Een medewerker vraagt of ze die nieuwe AI-tool mag gebruiken die ze op LinkedIn voorbij zag komen. Hij vat dossiers samen en schrijft conceptbrieven. Klinkt goed. Maar waar staan de gegevens? Is er een verwerkersovereenkomst? En wat zegt de AI Act erover? Op die vragen heeft het kantoor nog geen antwoord.
AI biedt kansen, maar bij AI en compliance in de juridische sector gaan de regels voor. Voor notariskantoren betekent dat: elke inzet van AI moet passen binnen de AVG, de beroepsregels en de Europese AI-verordening (AI Act), die stap voor stap van kracht wordt. In dit artikel leest u welk kader geldt en welke maatregelen u neemt om AI verantwoord in te zetten.
Waarom compliance bij AI in de juridische sector voorop staat
Notariskantoren werken met zeer vertrouwelijke gegevens en zijn gebonden aan het beroepsgeheim. Een AI-tool die gegevens naar buiten lekt of onjuiste informatie oplevert, raakt het vak in de kern: vertrouwen. Bovendien staat het notariaat onder toezicht, met strengere verwachtingen dan bij een gemiddeld bedrijf. Compliance is dus het vertrekpunt van elke AI-keuze, geen sluitstuk.
Dat hoeft innovatie niet in de weg te staan. Heeft u de kaders vooraf helder, dan kunt u met vertrouwen proberen binnen veilige grenzen. Dat is beter dan uit voorzichtigheid alles op slot zetten. En veel beter dan ongecontroleerd van alles uitproberen.
Vier regelsets die samenkomen
- AVG: persoonsgegevens verwerkt u alleen met een grondslag, met dataminimalisatie en met een verwerkersovereenkomst met de leverancier. Soms is een DPIA nodig.
- EU AI Act: de Europese AI-verordening werkt met risicocategorieën en stelt eisen aan transparantie en menselijk toezicht. Zoek vooraf uit in welke categorie uw toepassing valt.
- Beroeps- en gedragsregels: het beroepsgeheim en de regels van de beroepsorganisatie gelden onverkort.
- Bewaarplichten: AI mag helpen om ze na te leven, maar mag ze nooit ondermijnen.
Het kader is nog in beweging, zeker rond de AI Act, die gefaseerd van toepassing wordt. Ook voor ons is niet van elk onderdeel al duidelijk hoe het precies wordt ingevuld. De grondbeginselen kunt u nu al toepassen: rechtmatigheid, transparantie, menselijke controle en beveiliging. Bouwt u daarop, dan hoeft u niet bij elke wijziging opnieuw te beginnen.
Vertel cliënten wat u met hun gegevens doet
Verwerkt u persoonsgegevens met behulp van AI, dan moet duidelijk zijn op welke grondslag dat gebeurt. Het moet ook passen bij wat u cliënten vertelt over hoe u met hun gegevens omgaat. Transparantie is een wettelijke plicht. Het versterkt ook het vertrouwen waar het notariële beroep op rust.
Zeven maatregelen voor AI die aan de regels voldoet
- Geen vertrouwelijke gegevens in publieke AI-tools: kies zakelijke AI met afgeschermde gegevens, die uw data niet gebruikt om modellen te trainen.
- Leg de afspraken met de leverancier vast: welke verwerkersovereenkomst, onder welke voorwaarden, en waar worden de gegevens verwerkt en opgeslagen?
- Logging en controleerbaarheid: wie gebruikte welke tool, met welke invoer en welke uitkomst?
- Toegang beperken: met rechten per rol en sterke authenticatie.
- Een mens in de lus: iemand controleert de output en keurt die goed.
- DPIA waar nodig: voer hem uit en leg uw keuzes vast.
- Kort intern beleid: zorg dat medewerkers weten wat wel en niet mag.
Deze maatregelen werken alleen samen. Afgeschermde gegevens zonder toegangsbeheer zijn een half slot. Logging zonder beleid levert gegevens op waar niemand naar kijkt. Het gaat om de combinatie van techniek, afspraken en bewustzijn. Begin daarom niet bij losse tools, maar bij de vraag hoe AI past in uw informatiebeveiliging als geheel.
Compliance werkt het best als het in de systemen zit
Veel van deze maatregelen leunen op een goed ingerichte IT-omgeving. In Microsoft 365 dwingt u met multi-factor authenticatie (MFA), Microsoft Defender, gegevensclassificatie en Data Loss Prevention af dat gevoelige informatie niet ongewenst naar buiten gaat. Toegangsrechten, logging en bewaartermijnen regelt u centraal, niet per medewerker. Zo zitten de regels in de techniek en hangen ze niet af van de oplettendheid van iedere medewerker op ieder moment.
Daarom kunt u AI en de IT eronder niet los van elkaar zien. Een veilige AI-toepassing op een slecht beheerde omgeving blijft kwetsbaar. Zijn identiteit, toegang, beveiliging en monitoring al op orde, dan wordt verantwoorde AI-inzet juist eenvoudiger.
Zo helpt Legal IT: we bouwen uw AI-inzet op een beheerde Microsoft 365-omgeving, met MFA, Defender, gegevensclassificatie en Data Loss Prevention ingericht en bewaakt.
Compliance is nooit af
Compliance is geen afvinklijst die u één keer doorloopt. De regels veranderen, AI-tools veranderen en uw eigen gebruik groeit. Plan daarom vaste evaluaties. Welke tools zijn in gebruik? Kloppen de afspraken nog? Zijn er nieuwe risico's? Zo blijft uw AI-inzet aantoonbaar onder controle, ook als techniek en wetgeving verder veranderen. Daar draait het uiteindelijk om: niet alleen voldoen op papier, maar kunnen laten zien dat u uw verantwoordelijkheid neemt.
En die medewerker met de tool van LinkedIn? Die krijgt nu snel antwoord. Het kantoor weet welke vragen het moet stellen, en waar het antwoord moet staan.
Wat betekent dit voor uw kantoor?
Twijfelt u of uw AI-gebruik aan de regels voldoet? We kijken graag een keer mee. Liever wij dan een buitenstaander.
Plan een gesprek →