Finaudax
← Alle hoofdstukkenHoofdstuk 2 van 8

Risico, gegevens en oplossingskeuze

Je kiest werkvorm en model pas nadat gegevens, foutimpact, rechten en operationele vereisten duidelijk zijn.

Na dit hoofdstukJe kan een use-case classificeren, een passende architectuur kiezen en risico's en toestemmingen documenteren.
Je voortgang0 van 48 lessen
2.1

Privacy, auteursrecht, vertrouwelijkheid en hallucinaties

Behandel vier risicodomeinen afzonderlijk; één algemene waarschuwing is onvoldoende.

Privacy gaat over persoonsgegevens; vertrouwelijkheid over bedrijfsinformatie; auteursrecht over beschermd materiaal; hallucinaties over verzonnen of fout gekoppelde inhoud. Eén use-case kan alle vier raken.

Maak per risico scenario, kans, impact, preventie, detectie, eigenaar en herstel. Pseudonimiseren verlaagt soms risico, maar maakt data niet automatisch anoniem.

Voeg vóór een echte pilot een juridische startcontrole toe: welke toepassing, welke organisatie en rol, welke mensen, welke gegevens en welke gevolgen? Controleer de AI Act op verboden toepassingen, mogelijke hoogrisicoclassificatie en transparantie. Een productnaam of lage interne risicoscore beantwoordt die vragen niet. De aanbieder brengt het systeem onder eigen naam op de markt of in gebruik; een gebruiksverantwoordelijke gebruikt het beroepsmatig onder zijn gezag. Laat onduidelijke classificatie beoordelen vóór de betreffende praktijkproef.

Voor de gewone tekstpilot van Noor blijft de klant buiten de AI-chat: een medewerker controleert en verstuurt zelf. Een rechtstreeks met klanten pratende bot is een andere toepassing. Artikel 50 kan dan informatie over de AI-interactie vereisen. Bij publicatie zijn onder meer deepfakes en bepaalde AI-teksten over onderwerpen van openbaar belang relevant; menselijke inhoudelijke controle en redactionele verantwoordelijkheid kunnen voor die teksten een uitzondering geven. Eén algemeen label dekt niet vanzelf alle situaties of aanbiedersplichten.

Peildatum 8 september 2026: de AI Omnibus heeft de tijdlijn gewijzigd. Artikel 50 geldt in beginsel sinds 2 augustus 2026; voor bepaalde bestaande systemen geldt een overgang tot 2 december 2026 voor de aanbiedersplicht van artikel 50(2). De hoofdregels voor hoogrisicosystemen uit bijlage III volgen op 2 december 2027 en voor hoogrisico-AI in gereguleerde producten uit bijlage I op 2 augustus 2028. Gebruik de officiële tijdlijn bij een echt startbesluit; bestaande privacy- en arbeidsregels blijven intussen relevant.

  • Persoonsgegevens
  • Bedrijfsgeheim
  • Gebruiksrecht
  • Feitelijke fout
  • Herstel
Zo kan je dit gebruiken

Een offerte-assistent verwerkt contactdata, geheime prijsregels, beschermde brontekst en mogelijk verzonnen voorwaarden.

Probeer deze prompt
Werk met een volledig fictief beschreven proces, zonder echte dossiers, persoonsgegevens of geheimen. Bouw voor [use-case] vier risicoregisters: privacy, vertrouwelijkheid, auteursrecht en onjuiste output. Geef preventie, detectie, eigenaar en herstel.
Kennischeck

Een offerte-assistent gebruikt contactgegevens, interne prijsregels en aangeleverde productteksten. Hij kan ook een onjuiste garantie toevoegen. Welke risicoanalyse is passend?

Jouw praktijkopdracht

Analyseer één gegevensstroom en wijs per risico een eigenaar aan.

