontwikkelt of laat ontwikkelen en onder eigen naam op de markt brengt, zoals een EdTech-leverancier met AI in zijn product. De aanbieder draagt de zwaarste verplichtingen, van risicobeheer tot technische documentatie en gebruiksinstructies. Bij een hoog-risicosysteem hoort daar ook een conformiteitsbeoordeling bij.
• Gebruiksverantwoordelijke: de organisatie die een AI-systeem onder eigen verantwoordelijkheid inzet, zoals een kinderopvangorganisatie of zorginstelling die een AI-tool gebruikt. Die moet het systeem gebruiken zoals de aanbieder het heeft bedoeld. Bij een hoog-risicosysteem hoort daar ook menselijk toezicht bij.

Een rol ligt niet altijd vast. Een gebruiksverantwoordelijke die een systeem ingrijpend aanpast of onder eigen naam uitbrengt, wordt zelf aanbieder.

AI staat daarbij niet op zichzelf. Verwerkt een AI-toepassing persoonsgegevens, dan geldt ook de AVG. Een AI-oplossing is dan bovendien een leverancier aan wie u gegevens toevertrouwt, met dezelfde beveiligingsvragen als bij elk ander systeem. De rollen uit beide wetten vallen daarbij niet samen. Een EdTech-leverancier is onder de AI-verordening vaak aanbieder, maar onder de AVG meestal verwerker. Shinrai neemt beide mee in dezelfde beoordeling.

Wanneer heeft u AI compliance nodig?

Als gebruiksverantwoordelijke merkt u het vaak pas als AI al in gebruik is. Medewerkers laten een chatbot teksten schrijven, een leverancier voegt een AI-functie toe aan een bestaand systeem, of er ligt een aanvraag voor software die leerlingen of cliënten automatisch beoordeelt.

Als aanbieder speelt de vraag zodra u AI in uw product bouwt of een bestaande functie uitbreidt. Uw klanten willen dan weten hoe uw product zich verhoudt tot de AI-verordening. Scholen en zorginstellingen moeten die vraag zelf ook kunnen beantwoorden.

Een deel van de AI-verordening geldt al. Zo zijn bepaalde toepassingen verboden. Aanbieders en gebruiksverantwoordelijken moeten ook maatregelen nemen om de AI-geletterdheid van hun medewerkers te ondersteunen. Andere eisen volgen de komende jaren, vooral voor hoog-risicosystemen. In het onderwijs gaat het dan bijvoorbeeld om AI die meebeslist over toelating, beoordeling of niveaubepaling van leerlingen. In de zorg gaat het om AI in een medisch hulpmiddel, zoals software die helpt bij het stellen van een diagnose, of om AI die bepaalt welke patiënten bij spoed voorrang krijgen.

Waarom externe ondersteuning bij AI?

Vragen over AI komen onregelmatig binnen: bij een nieuwe aanschaf, een productrelease, een vraag van de MR of een klant. Een eigen specialist is daarvoor wellicht teveel gevraagd. Wel moet er iemand zijn die de regels kent en snel kan beoordelen wat een toepassing betekent.

Shinrai kent beide kanten van de tafel. Wie AI ontwikkelt, krijgt advies van iemand die weet welke vragen scholen en zorginstellingen stellen. Wie AI inkoopt, krijgt advies van iemand die weet wat een aanbieder moet kunnen aanleveren. De regelgeving is bovendien nog volop in beweging. Shinrai houdt die ontwikkelingen bij, zodat uw organisatie dat niet zelf hoeft te doen.

Hoe Shinrai het aanpakt

Shinrai stelt eerst vast welke rol uw organisatie heeft en om welke AI-toepassingen het gaat. Per toepassing wordt bepaald onder welke risicocategorie die valt. Daaruit volgt wat er moet gebeuren.

Voor gebruiksverantwoordelijken kunnen de werkzaamheden bestaan uit:

• Inventariseren van AI-toepassingen, ook de AI die in bestaande software zit, en vastleggen in een AI-register
• Beoordelen van AI-toepassingen en leveranciers vóór aanschaf
• Opstellen van AI-beleid en gebruiksafspraken voor medewerkers
• Risicobeoordelingen, zoals een DPIA of een beoordeling van de gevolgen voor grondrechten (FRIA)
• Opzetten van een aanpak voor AI-geletterdheid, met training voor medewerkers en management
• Advies aan bestuur, MT of medezeggenschapsraad bij vragen over AI

Voor aanbieders kunnen de werkzaamheden bestaan uit:

• Bepalen van de risicocategorie van uw product en de verplichtingen die daarbij horen
• In kaart brengen wat al op orde is en wat nog ontbreekt
• Opstellen of beoordelen van technische documentatie en gebruiksinstructies
• Begeleiden van de conformiteitsbeoordeling van een hoog-risicosysteem, tot en met de EU-conformiteitsverklaring
• Informatie voor klanten over hoe het product zich verhoudt tot de AI-verordening en de AVG
• Advies tijdens de ontwikkeling, zodat privacy en beveiliging vanaf het begin zijn meegenomen
• Ondersteuning bij DPIA’s en FRIA’s die klanten over uw product uitvoeren
• Opzetten van een aanpak voor AI-geletterdheid binnen uw eigen team

In het funderend onderwijs is het Toetsingskader AI van SIVON en Kennisnet een gangbaar hulpmiddel. Het kader vertaalt de AI-verordening naar de onderwijspraktijk. Leveranciers bepalen ermee of hun product onder de verordening valt en welke maatregelen nodig zijn. Schoolbesturen gebruiken het in het gesprek met leveranciers. Shinrai helpt beide partijen bij het invullen van het kader en het beoordelen van de uitkomsten.

U kunt AI compliance as a Service op twee manieren afnemen. Met een strippenkaart legt u losse vragen en beoordelingen voor. In een project werkt Shinrai aan afgesproken doelen, bijvoorbeeld het opzetten van AI-beleid of het voorbereiden van een product op de AI-verordening.

Wat het oplevert

Als gebruiksverantwoordelijke weet u welke AI er in uw organisatie wordt gebruikt en welke regels daarvoor gelden. Medewerkers hebben duidelijke afspraken over wat wel en niet mag en nieuwe toepassingen worden beoordeeld voordat ze in gebruik worden genomen.

Als aanbieder weet u welke verplichtingen voor uw product gelden en hoe u daaraan voldoet. U kunt de vragen van klanten onderbouwd beantwoorden.

In beide gevallen kunt u laten zien hoe u met AI omgaat, aan klanten, ouders, de MR of een toezichthouder.

Samenhang met andere diensten

Bij PO as a Service hoort AI al bij de rol, als onderdeel van het bredere werk rond privacy en informatiebeveiliging. AI compliance as a Service is bedoeld voor organisaties die specifiek hulp bij AI zoeken, los van of naast een eigen PO of FG, en voor aanbieders van AI. Verwerkt een AI-toepassing persoonsgegevens met een hoog risico, dan is een DPIA ook als afzonderlijk traject af te nemen. Voor training van medewerkers sluit Bewustwording hierop aan.