ISMS Copilot
Beveiliging

Transfer Impact Assessment - Toevoeging van Anthropic

ISMS Copilot heeft een Transfer Impact Assessment (TIA) uitgevoerd voor internationale gegevensoverdrachten naar de Verenigde Staten onder de vereisten van AVG Hoofdstuk V. Dit artikel legt de bevindingen van de beoordeling uit, de geïmplementeerde aanvullende maatregelen en hoe de Geavanceerde Gegevensbeschermingsmodus uw overdrachtsverplichtingen beïnvloedt.

Wat is een Transfer Impact Assessment

Onder de AVG en de Schrems II-uitspraak moeten organisaties die persoonsgegevens doorgeven naar landen buiten de EU/EER beoordelen of de wetgeving van het land van bestemming adequate bescherming biedt. Standard Contractual Clauses (SCC's) alleen zijn mogelijk niet voldoende — u moet evalueren of aanvullende waarborgen nodig zijn.

Een TIA evalueert:

  • Wetten in het land van bestemming die de overheid toegang tot gegevens zouden kunnen geven

  • Of uw gegevensimporteur (subverwerker) onderworpen zou kunnen zijn aan die wetten

  • Technische en organisatorische maatregelen die geïdentificeerde risico's beperken

  • Of de combinatie van SCC's + aanvullende maatregelen adequate bescherming biedt

Deze beoordeling is van toepassing wanneer de Geavanceerde Gegevensbeschermingsmodus UIT staat (standaard). Wanneer deze AAN staat, blijft AI-verwerking binnen de EU, wat de overdrachtsverplichtingen aanzienlijk vereenvoudigt.

TIA van ISMS Copilot: In de VS gevestigde AI-providers

Scope van de beoordeling

ISMS Copilot heeft een Transfer Impact Assessment uitgevoerd voor in de VS gevestigde subverwerkers die worden gebruikt wanneer de Geavanceerde Gegevensbeschermingsmodus is uitgeschakeld:

  • xAI (Grok): AI-conversatieverwerking

  • OpenAI: AI-conversatie en documentanalyse

  • Anthropic (Claude): AI-conversatieverwerking

  • SendGrid (Twilio): Levering van transactionele e-mails

  • Kit (ConvertKit): Onboarding en productupdate e-mails

Juridisch Kader: Toegang door de Amerikaanse overheid

De TIA evalueerde Amerikaanse bewakingswetten die toegang door de overheid zouden kunnen toestaan:

FISA Section 702

  • Stelt Amerikaanse inlichtingendiensten in staat om Amerikaanse bedrijven te dwingen communicatie van niet-Amerikaanse personen te verstrekken

  • Van toepassing op "aanbieders van elektronische communicatiediensten"

  • Targeting moet voor doeleinden van buitenlandse inlichtingen zijn

Executive Order 12333

  • Regelt buitenlandse inlichtingenactiviteiten

  • Kan onderschepping van gegevens tijdens transport toestaan

CLOUD Act

  • Stelt Amerikaanse wetshandhavers in staat om openbaarmaking van gegevens af te dwingen die in handen zijn van Amerikaanse bedrijven, zelfs als deze in het buitenland zijn opgeslagen

  • Vereist een juridische procedure (bevel tot huiszoeking of dagvaarding)

Bevindingen van de risicobeoordeling

De TIA van ISMS Copilot concludeerde dat risico's worden beperkt door de volgende factoren:

Aard van de verwerkte gegevens

  • Compliance-gerelateerde vragen en beleidsconcepten

  • Over het algemeen geen communicatie-inhoud die door FISA 702 wordt gevisueerd

  • Onwaarschijnlijk dat de drempel voor "buitenlandse inlichtingen" voor targeting wordt gehaald

Beperkte bewaring door AI-providers

  • xAI, OpenAI, Anthropic: 30 dagen bewaring, uitsluitend voor monitoring van misbruik

