AI voor DPO’s – Reconnect

Na de invoering van de AI Omnibus schoof de verplichtingen voor hoog-risicosystemen op. Toezichthouders publiceerden een reeks adviezen over AI. En de technologie zelf maakte een sprong: AI-systemen beantwoorden niet langer alleen vragen, ze voeren als agents zelf taken uit en koppelen zich via protocollen als MCP aan mailboxen, CRM-systemen en externe diensten.

Voor de DPO betekent dat nieuwe vragen. Wie is verantwoordelijk als een agent zelf beslist? Waar belanden de gegevens als een connector met één klik wordt geactiveerd? Hoe hou je een register bij als de architectuur voortdurend verandert? Deze updatedag geeft deelnemers de kennis en de oefening om daar een onderbouwd antwoord op te formuleren.

Waarom deze opleiding volgen?

Opbouw

Deel 1 – Update regelgeving en adviezen van toezichthouders

De AI Act is sinds 2 augustus 2026 algemeen van toepassing, maar ziet er anders uit dan wat deelnemers destijds leerden. Met Verordening (EU) 2026/1744, de AI Omnibus, verschuiven de verplichtingen voor hoog-risicosystemen naar december 2027 (bijlage III) en augustus 2028 (bijlage I). Tegelijk wijzigen de regels over AI-geletterdheid, over de verwerking van bijzondere categorieën van persoonsgegevens voor biasdetectie en over de bevoegdheden van het AI Office. We overlopen wat er veranderde en vooral wat dat betekent voor de DPO, zonder in alle details van de AI Act te duiken.

Daarnaast brengen we de adviezen van toezichthouders over AI samen: van het EDPB-advies over AI-modellen en de aanbevelingen van de CNIL tot de eerste documenten over agentic AI van de Spaanse AEPD, de Britse ICO en de CNIL. De richtlijn van de AEPD over agentic AI vormt de rode draad naar de rest van de dag.

Leerdoelen

• Je kent de gewijzigde tijdlijn en de belangrijkste inhoudelijke wijzigingen van de AI Act na de AI Omnibus.
• Je kan inschatten welke wijzigingen raken aan je rol als DPO: AI-geletterdheid, bijzondere categorieën van persoonsgegevens, transparantie en de verhouding tussen DPIA en FRIA.
• Je kent de voorgestelde GDPR-wijzigingen uit de Digital Omnibus en de positie van de EDPB en de EDPS.
• Je hebt een overzicht van de relevante adviezen van toezichthouders over AI en weet welk document je voor welke vraag gebruikt.

Deel 2 – Nieuwe technologie: agentic AI, MCP en verder

In de driedaagse opleiding maakten deelnemers kennis met taalmodellen en met RAG, waarbij een model met eigen documenten werkt. Vandaag gaat de technologie een stap verder. Een AI-agent krijgt een doel, splitst dat op in taken, roept zelf tools aan, onthoudt wat hij leerde en handelt. We tonen hoe dat werkt, van eenvoudige assistenten met connectors tot systemen waarin meerdere agents samenwerken onder een orchestrator.

Het Model Context Protocol (MCP) krijgt bijzondere aandacht. Waar een klassieke API alleen bruikbaar is voor wie hem kent, beschrijft een MCP-server zichzelf, zodat een agent zelf ontdekt wat hij kan doen. Aan de hand van een demonstratie zien deelnemers hoe een connector wordt geactiveerd en welke rechten daarbij worden toegekend. Elk vinkje op zo’n configuratiepagina opent een gegevensstroom. Daarnaast bespreken we andere evoluties: agents die met andere agents onderhandelen, persoonlijke agents, persistent geheugen, en prototypes die met vibe coding in enkele uren gebouwd worden.

Na elk technisch onderdeel vertalen we de techniek naar de praktijk van de DPO, met de AEPD-richtlijn als achtergrond: welke nieuwe kwetsbaarheden ontstaan er, zoals prompt injection, kwaadaardige MCP-servers of te ruime rechten, en welke maatregelen kan je als DPO verwachten of vragen?

Leerdoelen

• Je kan het verschil uitleggen tussen een chatbot, een RAG-toepassing en een AI-agent.
• Je begrijpt op hoofdlijnen hoe MCP werkt en waarin het verschilt van een klassieke API-koppeling.
• Je herkent in een configuratie of architectuur de gegevensstromen, ontvangers en rollen die voor de GDPR relevant zijn.
• Je kan de belangrijkste agent-specifieke risico’s benoemen en koppelen aan passende maatregelen, zoals minimale rechten, menselijke goedkeuring, logging en een noodstop.
• Je weet welke informatie je van ontwikkelaars nodig hebt om een agentic toepassing te beoordelen.

Deel 3 – Het snijvlak tussen agentic AI en GDPR: een casestudy

In de namiddag passen deelnemers alles toe in een casestudy. Ze werken in groep aan een DPO-advies over een realistisch technologisch concept waarin de nieuwe ontwikkelingen van de voormiddag samenkomen: AI-agents die zelfstandig taken uitvoeren, koppelingen met interne en externe systemen via MCP, en geheugen dat informatie over personen bijhoudt. De basis van een DPIA wordt als gekend verondersteld; de focus ligt op wat deze technologie verandert aan de analyse.

De casestudy is geen statisch dossier. In de loop van de namiddag evolueert het concept, zoals dat ook in de praktijk gebeurt: nieuwe koppelingen, nieuwe doeleinden of een incident. Deelnemers ervaren zo hoe snel een agentic systeem verandert en hoe de DPO daarop inspeelt.

Leerdoelen

• Je kan een agentic AI-toepassing kwalificeren onder de AI Act en de rollen van alle betrokken partijen onder de GDPR bepalen.
• Je kan de gegevensstromen van een agentic systeem in kaart brengen en gericht bijkomende informatie opvragen bij ontwikkelaars.
• Je kan rechtmatigheid, doelbinding en geautomatiseerde besluitvorming beoordelen wanneer een agent zelfstandig handelt.
• Je kan agent-specifieke risico’s analyseren volgens de logica kwetsbaarheid, dreiging en impact, en passende maatregelen voorstellen.
• Je kan je analyse omzetten in een helder en gemotiveerd DPO-advies: go, go onder voorwaarden of no-go.

Algemene leerdoelen

Didactische aanpak

We leggen nieuwe regelgeving en technologie uit aan de hand van concrete voorbeelden en demonstraties. Na elk technisch onderdeel vertalen we de inhoud naar de praktijk van de DPO. De namiddag is volledig interactief: deelnemers werken in groep aan een casestudy die in de loop van de dag evolueert.

Hoe jezelf voorbereiden

Deelnemers hebben de driedaagse opleiding AI voor DPO’s gevolgd of beschikken over vergelijkbare kennis van AI, de AI Act en de GDPR. Wie de oefening van de derde dag nog niet maakte, krijgt vooraf een korte checklist met de basisstappen van een DPIA.