De AI Act en AVG kijken naar verschillende dingen: de blinde vlek die compliance officers missen

De EU AI Act en de AVG gebruiken allebei het woord "inferentie". Ze bedoelen er totaal verschillende dingen mee. De AI Act gebruikt inferentie als het bepalende kenmerk om AI van conventionele software te scheiden. De AVG reguleert inferentie beschermend. Het geldt als een vorm van verwerking van persoonsgegevens. Die twee wettelijke perimeters overlappen niet. Dat creëert een blinde vlek. Je kunt die als compliance officer niet negeren.

Een recente paper op arXiv laat dit zien. De auteurs tonen aan dat de juridische definitie van AI in de AI Act (Art. 3(1)) draait om het vermogen om inferenties te maken. De AVG daarentegen heeft het over de verwerking van persoonsgegevens. Denk aan profilering en geautomatiseerde besluitvorming. Het probleem is duidelijk. Een systeem kan inferenties maken zonder persoonsgegevens te verwerken. Een systeem kan persoonsgegevens verwerken zonder inferenties te maken. De Venn-diagrammen overlappen, maar vallen niet samen.

Dit is geen academische haarkloverij. Het betekent dat je als organisatie twee aparte compliance-trajecten moet draaien. Er zijn twee verschillende definities van wat "AI" is. Er zijn twee verschillende risicokaders. Wie alleen naar de AI Act kijkt, mist de AVG-verplichtingen. Wie alleen naar de AVG kijkt, mist de AI Act. Wie denkt dat ze hetzelfde meten, zit fout.

Twee wettelijke perimeters, één woord

We leggen de definities naast elkaar. De AI Act, Artikel 3(1), definieert een AI-systeem als een systeem dat "inferenties" maakt. De outputs hebben invloed op omgevingen. Die definitie is bewust breed en technologie-neutraal geschreven. Het kerncriterium is het vermogen tot inferentie. Een simpele if-then-regel valt daar niet onder. Een machine learning model wel.

De AVG kent geen definitie van AI. Zij reguleert de verwerking van persoonsgegevens. Artikel 4(2) definieert verwerking als elke bewerking die aan persoonsgegevens wordt uitgevoerd. Artikel 22 gaat over geautomatiseerde besluitvorming, inclusief profilering. Het begrip "inferentie" komt daar niet expliciet in voor. De rechtspraak en de literatuur lezen het er wel in. Inferentie over een persoon op basis van persoonsgegevens is een vorm van verwerking. Daarmee is het onderworpen aan de AVG.

De formele mismatch is eenvoudig te tonen. Definieer de verzameling van systemen die onder de AI Act vallen als A = {s: s kan inferenties maken}. Definieer de verzameling van systemen die onder de AVG vallen als G = {s: s verwerkt persoonsgegevens}. De paper toont aan dat A ≠ G. Er zijn systemen in A die geen persoonsgegevens verwerken. Er zijn systemen in G die geen inferenties maken. De doorsnede A ∩ G krijgt de meeste aandacht. De exclusieve delen zijn waar de risico's liggen.

Neem een simpel voorbeeld. Een lineair regressiemodel voorspelt de levensduur van industriële machines. Het gebruikt sensordata. Dat systeem maakt inferenties. Het valt onder de AI Act. Het verwerkt geen persoonsgegevens. Het valt niet onder de AVG. Compliance: alleen AI Act.

Neem dan een CRM-systeem. Het slaat persoonsgegevens op en stuurt ze door naar een marketingafdeling. Het verwerkt persoonsgegevens. Het maakt geen inferenties. Het valt onder de AVG, maar niet onder de AI Act. Compliance: alleen AVG.

De problemen ontstaan in de overlap, maar ook in de randen. Een systeem dat persoonsgegevens verwerkt en inferenties maakt, valt onder beide. De AI Act kijkt naar de technische werking van het model. De AVG kijkt naar de impact op de persoon. Die twee perspectieven leveren verschillende risico-inschattingen op.

Wat de paper precies aantoont

De arXiv-paper (2608.10601) is geen oppervlakkige vergelijking van wetteksten. De auteurs formaliseren de definitie van inferentie in beide kaders. Ze tonen de niet-overlappende gebieden aan. Ze