  • Niet permanent opgeslagen of geïndexeerd voor inlichtingendoeleinden

  • Contractueel verbod op het gebruik van gegevens voor modeltraining

End-to-end versleuteling

  • TLS 1.3 versleuteling beschermt gegevens tijdens transport

  • Vermindert het risico op bulkonderschepping onder EO 12333

Geen bewijs van overheidsverzoeken

  • xAI, OpenAI, Anthropic en e-mailproviders hebben niet gerapporteerd dat zij verzoeken om overheidstoegang hebben ontvangen voor klantgegevens van ISMS Copilot

  • Transparantierapporten tonen gerichte verzoeken van wetshandhavinstanties, geen bulksurveillance

Aanvullende maatregelen

Naast de Standard Contractual Clauses implementeert ISMS Copilot deze aanvullende technische en organisatorische maatregelen:

Technische maatregelen

  • Versleuteling tijdens transport: TLS 1.3 voor alle gegevensoverdrachten

  • Versleuteling bij opslag: EU-database versleuteld met AES-256

  • Beperkte bewaring: 30 dagen cache bij AI-providers versus permanente opslag

  • Door de gebruiker gecontroleerde bewaring: Klanten stellen hun eigen bewaartermijnen in (1 dag tot 7 jaar)

  • PII-reductiemodus: Optionele client-side maskering van persoonsgegevens vóór AI-verwerking

Contractuele maatregelen

  • Geen training op gegevens: Het is AI-providers contractueel verboden om klantgegevens te gebruiken voor modeltraining

  • Standard Contractual Clauses: Door de EU-Commissie goedgekeurde SCC's met alle Amerikaanse subverwerkers

  • Alleen misbruikmonitoring: Bewaring van 30 dagen beperkt tot het detecteren van platformmisbruik, niet voor commercieel gebruik

Maatregelen voor gebruikerscontrole

  • Geavanceerde Gegevensbeschermingsmodus: Gebruikers kunnen overschakelen naar verwerking uitsluitend in de EU (Mistral AI, geen bewaring) om overdrachten naar de VS volledig te vermijden

  • Isolatie van werkomgevingen: Klantgegevens gescheiden om blootstelling bij een enkel verzoek te beperken

  • Dataminimalisatie: Alleen essentiële gegevens worden verzameld; geen demografische of onnodige persoonlijke informatie

De combinatie van SCC's, versleuteling, beperkte bewaring en gebruikerscontrole biedt adequate bescherming voor compliance-gerelateerde gegevensoverdrachten naar Amerikaanse AI-providers. Schakel de Geavanceerde Gegevensbeschermingsmodus in voor maximale bescherming.

Hoe de Geavanceerde Gegevensbeschermingsmodus de TIA-verplichtingen verandert

Standaardmodus (Geavanceerde Gegevensbescherming UIT)

Wanneer Geavanceerde Gegevensbescherming is uitgeschakeld:

  • Locatie van AI-verwerking: Verenigde Staten (xAI, OpenAI, Anthropic)

  • Overdrachtsmechanisme: Standard Contractual Clauses + aanvullende maatregelen

  • TIA-vereiste: Organisaties die onderworpen zijn aan de AVG moeten een TIA uitvoeren of vertrouwen op de TIA van ISMS Copilot

  • Bewaring door AI-providers: 30 dagen (tijdelijke cache voor misbruikmonitoring)

  • E-mailoverdrachten: Vindt nog steeds plaats naar Amerikaanse providers (SendGrid/Kit), ongeacht de AI-instelling

Als u de standaardmodus gebruikt voor het verwerken van persoonsgegevens van EU-ingezetenen, documenteer deze overdracht dan in uw Register van Verwerkingsactiviteiten en vertrouw op de TIA van ISMS Copilot of voer uw eigen beoordeling uit.