Bron bij deze les

Europese Commissie – Transparantie onder artikel 50
Aanbieders- en gebruikersrollen, directe AI-interactie, deepfakes en publieke teksten; voorwaarden en uitzonderingen verschillen.
Gecontroleerd: 2026-09-08

Europese Commissie – Actuele AI Act-tijdlijn
Toepassingsdata na de AI Omnibus, inclusief het beperkte overgangsregime voor artikel 50(2).
Gecontroleerd: 2026-09-08

Publicatieblad – AI Omnibus 2026/1744
Wijzigingsverordening; lees samen met de AI Act en de actuele officiële uitvoeringsinformatie.
Gecontroleerd: 2026-09-08

2.2

Gegevens classificeren vóór gebruik

Toegang tot data betekent niet automatisch dat AI-verwerking is toegestaan.

Beoordeel twee dingen afzonderlijk: hoe vertrouwelijk is de informatie, en bevat ze persoonsgegevens? Een publiek document kan ook persoonsgegevens bevatten. Leg per veld vast waarvoor je het nodig hebt, welke contractuele of sectorale regels relevant zijn en welke omgeving, toegang en bewaartermijn zijn toegestaan.

Gebruik in deze oefeningen volledig fictieve informatie. Synthetische gegevens zijn kunstmatig gemaakt, maar kunnen nog risico’s geven als ze herkenbare details uit echte dossiers behouden. Alleen het label synthetisch of een vervangen naam maakt informatie niet anoniem. Classificeer de benodigde gegevenstypen vóór je de inhoud aan een dienst doorgeeft.

Bij persoonsgegevens geldt de AVG, ook GDPR genoemd. Leg doel, rechtsgrond, rollen, minimale gegevens en informatie aan betrokkenen vast. Beoordeel vóór gebruik of een gegevensbeschermingseffectbeoordeling nodig is: GEB of DPIA. Die is verplicht wanneer de verwerking waarschijnlijk een hoog risico vormt voor rechten en vrijheden. Raadpleeg de GBA-criteria en verplichte lijst; nieuwe technologie alleen maakt niet iedere oefening GEB-plichtig. Documenteer de uitkomst en betrek de DPO of passende deskundige. Blijft na de maatregelen een hoog restrisico over, dan is voorafgaande raadpleging van de bevoegde toezichthouder nodig.

  • Classificatie
  • Doelbinding
  • Minimale velden
  • Retentie
  • Toegang

Begrippen in gewone taal

Retentie
Hoe lang gegevens werkelijk worden bewaard en volgens welke regels.
AVG / GDPR
De Europese algemene verordening gegevensbescherming; GDPR is de Engelse afkorting.
GEB / DPIA
Een voorafgaande beoordeling van privacyrisico’s en maatregelen bij een voorgenomen gegevensverwerking.
DPO
Functionaris voor gegevensbescherming; een onafhankelijke advies- en toezichtrol wanneer deze is aangesteld.
Zo kan je dit gebruiken

Een servicerapport gebruikt probleemcategorie en oplossing, maar laat naam en volledig dossier weg wanneer die niet nodig zijn.

Probeer deze prompt
Werk met een volledig fictief beschreven proces, zonder echte dossiers, persoonsgegevens of geheimen. Maak een dataclassificatie voor [workflow]. Geef per veld doel, categorie, noodzaak, omgeving, retentie en fictief testalternatief.
Kennischeck

Een medewerker wil een openbare lijst met namen en persoonlijke e-mailadressen gebruiken om een nieuwe AI-werkwijze te testen. Fictieve records volstaan. Wat is passend?

Jouw praktijkopdracht

Schrap elk veld zonder aantoonbare noodzaak. Vul in rij H2 van je pilotwerkblad ook in: persoonsgegevens ja/nee met reden, voorgenomen doel en rechtsgrond, wie de rol- en GEB-beoordeling doet en welk bewijs nog ontbreekt. Werk op papier met fictieve gegevens; een niet beantwoorde startvoorwaarde wordt een actie met eigenaar, geen stilzwijgende toestemming.

