DPIA voor autonome AI: beoordeel de hele agentketen, niet alleen dataset en model

Een gegevensbeschermingseffectbeoordeling voor autonome AI moet verder gaan dan dataset en model: beoordeel ook geheugen, contextoverdracht, toolgebruik, derde partijen, veranderende doelen, menselijke interventie en herhaal dit bij elke wijziging. De MLCommons Agent Privacy Risk Taxonomy v0.1 ordent privacyrisico's in vijf domeinen en verbindt elke dreiging via een faalmechanisme met getroffen personen en impact.

De Privacy Working Group van MLCommons publiceerde op 1 oktober 2026 de Agent Privacy Risk Taxonomy v0.1, een conceptraamwerk om privacyrisico's van autonome en multi-agent systemen te ordenen. Het is uitdrukkelijk een conceptversie en geen bindende norm, maar het vult een gat: klassieke privacybeoordelingen kijken naar doel, dataset en model, terwijl een agent zelfstandig handelt, informatie onthoudt, externe tools aanroept en taken doorgeeft aan andere agents.

Aanvullende guidance versterkt dit beeld. De Privacy Commissioner for Personal Data in Hong Kong behandelt in haar publicatie over agentic AI onder meer geheugenbewaring, doelbinding, least-privilege-toegang en menselijke review of oversight. De Government of Western Australia beschrijft in How to do a privacy impact assessment een processtructuur met projectbeschrijving, informatiestromen, risicoanalyse en aanbevelingen. Die laatste is een officiële methodiek, geen Nederlandse of Europese wettelijke DPIA-norm.

Wat staat er in de MLCommons Agent Privacy Risk Taxonomy v0.1?

De taxonomie ordent privacyrisico's van agents in vijf domeinen: gegevensinname en -verwerking, aggregatie en delen, inconsistente privacypraktijken tussen agents, falende statische toestemmingsmodellen, en accountability en governance. Daarnaast beschrijft zij een zesstaps causale keten die een dreiging via een faalmechanisme en een privacygebeurtenis verbindt met getroffen personen, directe privacy-impact en downstream schade. Onze analyse voegt daar een herbeoordelingsmoment aan toe.

De kracht van die keten zit in het dwingende karakter: je kunt een risico niet noteren zonder te benoemen hoe het misgaat, wie geraakt wordt en wat de gevolgschade is. Naar onze inschatting dwingt dit organisaties om vage noties als "datalekrisico" te vertalen naar een concreet verhaal, bijvoorbeeld: een agent kopieert klantgegevens uit zijn geheugen naar een externe tool van een derde partij, waardoor een betrokkene ongewild in een ander systeem terechtkomt.

Welke stappen horen in een DPIA voor een autonome AI-agent?

Onze analyse gebruikt de officiële PIA-structuur uit Australië als processkelet en de MLCommons-taxonomie als bron voor agent-specifieke risico-inhoud. Naar onze inschatting ontstaat zo een bruikbaar kader in zeven stappen:

• Begrens doel, mate van autonomie en de toegestane externe effecten van de agent.
• Maak een gegevens- en bevoegdhedenkaart van prompts, retrieval, geheugen, logs, tools, agent-overdrachten en derde partijen.
• Classificeer de risico's volgens de vijf MLCommons-domeinen.
• Traceer per risico de causale keten van dreiging en faalmechanisme naar privacygebeurtenis, getroffen persoon, impact en downstream schade.
• Toets doelbinding, dataminimalisatie, toestemming, rechten van betrokkenen, bewaartermijnen, beveiliging, menselijke interventie en leveranciersbeheer.
• Leg technische en organisatorische maatregelen vast: least privilege, contextafscherming, geheugenbeheer, onafhankelijke controles en stopmechanismen.
• Noteer resterend risico, de verantwoordelijke, het bewijs en de triggers voor herbeoordeling.

Het verschil met een klassieke DPIA zit vooral in de tweede stap. Naar onze inschatting wordt een kaart van de feitelijke subverwerkersketen en modelroutes noodzakelijk, omdat een agent gegevens kan delen met partijen die vooraf niet in beeld waren.

Wat betekent dit voor bestuurders, juristen en CISO's?

Onze analyse: omdat een agent zelfstandig tools aanroept en gegevens doorgeeft aan andere systemen, verschuift het privacyrisico van het moment van ontwerp naar het moment van uitvoering, en dat raakt iedereen die verwerkingsverantwoordelijke blijft; daarom moet de functionaris gegevensbescherming naar onze inschatting afdwingen dat de DPIA ook runtimegedrag, geheugen en agent-overdrachten beoordeelt, niet alleen de dataset en het model. Omdat de Hong Kong-toezichthouder geheugen en bewaartermijnen van histories apart benoemt, ontstaat het risico dat persoonsgegevens langer in het geheugen van een agent blijven hangen dan het verwerkingsdoel rechtvaardigt; daarom legt de jurist naar onze inschatting in het verwerkersregister en in leverancierscontracten vast hoe lang geheugen en logs bewaard blijven en hoe ze worden gewist. Omdat de guidance least-privilege-toegang benoemt maar een agent in de praktijk vaak brede bevoegdheden krijgt, ontstaat het risico dat één gecompromitteerde agent bij alles kan, en daarom beperkt de CISO naar onze inschatting de bevoegdheden per agent en bouwt hij een stopmechanisme en incident-draaiboek voor ongeautoriseerd agentgedrag in voordat het systeem live gaat. Omdat de guidance menselijke review of oversight als maatregel benoemt, ontstaat het risico dat beslissingen zonder menselijke tussenkomst worden genomen; daarom bepaalt het bestuur naar onze inschatting vooraf welke beslissingen een mens moet goedkeuren en legt het die drempel schriftelijk vast.

Wanneer moet ik de beoordeling opnieuw uitvoeren?

Een DPIA voor een autonome agent is naar onze inschatting geen eenmalig document maar een versieerbare controlecyclus. De Hong Kong-guidance ondersteunt voortdurende risicobeoordeling. Onze analyse vertaalt dat, in combinatie met de MLCommons-causale keten, naar een herbeoordelingsmoment per risico. Naar onze inschatting moet de beoordeling opnieuw worden uitgevoerd bij elk van de volgende wijzigingen:

• een ander onderliggend model of een modelupdate;
• een gewijzigde systeemprompt of instructie;
• een verandering in geheugen- of bewaarinstellingen;
• een nieuwe of aangepaste tool die de agent mag aanroepen;
• een andere leverancier of modelroute;
• een nieuwe gegevensbron die de agent benadert;
• een gewijzigd doel of een hoger bevoegdheidsniveau.

Wie dit nalaat, loopt naar onze inschatting het risico dat de vastgelegde beoordeling niet meer overeenkomt met het systeem dat feitelijk draait. Dat ondermijnt niet alleen de privacybescherming maar ook de verantwoording: een gekoppeld beslis- en gebeurtenisrecord is alleen bruikbaar als het aansluit op de actuele configuratie. Voor een bredere opzet van verantwoord privacybeheer rond AI biedt onze themahub over AI-privacy en AVG verdere achtergrond, en voor de beheersing van de agentketen zelf de hub over agentic AI en AI-agents.

Bronnen: Het artikel steunt op de Agent Privacy Risk Taxonomy v0.1 van MLCommons, de agentic-AI-guidance van de Privacy Commissioner for Personal Data in Hong Kong en de PIA-methodiek van de Government of Western Australia.