Geavanceerde Gegevensbescherming AAN (Modus Alleen-EU)

Wanneer Geavanceerde Gegevensbescherming is ingeschakeld:

  • Locatie van AI-verwerking: Europese Unie (Mistral AI, Frankfurt)

  • Overdrachtsmechanisme: Geen internationale overdracht voor AI-verwerking (EU-naar-EU)

  • TIA-vereiste: Niet vereist voor AI-verwerking (geen overdracht buiten EU/EER)

  • Bewaring door AI-provider: Geen bewaring — gegevens worden in realtime verwerkt en verwijderd

  • E-mailoverdrachten: Vindt nog steeds plaats naar Amerikaanse providers (SendGrid/Kit); TIA nog steeds vereist voor e-mails

De Geavanceerde Gegevensbeschermingsmodus elimineert de noodzaak voor een TIA op AI-verwerking, wat de AVG-compliance aanzienlijk vereenvoudigt. E-mailoverdrachten naar Amerikaanse providers blijven echter bestaan en vereisen nog steeds een beoordeling.

E-mailoverdrachten blijven ongewijzigd, ongeacht de modus

Zelfs als Geavanceerde Gegevensbescherming is ingeschakeld, houden e-mailcommunicaties overdrachten naar de VS in:

  • SendGrid (Twilio): Transactionele e-mails (accountverificatie, wachtwoordherstel, beveiligingswaarschuwingen)

  • Kit (ConvertKit): Onboarding-reeksen en productupdates (optioneel, gebruiker kan zich afmelden)

  • Overgedragen gegevens: E-mailadressen, betrokkenheidsgegevens (geopend, geklikt), metadata van berichten

  • Waarborgen: Standard Contractual Clauses, versleuteling tijdens transport, AVG-conforme DPA's

Om e-mailoverdrachten te minimaliseren, kunnen gebruikers zich afmelden voor niet-essentiële communicatie.

Uw eigen TIA uitvoeren

Wanneer u een eigen beoordeling nodig heeft

Organisaties moeten hun eigen TIA uitvoeren als:

  • U bijzondere categorieën gegevens (Artikel 9 AVG) verwerkt via ISMS Copilot

  • Uw risicotolerantie afwijkt van de beoordeling van ISMS Copilot

  • Uw gegevensbeschermingsautoriteit organisatie-specifieke TIA's vereist

  • Klantcontracten onafhankelijke overdrachtsbeoordelingen verplicht stellen

  • U grote hoeveelheden persoonsgegevens van EU-ingezetenen verwerkt

Kernvragen voor uw TIA

Houd bij het uitvoeren van uw eigen beoordeling rekening met:

Gevoeligheid van gegevens

  • Welke soorten persoonsgegevens uploadt u?

  • Bevat het bijzondere categorieën gegevens (gezondheid, biometrie, politieke opvattingen)?

  • Hoe zou ongeoorloofde toegang door de overheid de betrokkenen schaden?

Waarschijnlijkheid van toegang

  • Zouden uw compliance-gegevens kunnen voldoen aan de drempel voor "buitenlandse inlichtingen" onder FISA 702?

  • Bent u of zijn uw klanten potentiële doelwitten van overheidssurveillance?

  • Verwerkt u gegevens met betrekking tot nationale veiligheid, terrorisme of georganiseerde misdaad?

Aanvullende maatregelen

  • Zijn de technische maatregelen van ISMS Copilot (versleuteling, beperkte bewaring) voldoende voor uw use case?

  • Moet u de Geavanceerde Gegevensbeschermingsmodus inschakelen voor verwerking uitsluitend in de EU?

  • Moet u de PII-reductiemodus inschakelen om persoonsgegevens te maskeren vóór AI-verwerking?

  • Heeft u extra anonimisering nodig voordat u documenten uploadt?

Alternatieve oplossingen

  • Indien risico's niet kunnen worden beperkt, kunt u de overdracht dan vermijden door de Geavanceerde Gegevensbeschermingsmodus in te schakelen?

  • Kunt u gegevens anonimiseren voordat u ISMS Copilot gebruikt?

  • Moet u het gebruik van ISMS Copilot beperken tot uitsluitend niet-persoonlijke gegevens?

