Pseudonimisering van trainingsdata volgens de EDPB

U moet trainingsdata voor generatieve AI testen op memorisatie en extractie voordat u deze als anoniem kunt aanmerken. Alleen het verwijderen van namen volstaat niet; het getrainde model zelf is onderdeel van de anonimiteitsbeoordeling.

Een analyse van 13 november 2026 van anonimisering van trainingsdata volgens de EDPB stelt dat anonieme data drie cumulatieve criteria moet halen: records mogen niet kunnen worden geïsoleerd, gekoppeld of gebruikt voor betekenisvolle gevolgtrekkingen over personen. De analyse onderzoekt hoe deze toets in de praktijk werkt voor organisaties die generatieve AI trainen. In onze beoordeling ligt hier de belangrijkste verschuiving: wie alleen de dataset opschoont en de modeltoets overslaat, baseert een anonimiteitsclaim op een onvolledig beeld en loopt het risico dat deze claim bij het eerste extractieonderzoek door een toezichthouder sneuvelt.

Welke drie criteria bepalen of trainingsdata echt anoniem is?

De EDPB hanteert een contextafhankelijk normkader. Data is pas anoniem als records niet kunnen worden geïsoleerd uit de dataset (singling out), niet aan externe bronnen kunnen worden gekoppeld (linkability) en niet kunnen leiden tot betekenisvolle gevolgtrekkingen over een persoon (inference). Wie de data kan benaderen, met welke middelen en welke aanvullende datasets beschikbaar zijn, bepaalt mede de uitkomst. Dit onderscheid is scherp: bij pseudonimisering blijft koppeling aan een persoon mogelijk en gelden andere verplichtingen onder de AVG; bij anonimisering is koppeling redelijkerwijs niet meer het geval. Maar die grens is niet statisch. Een organisatie die alleen directe identificatoren verwijdert, verliest haar anonimiteitsclaim zodra een onderzoeker koppeling of inferentie aantoont.

Waarom eindigt het risico niet bij de dataset?

Informatie kan tijdens het trainen in de modelgewichten terechtkomen en later worden gereproduceerd. Het Franse CNIL stelt dat een model alleen als anoniem kan gelden wanneer identificatie vanuit de modelparameters zeer onwaarschijnlijk is én persoonsgegevens niet via modelqueries kunnen worden geëxtraheerd. Onderzoek toont aan dat memorisatie-, regurgitatie- en query-based-extractieaanvallen persoonsgegevens uit getrainde modellen kunnen vrijleggen. Volledige verwijdering uit een model zonder vernietiging ervan is niet altijd mogelijk. Dit betekent dat u niet alleen de trainingsdata moet controleren, maar ook het getrainde model zelf moet testen voordat u een anonimiteitsclaim kunt rechtvaardigen.

Welke risico's moet u in kaart brengen?

• Singling out — records kunnen uit de dataset worden geïsoleerd en herkend als afkomstig van een bepaalde persoon.
• Linkability — records kunnen aan externe datasets of bronnen worden gekoppeld om een persoon te identificeren.
• Inference — modeloutputs kunnen betekenisvolle gevolgtrekkingen over een persoon opleveren, ook zonder directe identificatie.
• Memorisatie in modelgewichten — persoonsgegevens blijven in de modelparameters opgeslagen en kunnen via queries worden geëxtraheerd.
• Verouderde anonimiteitsclaims — nieuwe modellen, bronnen en aanvalstechnieken kunnen eerdere aannames ongeldig maken.

Welke concrete stappen moet u vastleggen?

1. Stel een threat model op voordat u de trainingsset gebruikt — definieer welke aanvaller, toegangsrechten en externe datasets u aanneemt en leg dit vast in de verwerkingsverantwoordelijking.
2. Voer white-box- en query-gerichte extractietests op het getrainde model uit — neem deze tests op in contracten met leveranciers en zorg dat resultaten worden gedocumenteerd.
3. Leg vast wie het model onder welke rechten mag bevragen — definieer toegangsrechten in de CISO-verantwoordelijking en herbeoordeel deze zodra de toegang verruimt.
4. Beleggen periodieke herbeoordeling van de anonimiteitsclaim — bepaal op welk moment en met welke frequentie u de claim opnieuw moet toetsen aan nieuwe aanvalstechnieken en modellen.
5. Onderscheid pseudonimisering van anonimisering in contracten en documentatie — zorg dat afzonderlijk bewaarde sleutels, hashes of beperkte toegangsrechten niet automatisch als anonimisering worden aangemerkt.

Hoe past dit in uw bestaande governance?

Deze anonimiteitsbeoordeling hoort naast risicogerichte verplichtingen uit de EU AI Act voor hoog-risico AI-systemen. Een verdedigbare claim steunt op een gecombineerde dataset- én modeltoets, met vastgelegde aannames. Leg deze stappen vast zoals bij een DPIA die de hele AI-keten beoordeelt in plaats van alleen de dataset. Geen van de genoemde bronnen biedt de garantie dat een model na transformatie nooit informatie reproduceert; zij onderbouwen een bewijsverplichting.

Tooling kan u helpen bij het uitvoeren van extractietests en het documenteren van aannames, maar de keuze welke aanvaller u aanneemt, welke externe datasets relevant zijn en wanneer u de claim opnieuw beoordeelt, blijft uw eigen professionele oordeel. Dezelfde waarschuwing geldt voor de plaats waar het model draait: lokale uitvoering neemt extractierisico's niet weg.