Het eerste uur na een AI-fout bepaalt of u een incident of een crisis hebt. Organisaties die vooraf weten wie wat doet, beperken de schade. De rest leert het tijdens het incident.
Dit artikel geeft een protocol voor vier typen AI-incidenten, met de wettelijke melddeadlines die u moet kennen. Het hoort bij het element veiligheid en robuustheid van het AIP Duurzame AI Kompas. Voorkomen begint bij duidelijke afspraken over data en een beoordeling per toepassing.
Vier typen AI-incidenten
| Type | Voorbeeld | Eerste actie | Melden? |
|---|---|---|---|
| Datalek via AI-tool | Klantdossier in een privéaccount geplakt | Stop gebruik, verwijder waar mogelijk, leg vast wat is gedeeld | Beoordeel binnen 72 uur of melding bij de Autoriteit Persoonsgegevens nodig is |
| Hallucinatie buiten de organisatie | Onjuiste cijfers of een verzonnen bron in een offerte of rapport | Corrigeer het document en informeer de ontvanger | Meestal intern. Juridisch toetsen bij schade of advies |
| Onjuiste of discriminerende uitkomst | Tool sorteert sollicitanten of klanten systematisch ongelijk | Pauzeer gebruik, controleer steekproef, bewaar de uitkomsten | Juridisch toetsen. Bij hoog-risico systemen aparte regels |
| Agent doet ongewenste actie | Agent verstuurt een mail of wijzigt gegevens ten onrechte | Blokkeer toegang, draai de actie terug, controleer logs | Afhankelijk van de data en de gevolgen |
De eerste 24 uur in vijf stappen
- Stop en beperkHaal het gebruik of de toegang weg en voorkom verdere verspreiding. Verwijder inhoud alleen als u eerst heeft vastgelegd wat er was.
- Leg vastWat is gebeurd, wanneer, door wie, welke tool en welk account, welke data. Noteer ook het moment waarop u ervan wist, want daar loopt de meldtermijn vanaf.
- Beoordeel de gevolgenZijn er persoonsgegevens betrokken? Raakt het klanten of medewerkers? Is de uitkomst buiten de organisatie gebruikt?
- Meld waar nodigBij een datalek met risico: Autoriteit Persoonsgegevens binnen 72 uur. Bij een hoog risico voor betrokkenen ook de betrokkenen zelf (artikel 34 AVG). Informeer de leverancier wanneer hij onderdeel van het incident is.
- Herstel en leerPas beleid, instellingen of training aan en plan een korte evaluatie met de betrokkenen. Zoek de oorzaak in het proces, niet bij één medewerker.
Wat u vooraf regelt
- Een incidenteigenaar met een vaste vervanger.
- Een meldroute: medewerker, eigenaar, functionaris gegevensbescherming, juridische zaken, communicatie.
- Een incidentlog met vaste velden: datum, tijd van kennisname, toepassing, data, gevolgen, genomen acties, meldbesluit.
- De afspraak dat een medewerker een fout meldt zonder dat dat tot verwijten leidt. Anders komt een melding te laat.
- Een controleregel voor externe output: wat naar buiten gaat, wordt door een mens gecontroleerd.
EU AI Act en incidenten
Voor hoog-risico AI-systemen bevat de EU AI Act eigen regels voor ernstige incidenten. De verplichtingen voor bijlage III-systemen gaan volgens de Digital Omnibus in op 2 december 2027. Welke rol u heeft (aanbieder of gebruiker) en wat dat voor uw meldplicht betekent, toetst u per systeem met een jurist.
Wat wij in de praktijk zien
Inzicht 1: medewerkers melden te laat
Uit angst voor verwijten blijft een fout dagen liggen. Een meldtermijn van 72 uur loopt dan al, terwijl de organisatie het nog niet weet.
Inzicht 2: hallucinaties vallen niet op als incident
Een onjuist cijfer in een offerte wordt gezien als een tikfout. Zodra het buiten de deur is, is het een kwaliteitsincident met mogelijke aansprakelijkheid.
Inzicht 3: agents verhogen de inzet
Een chatbot geeft een foute tekst. Een agent voert een foute actie uit. Geef agents daarom alleen de rechten die ze nodig hebben en zorg dat acties terug te draaien zijn.
Veelgestelde vragen over AI-incidenten
Wanneer moet ik een datalek melden bij de Autoriteit Persoonsgegevens?
Een datalek met persoonsgegevens meldt u zonder onredelijke vertraging en uiterlijk binnen 72 uur nadat u ervan kennis hebt genomen, tenzij het waarschijnlijk geen risico oplevert voor de rechten en vrijheden van betrokkenen (artikel 33 AVG). Documenteer in alle gevallen elk datalek.
Is persoonsgegevens in een publieke AI-tool plakken een datalek?
Dat kan. Het hangt af van of de gegevens zonder grondslag bij een onbevoegde partij terechtkomen en wat die partij ermee mag doen. Leg het voorval vast en laat uw functionaris gegevensbescherming of jurist beoordelen of melden nodig is.
Wie moet er verantwoordelijk zijn voor AI-incidenten?
Wijs vooraf een incidenteigenaar aan, meestal IT of security, met een vaste route naar de functionaris gegevensbescherming, juridische zaken en communicatie. Zonder vooraf benoemde eigenaar verliest u de eerste uren.
Wat is een hallucinatie en wanneer is het een incident?
Een hallucinatie is een overtuigend klinkende maar onjuiste uitkomst van een AI-systeem. Het wordt een incident zodra de uitkomst buiten de organisatie is gebruikt, bijvoorbeeld in een offerte, advies of publicatie, of een beslissing heeft beïnvloed.
Gelden er onder de EU AI Act meldplichten voor incidenten?
Voor hoog-risico AI-systemen bevat de EU AI Act regels voor het melden van ernstige incidenten, die vooral bij de aanbieder liggen, terwijl gebruikers verplicht zijn de aanbieder te informeren. Volgens de Digital Omnibus gaan de verplichtingen voor bijlage III-systemen in op 2 december 2027. Controleer per systeem uw rol met een jurist.
Tot slot
Zet vandaag twee dingen op papier: wie de incidenteigenaar is en welke meldroute geldt. Zie ook hoe u risico's in uw AI-beleid vastlegt.
Dit artikel is algemene informatie en geen juridisch advies. Melddeadlines en verplichtingen hangen af van uw situatie; raadpleeg uw functionaris gegevensbescherming of een jurist.
Over de auteur
Barry van der Laan MBA is oprichter van AI Personeelstraining en werkt al meer dan 25 jaar in de financiële sector. Hij heeft een master's-niveau opleiding in Financial Services (NIBE-SVV) en helpt organisaties om generatieve AI praktisch, verantwoord en binnen duidelijke governance in te voeren.
Zijn trainingen en adviestrajecten richten zich op AI-geletterdheid, AI-beleid en de praktische invoering van AI-toepassingen in bestaande werkprocessen. Lees meer over onze trainers.