Bronnen voor uw TIA

Beslissingshulp: Welke modus moet u gebruiken

Gebruik de Geavanceerde Gegevensbeschermingsmodus (Alleen-EU) wanneer:

  • Uw organisatie verplichte EU-datararesidentie-eisen heeft

  • U persoonsgegevens van EU-ingezetenen verwerkt en TIA-naleving wilt vereenvoudigen

  • Klantcontracten gegevensverwerking in de VS verbieden

  • U bijzondere categorieën gegevens verwerkt (Artikel 9 AVG)

  • Uw gegevensbeschermingsautoriteit verwerking uitsluitend in de EU vereist

  • Uw risicobeoordeling concludeert dat overdrachten naar de VS onaanvaardbare risico's met zich meebrengen

  • U geen bewaring door AI-providers wilt voor maximale privacy

Compliance-consultants die met Europese klanten werken, zouden standaard de Geavanceerde Gegevensbeschermingsmodus moeten gebruiken om aan strikte soevereiniteitseisen te voldoen en AVG-compliance te vereenvoudigen.

De standaardmodus kan acceptabel zijn wanneer:

  • U alleen compliance-documentatie verwerkt zonder persoonsgegevens

  • Uw TIA concludeert dat aanvullende maatregelen adequate bescherming bieden

  • U niet onderworpen bent aan de AVG (niet-EU organisatie, geen EU-betrokkenen)

  • U alleen niet-gevoelige compliance-inhoud verwerkt (generiek beleid, kaders)

  • 30 dagen bewaring door AI-providers acceptabel is onder uw beleid

Overdrachten documenteren in uw ROPA

Als u ISMS Copilot gebruikt om persoonsgegevens te verwerken, documenteer dit dan in uw Register van Verwerkingsactiviteiten (ROPA):

Standaardmodus (Geavanceerde Gegevensbescherming UIT)

  • Subverwerkers: ISMS Copilot (EU), xAI (VS), OpenAI (VS), SendGrid (VS), Kit (VS)

  • Bestemmingen van overdracht: Verenigde Staten

  • Overdrachtsmechanismen: Standard Contractual Clauses, versleuteling, beperkte bewaring

  • TIA-verwijzing: "Vertrouwend op de Transfer Impact Assessment van ISMS Copilot gedateerd [datum]" of "Interne TIA uitgevoerd op [datum]"

Geavanceerde Gegevensbeschermingsmodus (AAN)

  • Subverwerkers: ISMS Copilot (EU), Mistral AI (EU), SendGrid (VS), Kit (VS)

  • Bestemmingen van overdracht: Verenigde Staten (alleen e-mail)

  • Overdrachtsmechanismen: Standard Contractual Clauses voor e-mailproviders

  • TIA-verwijzing: "AI-verwerking vindt plaats in de EU (geen overdracht); e-mailoverdrachten gedekt door SCC's"

Zie het Register van Verwerkingsactiviteiten van ISMS Copilot voor een sjabloon waarnaar u kunt verwijzen.

Best Practices

Voor EU-organisaties

  • Schakel de Geavanceerde Gegevensbeschermingsmodus standaard in om TIA-complexiteit te vermijden

  • Documenteer ISMS Copilot in uw ROPA met de juiste subverwerkergegevens

  • Informeer betrokkenen dat u AI-tools gebruikt voor compliance-verwerking (privacyverklaring)

  • Anonimiseer persoonsgegevens waar mogelijk voordat u deze uploadt

  • Voer een DPIA uit bij het verwerken van bijzondere categorieën gegevens of grootschalige persoonsgegevens

Voor Compliance-consultants

  • Beoordeel de datararesidentie-eisen van elke klant voordat u een modus kiest

  • Maak afzonderlijke werkomgevingen per klant om gegevens te isoleren

  • Neem ISMS Copilot op als subverwerker in uw DPA's met klanten

  • Informeer klanten over de modus die u gebruikt en waarom

  • Schakel de PII-reductiemodus in voor extra bescherming bij het verwerken van auditrapporten met namen van werknemers

