GEB van een AI-tool

Het voorafgaand onderzoek (art. 35 AVG, lijst van de GBA, WP248-criteria), het resultaat en de redenen, daarna een vooraf ingevulde GEB voor het gekozen gebruik, om na te lezen en te ondertekenen.

De regel, de bron en de datum
Een document om na te lezen en te ondertekenen
Cliëntgegevens blijven op dit toestel

Hoe het werkt

Hoe de tool werkt

Het voorafgaand onderzoek. De verplichte gevallen van art. 35, lid 3, AVG, de acht soorten van de lijst van de GBA, daarna de negen criteria van de WP248-lijst die de GBA toepast. Generatieve AI geldt als innovatief gebruik: dat criterium is standaard aangevinkt, uit te vinken voor een klassieke tool.
Het resultaat. Een verplicht geval: GEB verplicht. Twee criteria of meer: GEB vereist. Eén criterium: GEB aanbevolen. Geen criterium maar gegevens van cliënten: een korte GEB aanbevolen voor het eerste gebruik. Anders is een GEB niet vereist. Wanneer het kantoor ervan mag afzien, vraagt de tool de redenen vast te leggen.
De context. De tool, de aanbieder, het gebruik (opstellen, samenvattingen, vertaling, transcriptie, opzoekwerk, documenten van het kantoor), de gegevens, de betrokkenen, de gegevensstroom, de hosting, de bewaring en de training. Met de kluis open kan die informatie uit het register van AI-tools worden overgenomen.
De beginselen. Noodzakelijkheid en evenredigheid, rechtsgrond, minimale gegevensverwerking en pseudonimisering, juistheid, bewaring, informatie, rechten van de betrokkenen, verwerker, doorgiften.
De risico's. Tien vooraf ingevulde risico's (schending van het beroepsgeheim, hergebruik door de aanbieder, toegang door buitenlandse overheden of het personeel van de aanbieder, lekken tussen dossiers, beveiligingsincident, onjuist resultaat, vooringenomenheid, verlies van controle, onrechtmatig model), met hun maatregelen en een ernst en waarschijnlijkheid op de schalen met vier niveaus van de CNIL, aan te passen.
De validatie. Het restrisico, het advies van de functionaris voor gegevensbescherming als er een is, de voorafgaande raadpleging van de GBA als een risico hoog blijft (art. 36), de beslissing, het actieplan en de ondertekening.

De GEB wordt geëxporteerd naar pdf en Word, in de gekozen taal. Met een geverifieerd adres draagt ze het briefhoofd van uw kantoor, waarvan de naam als verwerkingsverantwoordelijke wordt overgenomen.

Wat de teksten zeggen

AVG, art. 35: een GEB is vereist voor een verwerking die waarschijnlijk een hoog risico inhoudt, "in het bijzonder bij gebruik van nieuwe technologieën". Overweging 91 preciseert dat de gegevens van cliënten van een individuele advocaat niet op grote schaal worden verwerkt.
Beslissing 01/2019 van de GBA: de Belgische lijst van verwerkingen waarvoor een GEB vereist is. Generatieve AI staat er niet op, wat een GEB op grond van art. 35 niet uitsluit.
Gids van de GBA: in de meeste gevallen vereisen twee criteria van de WP248-lijst een GEB.
AI-fiche van de CNIL: generatieve AI is innovatief gebruik. PIA-methode van de CNIL: context, fundamentele beginselen, risico's, validatie.
La Tribune van AVOCATS.BE (nr. 280) acht een GEB in de praktijk onvermijdelijk voor het eerste gebruik van een generatieve AI-tool.

Aandachtspunten

Een GEB is voor een advocatenkantoor niet automatisch verplicht: de tool beveelt er standaard een aan voor het eerste gebruik met gegevens van cliënten, en laat toe een gemotiveerde beslissing om ervan af te zien te documenteren.
Eén GEB kan meerdere vergelijkbare verwerkingen dekken en kan worden overgenomen van een vergelijkbare verwerking.
De voorgestelde niveaus van ernst en waarschijnlijkheid zijn een vertrekpunt, na te kijken voor uw geval.

Wat de tool niet doet

Hij raadpleegt de GBA niet in uw plaats en controleert de verklaringen van de aanbieder niet.
Hij verzendt niets: uw antwoorden blijven in het geheugen van dit tabblad.

Controle

De bronnen werden nagekeken op 7 oktober 2026. De tool ondersteunt de advocaat, die verantwoordelijk blijft voor de beoordeling en de beslissing.

Bijgewerkt op 7 oktober 2026

Veelgestelde vragen

Is een GEB verplicht voordat het kantoor AI gebruikt?

Niet automatisch. De AVG vereist er een wanneer de verwerking waarschijnlijk een hoog risico inhoudt. Voor een individuele advocaat worden de gegevens van cliënten niet op grote schaal verwerkt (overweging 91), en generatieve AI staat niet op de lijst van de GBA. Maar de gids van de GBA meent dat twee criteria in de meeste gevallen een GEB vereisen, en generatieve AI op dossiers met gevoelige gegevens vervult er vaak twee.

Welke criteria zijn er?

De negen criteria van de WP248-lijst, toegepast door de GBA: evaluatie of scoring, geautomatiseerde beslissing, stelselmatige monitoring, gevoelige of zeer persoonlijke gegevens, grote schaal, koppeling van gegevens, kwetsbare personen, innovatief gebruik, verwerking die de uitoefening van een recht verhindert. Voor een kantoor komen de gevoelige gegevens in dossiers en het innovatieve gebruik van generatieve AI het vaakst voor.

Wat als een GEB niet vereist is?

Leg de redenen vast. De gids van de GBA vraagt de verwerkingsverantwoordelijke uit te leggen waarom een verwerking die criteria vervult, niet als hoog risico wordt beschouwd. De tool heeft een veld voor die redenen, dat in het document wordt overgenomen.

Wanneer moet de GBA worden geraadpleegd?

Wanneer een risico hoog blijft na de geplande maatregelen (art. 36 AVG). De tool meldt dat zodra een risico een aanzienlijke of maximale ernst en waarschijnlijkheid behoudt.

Kan één GEB meerdere tools dekken?

Ja, één beoordeling kan vergelijkbare verwerkingen met vergelijkbare risico's dekken, en een bestaande GEB kan worden overgenomen en aangepast. De tool noteert het als u dat aangeeft.

In welke taal wordt de GEB opgesteld?

In het Frans, het Nederlands, het Engels of het Duits, naar keuze, los van de taal van de site. Ze wordt geëxporteerd naar pdf en Word.

Hulpmodel opgesteld volgens de vermelde bronnen. Na te lezen en aan te passen door de advocaat; het is geen advies en geen garantie dat de regels zijn nageleefd.

Wat de regel zegt