Pseudonimisering van trainingsdata volstaat volgens de EDPB niet als anonimisering

Trainingsdata is volgens de EDPB pas anoniem als records niet meer kunnen worden geïsoleerd, gekoppeld of gebruikt voor betekenisvolle inferentie, waarvoor het verwijderen van namen of pseudonimisering niet volstaat. Wie generatieve AI traint, moet ook het getrainde model testen op memorisatie en extractie voordat de data als anoniem geldt.

De European Data Protection Board (EDPB) heeft in zijn toelichting op anonimisering en pseudonimisering een scherp onderscheid vastgelegd: bij pseudonimisering blijft koppeling aan een persoon mogelijk, bij anonimisering is dat redelijkerwijs niet meer het geval. In een begeleidend bericht over anonimisering en webscraping voor generatieve AI verbindt de EDPB die toets expliciet aan het trainen van AI-modellen. Een recente studie in de ACM Digital Library voegt daar in november 2026 een belangrijk inzicht aan toe: anonimiteitsclaims over synthetische of getransformeerde trainingsdata moeten worden beoordeeld vanuit het model, niet alleen vanuit de onderliggende dataset.

Wat betekenen de drie EDPB-criteria voor anonimisering concreet voor AI-trainingsdata?

De EDPB hanteert drie cumulatieve criteria. Data is pas anoniem als records niet kunnen worden geïsoleerd (singling out), niet aan externe bronnen kunnen worden gekoppeld (linkability) en niet kunnen leiden tot betekenisvolle gevolgtrekkingen over een persoon (inference). Als één van de drie criteria niet wordt gehaald, is verdere analyse nodig voordat de data als anoniem kan worden beschouwd. Belangrijk is dat deze toets contextafhankelijk is: wie de data kan benaderen, met welke middelen en welke aanvullende datasets, bepaalt mede de uitkomst. Dat normkader werkt naast risicogerichte verplichtingen uit de EU AI Act (Verordening (EU) 2024/1689), die aparte eisen stelt aan datagovernance bij hoog-risico AI-systemen.

• Geen recordisolatie: uit de data is geen individueel record meer af te zonderen dat naar één persoon verwijst.
• Geen koppeling: records kunnen niet worden verbonden met andere gegevens die wél tot identificatie leiden.
• Geen betekenisvolle inferentie: uit de data kan niet met redelijke zekerheid iets over een specifieke persoon worden afgeleid.

Waarom volstaat het testen van alleen de dataset niet bij generatieve AI?

Bij generatieve AI eindigt het risico niet bij de dataset. Informatie kan tijdens het trainen in de modelgewichten terechtkomen en later worden gereproduceerd. Het Franse CNIL stelt in zijn analyse van de AVG-status van een AI-model dat een model alleen als anoniem kan gelden wanneer identificatie vanuit de modelparameters zeer onwaarschijnlijk is én persoonsgegevens niet via modelqueries kunnen worden geëxtraheerd.

De OESO beschrijft in haar rapport over gebruikerscontrole en privacybescherming bij AI dat gegevens in modelgewichten kunnen worden gememoriseerd en dat volledige verwijdering uit een model zonder vernietiging ervan niet altijd mogelijk is. De genoemde ACM-studie maakt dit operationeel door memorisatie-, regurgitatie- en query-based-extractieaanvallen tot kern van de beoordeling te maken.

Naar onze inschatting ligt hier de belangrijkste verschuiving: wie alleen de dataset opschoont en de modeltoets overslaat, baseert een anonimiteitsclaim op een onvolledig beeld en loopt het risico dat de claim bij het eerste extractieonderzoek sneuvelt.

Wat betekent dit voor bestuurders, juristen en CISO's die anonimiteit willen aantonen?

Onze analyse: omdat de EDPB anonimiteit cumulatief op drie criteria toetst, verliest een organisatie die alleen directe identificatoren verwijdert haar anonimiteitsclaim zodra een toezichthouder of onderzoeker koppeling of inferentie aantoont; daarom moet de verwerkingsverantwoordelijke vóór het gebruik van de trainingsset een expliciet threat model vastleggen met aanvaller, toegangsrechten en externe datasets. Omdat CNIL en de OESO laten zien dat persoonsgegevens in de modelgewichten kunnen blijven zitten, verschuift de bewijslast van de dataprofessional naar de hele AI-keten; daarom hoort de jurist in verwerkers- en inkoopcontracten een clausule op te nemen die zowel white-box- als querygerichte extractietests op het geleverde model verplicht stelt. Omdat de anonimiteitstoets contextafhankelijk is, verandert een anonimiteitsclaim mee met de toegangscontext; daarom moet de CISO vastleggen wie het model onder welke rechten mag bevragen en die aanname opnieuw beoordelen zodra de toegang verruimt. En omdat nieuwe modellen, bronnen en aanvalstechnieken de aannames kunnen inhalen, veroudert een eenmalige vaststelling van anonimiteit; daarom hoort het bestuur een periodieke herbeoordeling te beleggen, met een vastgelegd moment waarop de claim opnieuw moet worden getoetst. Houd daarbij het onderscheid met pseudonimisering onder de AVG en de plichten die blijven gelden scherp: afzonderlijk bewaarde sleutels, hashes of beperkte toegangsrechten verminderen het risico, maar maken gegevens niet automatisch anoniem.

Welke toetsstappen horen bij een verdedigbare anonimiteitsclaim?

Een verdedigbare claim steunt op een gecombineerde dataset- én modeltoets, met vastgelegde aannames. Geen van de genoemde bronnen biedt de garantie dat een model na transformatie nooit informatie reproduceert; zij onderbouwen een bewijsverplichting. Leg daarom de volgende stappen vast, en leg ze zoals bij een DPIA die de hele AI-keten beoordeelt in plaats van alleen de dataset naast elkaar.

1. Beschrijf de toegangscontext: welke aanvaller, welke rechten, welke middelen en welke externe datasets zijn meegewogen.
2. Test de dataset op recordisolatie, koppeling aan externe bronnen en betekenisvolle inferentie.
3. Test het getrainde model afzonderlijk op white-box-identificatie uit de parameters en op memorisatie, regurgitatie en query-based extraction.
4. Documenteer transformatie, modelversie, uitgevoerde aanvalstests en de resterende onzekerheid.
5. Beoordeel de claim periodiek opnieuw bij nieuwe modellen, nieuwe bronnen of nieuwe aanvalstechnieken.

Omdat de plaats waar het model draait de extractierisico's niet vanzelf wegneemt, is het nuttig te begrijpen waarom lokaal draaien gevoelige gegevens niet vanzelf beschermt. Meer achtergrond bij dit onderwerp staat in onze hub over AI-privacy en AVG in de beroepspraktijk.

Bronnen: Het artikel steunt op de EDPB-richtsnoeren over anonimisering, de CNIL-analyse van de AVG-status van AI-modellen, een OESO-rapport en een peer-reviewed ACM-studie over modelgerichte privacy-aanvallen.