Dataminimalisatie

Het GDPR-principe van data-minimalisatie

Data-minimalisatie is een van de basisprincipes van de GDPR: je mag alleen persoonsgegevens verwerken die noodzakelijk zijn voor het specifieke doel waarvoor je ze verzamelt. Meer data verzamelen dan nodig is, ook al is het "voor het geval dat", is niet toegestaan. Het principe dwingt organisaties om bij elk dataverzamelingsproces de vraag te stellen: hebben we dit echt nodig en waarvoor precies?

In de praktijk betekent dit dat een bestelformulier niet naar geboortedatum mag vragen als die irrelevant is voor de levering, dat een HR-tool niet meer medische informatie mag opslaan dan wettelijk vereist, en dat een CRM geen klantgegevens mag bewaren tot in het oneindige zonder een geldige reden en een vastgelegde bewaartermijn.

Data-minimalisatie bij AI-toepassingen

AI-systemen hebben van nature een trek naar meer data: meer trainingsdata, meer context, meer historiek levert doorgaans betere output. Dit botst rechtstreeks met het minimalisatieprincipe. De uitdaging voor KMO's is om een praktisch evenwicht te vinden: genoeg data voor kwalitatieve AI-outputs, maar niet meer dan wat de verwerking rechtvaardigt.

Concrete maatregelen zijn onder meer automatische verwijdering van gesprekshistoriek na een ingestelde periode, het afschermen van niet-relevante velden uit CRM-data voordat ze aan een AI-agent worden doorgegeven, en het documenteren van de verwerkingsgrond voor elke dataverzameling.