TL;DR voor de FG
Drie cijfers en een gevolg. 71 % van de FG's wil de AI-verordening in het eigen bereik en 55 % heeft haar al; slechts 27 % zegt de tekst goed te kennen en 85 % volgde nooit een AI-opleiding; 85 % van de interne FG's doet het werk in deeltijd. De AI-verordening noemt de FG nergens: wie haar op zich neemt, doet dat zonder het mandaat uit artikel 38 AVG dat zijn onafhankelijkheid beschermt.
Wie de FG's in 2026 zijn
Het onderzoek is de vijfde editie van het Observatorium, dat sinds 2018 loopt via de Franse algemene delegatie voor werk en beroepsopleiding en de CNIL, in samenwerking met de AFCDP. Het onderzoek van dit jaar werd uitgevoerd door de Afpa en gepubliceerd op 3 juli 2026.
- 79 % van de FG's werkt als interne FG
- 54 % komt uit andere vakgebieden dan recht en IT
- 85 % van de interne en gedeelde FG's werkt in deeltijd
- 45 % heeft meer dan zes jaar ervaring in gegevensbescherming
- de verhouding tussen mannen en vrouwen in de functie is in evenwicht
Die 85 % deeltijd is het cijfer om voor ogen te houden bij het lezen van alle andere: op een functie in deeltijd wordt een tweede verordening gelegd.
De AI is er al, de governance niet
Daarvan gebruikt 81 % generatieve AI-systemen en twee derde koopt de oplossing bij externe leveranciers, tegenover 22 % die ze zelf bouwt. Het gebruik groeit met de omvang van de organisatie. Maar de governance loopt sterk achter: minder dan een kwart heeft een formele AI-strategie of -beleid, minder dan een derde deed bewustwordingsacties of nam een gebruikscharter aan, en slechts 31 % begon zich voor te bereiden op de AI-verordening.
Het punt dat geen kop haalt
Twee derde koopt AI bij externe leveranciers. Dat betekent dat voor de meeste organisaties AI-naleving niet binnenshuis wordt beslist, maar bij het lezen van het contract en de documentatie van een leverancier. Dat is precies het terrein van artikel 28 en de gedocumenteerde instructies, geen nieuw terrein.
Het gat van 44 punten
Hier wordt het onderzoek ongemakkelijk. 55 % van de FG's zegt de AI-verordening al binnen het eigen verantwoordelijkheidsgebied te hebben en 71 % wil dat de functie er formeel toe wordt uitgebreid. Maar slechts 27 % zegt de tekst goed te kennen en 85 % volgde nog geen specifieke AI-opleiding. Meer dan de helft zegt vaak of stelselmatig bij AI-projecten betrokken te zijn.
De CNIL schrijft het nuchter: FG's zijn in grote lijnen toegerust om de AVG-aspecten van AI te beoordelen, maar missen vaak instrumenten en methoden voor de aspecten van de AI-verordening. En zij voegt iets toe dat zwaarder weegt dan alle percentages: omdat de AI-verordening de FG niet noemt, dringt zijn rol zich niet op in interne governanceketens.
Een rol nemen zonder het mandaat dat haar beschermt
Hier loont het stil te staan. De FG heeft een geschreven mandaat: artikel 38 AVG waarborgt rapportage aan het hoogste niveau, geen instructies over de uitvoering van de taken en geen ontslag wegens de uitvoering ervan. Dat mandaat dekt de taken van artikel 39, dus de AVG. Het dekt niet de AI-verordening, die de FG niet noemt.
En er is nog een risico
Artikel 38, lid 6 verbiedt de FG taken die een belangenconflict opleveren. Wordt de FG de persoon die de AI-governance ontwerpt en opzet - de systemen kiest, de procedures schrijft, de risico's indeelt - dan controleert hij uiteindelijk zijn eigen werk. Het is dezelfde reden waarom een FG niet het hoofd IT zou moeten zijn: de rol die bouwt kan niet de rol zijn die toetst.
Wat nu te doen, in de praktijk
1) Leg in één regel schriftelijk vast of de AI-verordening tot uw mandaat behoort: het feitelijk doen zonder dat het is vastgelegd is het slechtste van twee werelden. 2) Scheid de twee petten: adviseren en toezien op AVG-naleving van AI-systemen zijn uw wettelijke taken; naleving van de AI-verordening is een aanvullende opdracht die moet worden verleend, betaald en vastgelegd. 3) Koopt de cliënt AI bij een leverancier - en twee van de drie keer is dat zo - dan is het echte werk contractueel: gedocumenteerde instructies, modelinformatie, rol van de leverancier. 4) Vraag de opleiding schriftelijk aan: artikel 38, lid 2 verplicht de verwerkingsverantwoordelijke de nodige middelen te verstrekken, en met 85 % niet-opgeleide collega's bent u in goed gezelschap. 5) Werkt u in deeltijd zoals 85 % van de interne FG's, becijfer dan de extra uren vóór u het verbrede bereik aanvaardt, niet erna.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