Bron bij deze les

EDPB – AI models and GDPR
Openbaar beschikbare persoonsgegevens zijn niet automatisch vrij van privacyvereisten.
Gecontroleerd: 2026-09-07

GBA – Gegevensbeschermingseffectbeoordeling
Vooraf beoordelen en documenteren of een GEB/DPIA nodig is; verplichte gevallen en hoog restrisico.
Gecontroleerd: 2026-09-08

EDPB – Verantwoordelijke of verwerker
Rollen en de bijbehorende AVG-verantwoordelijkheden; meer dan alleen een productinstelling.
Gecontroleerd: 2026-09-08

2.3

Modelkeuze per taak

Kies op taakvereisten en evaluatiebewijs, niet op reputatie of één demo.

Leg modaliteiten, tools, context, nauwkeurigheid en outputvorm vast. Test schrijven, analyse, code, onderzoek en beeld met verschillende representatieve datasets waar hun vereisten verschillen.

Modelnamen veranderen. Bewaar vereisten, testset en minimumscore als stabiele basis en hertest bij model- of promptwijziging.

  • Taakfit
  • Modaliteit
  • Tools
  • Kwaliteitsdrempel
  • Hertest

Begrippen in gewone taal

Modaliteit
De vorm van informatie: bijvoorbeeld tekst, beeld of geluid.
Zo kan je dit gebruiken

Een beeldworkflow en financieel extractieproces gebruiken verschillende tests en mogelijk verschillende modellen.

Probeer deze prompt
Maak een modelkeuzeprotocol voor [taken]. Definieer vereisten en testset; vergelijk kwaliteit eerst en daarna snelheid en kosten. Noem geen winnaar zonder meetresultaten.
Kennischeck

Twee modellen halen de gewone tests van een offertetaak. Het goedkopere model verzint in een kritieke test een ontbrekende contractvoorwaarde. De andere optie markeert die als onbekend. Hoe kies je?

Jouw praktijkopdracht

Maak vijf normale en twee kritieke fictieve tests met vooraf bepaald verwacht gedrag. Test twee beschikbare opties als je daar toegang toe hebt. Kun je op je gratis account maar één optie gebruiken, test dan die optie en houd de tweede kolom op ‘niet uitgevoerd’. Klaar: de bron, criteria en eigen uitvoer zijn bewaard; je kiest geen modelwinnaar zonder vergelijkbare waarnemingen. Meer modellen aanschaffen is geen cursusvereiste.

Bron bij deze les

OpenAI – Model selection
Taakeisen en kwaliteitsbewijs gaan vooraf aan optimalisatie; deze bron behandelt de API.
Gecontroleerd: 2026-09-07

2.4

Snelheid, nauwkeurigheid, context en kosten

Optimaliseer pas nadat minimumkwaliteit en veiligheidsgrenzen zijn gehaald.

Latency beïnvloedt gebruik; context bepaalt beschikbare informatie; requests en tokens beïnvloeden tijd en kosten. Meer context kan ook irrelevantie en conflict toevoegen.

Meet end-to-endtijd, correctiewerk en foutkosten. Kortere output, minder requests of een lichter model zijn alleen valide wanneer de evalset kwaliteit bevestigt.

Bij een p95-meting ligt ongeveer 95% van de gemeten doorlooptijden op of onder de genoemde waarde. Leg ook de rekenmethode vast: softwarepakketten kunnen percentielen anders interpoleren. Voor een kleine oefenset kun je tijden sorteren en de positie naar boven afronden uit 0,95 × het aantal metingen. Bij 20 tijden is dat de 19e tijd. Twintig metingen tonen nog geen stabiele prestatiegarantie.

  • Minimumkwaliteit
  • End-to-endtijd
  • Context
  • Volume
  • Foutkosten

Begrippen in gewone taal

Latency
De wachttijd op een systeemreactie; niet noodzakelijk de hele doorlooptijd.
Request
Eén verzoek aan een systeem.
Token
Een eenheid waarin een model tekst of andere invoer verwerkt; niet hetzelfde als één woord.
p95
Een percentiel dat de tragere kant van gemeten doorlooptijden beschrijft.
Evalset
De voorbeelden en criteria waarmee je de kwaliteit test.
Zo kan je dit gebruiken

Een antwoord dat één seconde sneller is maar vaker hersteld moet worden, kan in totaal meer tijd kosten. Meet daarom het volledige proces, inclusief controle en herstel.