Overdrachtsrisico's minimaliseren

  • Geavanceerde Gegevensbeschermingsmodus inschakelen: Elimineert overdrachten voor AI-verwerking volledig

  • PII-reductiemodus inschakelen: Maskeert persoonsgegevens voordat deze AI-providers bereiken

  • Afmelden voor niet-essentiële e-mails: Vermindert overdrachten naar e-mailproviders

  • Korte bewaartermijnen instellen: Beperkt hoe lang gegevens worden opgeslagen

  • Anonimiseren voor upload: Verwijder of pseudonimiseer persoonlijke identificatoren

Veelgestelde vragen

Moet ik mijn eigen TIA uitvoeren als ik ISMS Copilot gebruik?

Dat hangt ervan af. Als u de standaardmodus gebruikt en persoonsgegevens van EU-ingezetenen verwerkt, moet u ofwel uw eigen TIA uitvoeren, ofwel uw vertrouwen op de beoordeling van ISMS Copilot documenteren. Als u de Geavanceerde Gegevensbeschermingsmodus inschakelt, blijft de AI-verwerking in de EU en is er geen TIA vereist (hoewel dat voor e-mailoverdrachten nog wel geldt).

Elimineert de Geavanceerde Gegevensbeschermingsmodus alle overdrachtsverplichtingen?

Nee. Het elimineert overdrachten voor AI-verwerking, maar e-mailcommunicatie verloopt nog steeds via in de VS gevestigde providers (SendGrid, Kit). Deze e-mailoverdrachten blijven onderworpen aan de vereisten van AVG Hoofdstuk V en moeten worden gedocumenteerd in uw ROPA.

Wat als mijn gegevensbeschermingsautoriteit de TIA van ISMS Copilot verwerpt?

Als uw autoriteit concludeert dat overdrachten naar de VS onaanvaardbare risico's met zich meebrengen, schakel dan de Geavanceerde Gegevensbeschermingsmodus in om AI-workloads uitsluitend in de EU te verwerken. Dit neemt de noodzaak voor een TIA op AI-verwerking weg.

Kan ik ISMS Copilot gebruiken voor bijzondere categorieën gegevens?

Ja, maar met voorzorgsmaatregelen. Schakel de Geavanceerde Gegevensbeschermingsmodus in voor verwerking uitsluitend in de EU, schakel de PII-reductiemodus in, stel korte bewaartermijnen in en voer een gegevensbeschermingseffectbeoordeling (DPIA) uit zoals vereist door Artikel 35 AVG. Zorg voor een rechtmatige grondslag onder Artikel 9.

Hoe vaak moet ik mijn TIA herzien?

Herzie uw TIA wanneer:

  • ISMS Copilot van subverwerkers of gegevensstromen verandert

  • Amerikaanse bewakingswetten veranderen

  • Uw gegevensbeschermingsautoriteit nieuwe richtlijnen uitgeeft

  • De aard of het volume van de gegevens die u verwerkt aanzienlijk verandert

Waar kan ik de Standard Contractual Clauses van ISMS Copilot vinden?

SCC's zijn opgenomen in de overeenkomsten met subverwerkers. Neem contact op met support via het Helpcenter om kopieën van de SCC's aan te vragen voor uw leveranciersbeoordeling of auditdoeleinden.

Gerelateerde bronnen

Hulp krijgen

Voor vragen over transfer impact assessments of internationale gegevensoverdrachten:

  • Raadpleeg de Verwerkersovereenkomst voor juridische overdrachtsmechanismen

  • Neem contact op met support via het Helpcenter voor TIA-documentatie of kopieën van SCC's

  • Vermeld "TIA-verzoek" of "Transfer Impact Assessment" in uw onderwerpregel

  • Bezoek de Security Collection voor uitgebreide compliancedocumentatie

Was dit nuttig?