AI en studentfeedback: de privacychecklist voor je functionaris gegevensbescherming

Open antwoorden zijn persoonsgegevens zodra ze herleidbaar zijn tot een persoon, en vrije tekst bevat vaker iets herleidbaars dan je denkt: een naam, een docent, een situatie. Daarom is het goed om het van tevoren rond te hebben.

De tien vragen

1. Waar worden de gegevens verwerkt? Binnen de EU is het eenvoudigst. Vraag ook naar waar de AI-modellen draaien, niet alleen de database.
2. Worden de antwoorden gebruikt om AI-modellen te trainen? Het antwoord moet een duidelijk nee zijn, en het moet in het contract staan.
3. Is er een verwerkersovereenkomst? Een leverancier die namens jou persoonsgegevens verwerkt, is een verwerker. Daar hoort een verwerkersovereenkomst bij (artikel 28 AVG).
4. Welke subverwerkers worden gebruikt? Denk aan de hosting, de AI-leverancier en de mail. Vraag om een actuele lijst en hoe je op de hoogte wordt gesteld van wijzigingen.
5. Wie is eigenaar van de data? De instelling hoort eigenaar te blijven, met de mogelijkheid om alles op te vragen en te laten verwijderen.
6. Hoe lang worden gegevens bewaard? Vraag naar de standaard bewaartermijn en of je die zelf kunt bepalen.
7. Kunnen antwoorden echt anoniem zijn? Vraag wat anoniem betekent: ziet de leverancier of jouw organisatie wie wat zei? En wat gebeurt er in een kleine groep, waar een antwoord herkenbaar kan zijn aan de inhoud?
8. Weten studenten dat ze met een AI praten? Dat hoort zo te zijn: de Europese AI-verordening vraagt transparantie wanneer mensen met een AI communiceren.
9. Kun je zien waar een conclusie vandaan komt? Een samenvatting zonder bron is niet te controleren. Bij elk thema horen het aantal en de letterlijke citaten.
10. Wat gebeurt er als iets misgaat? Vraag naar de procedure voor een datalek en naar de beveiligingsmaatregelen.

Drie dingen die vaak vergeten worden

• Wat studenten zelf typen. In een open veld kan iemand iets schrijven over een gezondheidssituatie of over een privéprobleem. Dat zijn gevoelige gegevens, ook al vroeg je er niet naar. Bedenk vooraf hoe je daarmee omgaat.
• Docenten komen er ook in voor. Studenten schrijven over docenten, vaak met naam. Dat zijn persoonsgegevens van die docenten. Spreek af wie wat ziet.
• Een DPIA kan nodig zijn. Bij nieuwe technologie en grootschalige verwerking kan een gegevensbeschermingseffectbeoordeling (DPIA) aan de orde zijn. Je FG weet of dat hier geldt.

En een eigen AI-licentie?

Sommige hogescholen werken al met een eigen AI-licentie via hun cloudcontract, waarbij de data niet gedeeld wordt. Anderen wachten op beleid. Beide kunnen werken, zolang je weet waar de data heen gaat en wie erbij kan. Een privé-account van een medewerker voor werkdata is in elk geval geen goede route.

Zo doet Febaso het

• Verwerking in de EU, en nooit gebruikt om AI-modellen te trainen.
• Een verwerkersovereenkomst met een lijst van alle subverwerkers. De instelling blijft eigenaar van de data, en gegevens worden op verzoek verwijderd.
• Anoniem als je dat kiest: jij kiest per interview of antwoorden anoniem zijn, en dan zie je nooit wie wat zei.
• Open over de AI: studenten weten vanaf het eerste bericht dat ze met een AI praten.
• Elk thema met het aantal en de letterlijke citaten, dus na te lopen.

Meer over hoe we met privacy omgaan staat op de privacypagina. Voor je FG kunnen we een samenvatting aanleveren; vraag erom in een kennismaking.