Probeer deze prompt
Ontwerp voor [workflow] een matrix met minimumkwaliteit, p95-doorlooptijd, contextbehoefte, volume, foutkosten en budget. Stel drie te testen optimalisaties voor.
Kennischeck

Een korter antwoordformaat verlaagt de generatietijd, maar medewerkers moeten vaker ontbrekende voorwaarden terugzoeken. Wat moet een optimalisatietest vergelijken?

Jouw praktijkopdracht

Verdieping: meet twintig door jou uitgevoerde fictieve taken, inclusief correctie en hercontrole. Basisroute voor het rekenonderdeel: gebruik twintig gesimuleerde tijden in minuten: 4, 5, 5, 6, 6, 6, 7, 7, 7, 7, 7, 7, 8, 8, 8, 9, 9, 10, 12, 15. Klaar: de genoemde methode geeft p95 = 12 minuten; je vermeldt of de tijden gemeten of gegeven zijn. Deze tijden horen niet bij Noors pilot en bewijzen geen modelprestatie.

Bron bij deze les

OpenAI – Model selection
Taakeisen en kwaliteitsbewijs gaan vooraf aan optimalisatie; deze bron behandelt de API.
Gecontroleerd: 2026-09-07

2.5

ChatGPT, Work, plugin of API

De interfacekeuze bepaalt gegevensstroom, schaal, review en beheer.

Chat past bij afgebakende dialoog; Work bij grotere reviewbare deliverables; plugins bij verbonden gegevens of acties; API bij eigen productintegratie, schaal of structurele logging.

Beschikbaarheid en permissions verschillen. Documenteer identiteit, bronrechten, goedkeuringsmoment en opslag voor elke route.

  • Ervaring
  • Bronnen
  • Acties
  • Schaal
  • Logging
  • Permissions
Zo kan je dit gebruiken

Een periodieke interne analyse kan in Work passen; realtime verwerking in een klantportaal vraagt eerder een beheerde integratie.

Probeer deze prompt
Vergelijk Chat, Work, plugin en API voor [use-case] op data, identiteit, rechten, review, logging, schaal en beheer. Markeer onbevestigde beschikbaarheid.
Kennischeck

Een KMO wil AI in een eigen klantportaal opnemen, met gebruikersidentiteit, gecontroleerde rechten en een auditspoor per aanvraag. Welke oplossingsroute onderzoek je gericht?

Jouw praktijkopdracht

Teken voor de gekozen optie de gegevens- en toestemmingsstroom.

2.6

Een architectuurbesluit vastleggen

Leg ook vast waarom je kiest, onder welke aannames en wanneer je heroverweegt.

Beschrijf context, vereisten, onderzochte alternatieven, keuze, gevolgen en eigenaars. Zo behandelt een later team de keuze niet als natuurwet.

Voeg herzieningstriggers toe zoals volumegroei, nieuwe gevoelige data, modelwijziging, incident of leverancier. Koppel het besluit aan tests en risicoregister.

  • Context
  • Alternatieven
  • Besluit
  • Gevolgen
  • Bewijs
  • Trigger

Begrippen in gewone taal

Architectuurbesluit
Een kort document met de gekozen technische aanpak, alternatieven en redenen.
Zo kan je dit gebruiken

Een API-keuze wordt herzien wanneer volume verdubbelt of een nieuwe datacategorie verschijnt.

Probeer deze prompt
Schrijf een architectuurbesluit voor [use-case] met context, vereisten, opties, keuze, gevolgen, bewijs, eigenaar en herzieningstriggers.
Kennischeck

Een architectuurbesluit stond alleen interne productinformatie toe. De nieuwe versie van de workflow moet ook klantdossiers verwerken. Wat doe je met het bestaande besluit?

