Meldingsplichten in het digitale tijdperk: hoe AI het opstellen van NIS2- en AVG-meldingen versnelt

Waarom meldingsplichten onder tijdsdruk lastig zijn

In de eerste uren van een crisis is informatie schaars, versnipperd en vaak nog onbevestigd. Tegelijk moet een organisatie binnen een beperkt aantal uren een formele melding indienen die aan specifieke eisen voldoet: welke systemen of gegevens zijn geraakt, wanneer is het incident ontdekt, wat is de eerste inschatting van de impact, en welke maatregelen zijn al genomen. Het verzamelen van die feiten en het in de juiste vorm gieten ervan kost tijd, uitgerekend op het moment dat er die tijd het minst is.

Dat knelpunt is extra voelbaar wanneer crisisbeheersing en de juridische afhandeling apart georganiseerd zijn: de ene groep werkt aan het beheersen van het incident, de andere aan het opstellen van de formele melding, terwijl beide afhankelijk zijn van dezelfde, nog onvolledige feiten. Iedere aanvulling of correctie moet vervolgens opnieuw in het concept worden verwerkt, wat foutgevoelig is wanneer dat handmatig gebeurt onder tijdsdruk. De persoon die de tekst moet schrijven, moet vaak tegelijk meehelpen aan het beheersen van het incident zelf.

AVG en NIS2 in het kort: de klok begint te lopen bij ontdekking

Onder de AVG geldt dat een datalek dat een risico vormt voor de rechten en vrijheden van betrokkenen, in beginsel binnen 72 uur na ontdekking gemeld moet worden bij de Autoriteit Persoonsgegevens. Voor een significant cyberincident geldt een strakker ritme: binnen 24 uur na ontdekking volgt een vroege waarschuwing, gevolgd door een uitgebreidere melding binnen 72 uur en een eindverslag binnen een maand. Dit ritme komt uit de Europese NIS2-richtlijn en is in Nederland vastgelegd in de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is.

Beide termijnen beginnen te lopen op het moment van ontdekking, niet op het moment waarop de organisatie het incident volledig doorgrondt. Dat betekent dat een melding vaak moet worden opgesteld terwijl het onderzoek nog loopt en het beeld nog kan veranderen. Voor organisaties die onder beide regimes vallen, bijvoorbeeld een aanbieder van essentiële diensten die ook persoonsgegevens verwerkt, kunnen beide klokken tegelijk lopen na één en hetzelfde incident. Dat vraagt om een proces dat snel meerdere meldingen tegelijk kan voorbereiden, elk met een eigen vereiste structuur en een eigen toezichthouder.

Waar AI kan versnellen: van feiten naar een concept-melding

De kern van het probleem zit niet in de beoordeling of iets meldingsplichtig is, dat is een juridische afweging, maar in het opstellen van de melding zelf: feiten verzamelen, de juiste vragen beantwoorden, en dat in de voorgeschreven structuur zetten. Dit is precies het soort taak waar AI ondersteuning kan bieden. Als de tijdlijn van het incident, de betrokken systemen en personen, en een eerste inschatting van de impact al zijn vastgelegd, bijvoorbeeld in een crisismanagementsysteem, kan AI daaruit automatisch een concept-melding genereren die de verplichte structuur al volgt.

Denk aan het automatisch samenvatten van een tijdlijn op basis van vastgelegde teamnotities, het overzichtelijk maken van welke systemen of gegevenscategorieën betrokken zijn, en het formuleren van een eerste, feitelijke beschrijving van de al genomen maatregelen. Omdat de structuur van een melding vaststaat, kan een taalmodel die structuur consequent aanhouden, ook wanneer de onderliggende feiten in de loop van het incident nog worden aangevuld. Zo hoeft het crisisteam niet vanaf een leeg vel te beginnen, maar kan het een concept controleren, aanvullen en waar nodig aanscherpen. Dat scheelt kostbare tijd in de eerste, drukste uren en verkleint het risico dat een melding onvolledig de deur uitgaat omdat er onder tijdsdruk stappen worden overgeslagen.

Wat AI niet overneemt: de beoordeling en de verantwoordelijkheid

Het versnellen van het opstellen is iets anders dan het overnemen van de beslissing. Of een incident daadwerkelijk meldingsplichtig is, en wat er precies in de melding moet staan, blijft een beoordeling die bij een mens hoort te liggen: doorgaans de functionaris gegevensbescherming (FG/DPO), een jurist, of de crisiscoördinator. Zij wegen de aard van het incident en de risico's voor betrokkenen in een context die een taalmodel niet kan overzien.

Een taalmodel herkent patronen in taal, niet de juridische nuances van een specifiek geval. Het kan bijvoorbeeld niet zelfstandig vaststellen of een risico voor betrokkenen hoog genoeg is om ook de betrokkenen zelf te moeten informeren, of dat een incident onder de NIS2-richtlijn als significant geldt. AI-gegenereerde tekst kan bovendien feitelijke onjuistheden bevatten, zeker wanneer de onderliggende feiten nog onvolledig zijn. Elke conceptmelding moet daarom voor verzending zorgvuldig worden gelezen en goedgekeurd door een mens die de eindverantwoordelijkheid draagt. Dat sluit aan bij de bredere lijn die ook geldt voor AI-gebruik onder de EU AI Act in een crisis- of hulpverleningscontext, en bij de risico's van AI-hallucinaties: AI ondersteunt, de mens beslist en tekent.