Jouw praktijkopdracht

Beoordeel het architectuurbesluit vanuit techniek en bedrijfsgebruik. Echte eigenaars kunnen reviewen; solo neem je die twee fictieve rollen afzonderlijk aan. Noteer per rol een vereiste, bewijs en open voorwaarde. Klaar: onbevestigde toegang of gegevensverwerking wordt niet goedgekeurd omdat een rol op papier is ingevuld. Vul rij H2 van het pilotwerkblad in met datastroom, vier risico’s, gekozen route en open voorwaarden; label de beoordeling als zelfbeoordeling.

Uitgewerkt voorbeeld

Welke gegevens heeft het antwoordconcept nodig?

Fictief oefenmateriaal; foutieve antwoorden zijn bewust gemaakt om te oefenen.

Deze case gebruikt uitsluitend verzonnen personen, velden en systemen. Atelier Noor bereidt antwoordconcepten voor. De gekozen dienst en haar bewaarbeleid moeten nog worden beoordeeld; deze oefening doet geen uitspraak over een echt account.

Invoer

Een fictieve klantvraag bevat: naam Lina Voorbeeld, e-mailadres lina@example.invalid, ordernummer DEMO-104, productcode LAMP-2, vraag “Is deze lamp dimbaar?”, een verzonnen medische toelichting en een link naar een openbaar profiel van Lina. De goedgekeurde oefenfiche zegt: “LAMP-2 is niet dimbaar.” De AI hoeft alleen een algemeen antwoordconcept te maken; zij zoekt geen order op en verstuurt niets.

Bewust onvolmaakt oefenantwoord

“Vervang Lina door Klant X en upload de hele vraag. Het profiel is openbaar en dus vrij bruikbaar. Na afloop verdwijnt de context automatisch.”

Controle

Een andere naam maakt de overige gegevens niet automatisch anoniem. De productvraag vereist geen e-mailadres, ordernummer, medische toelichting of profiel. Openbare informatie over een persoon blijft een afzonderlijke privacyvraag. Het einde van een taak bewijst niet dat chats, bestanden, technische logboeken of kopieën bij andere diensten verwijderd zijn.

Verbeterd resultaat

De oefeninvoer bestaat uit productcode LAMP-2, de algemene vraag en de goedgekeurde fiche. De medewerker ontvangt het concept en koppelt het buiten de AI terug aan de juiste klant. De gegevensstroom is: geselecteerde oefenvelden → beoordeelde AI-dienst → concept → menselijke controle. Voor werkelijk gebruik moet de verantwoordelijke vooraf het toegestane doel, de aanbieder, instellingen, toegang en verwijderroute beoordelen. Een intern voorstel “bewaar proeflogboeken maximaal 30 dagen” is een eigen ontwerpkeuze die nog moet worden getoetst en uitgevoerd; het is geen belofte over de dienst. Log waar mogelijk alleen noodzakelijke technische metadata. Controleer ook of die metadata nog naar een persoon verwijzen.

Probeer zelf

De volgende fictieve vraag gaat over de algemene garantieperiode van LAMP-2. Beschikbaar zijn productcode, aankoopdatum, woonadres en bankrekeningnummer. Er is geen beoordeling van een individuele garantieaanvraag nodig. Welke velden stuur je naar de AI en wat raadpleeg je daarnaast?

Bekijk het voorbeeldantwoord

Gebruik voor deze algemene uitleg de productcode en de goedgekeurde garantievoorwaarden. Aankoopdatum, woonadres en bankrekeningnummer zijn hiervoor niet nodig. Een individuele aanspraak zou een andere taak met andere noodzakelijke gegevens en controles zijn.

Hoofdstukopdracht

Breng alles samen

Lever dataclassificatie, vierdelig risicoregister, modeltestplan, kanaalkeuze en architectuurbesluit op.

Maximaal 10.000 tekens per notitie.

Voortgang en notities worden alleen in deze browser en op dit apparaat bewaard. Gebruik hier geen gevoelige gegevens. Download regelmatig je notities. Deze cursus stelt geen automatische vervaldatum in. Je kunt de gegevens verwijderen via de sitegegevens van je browser; exporteer eerst wat je wilt bewaren. Browserinstellingen of opschoning kunnen gegevens eerder wissen. Deze lokale notities worden niet naar Finaudax verstuurd.