Nieuwe privacywetten vereisen beoordelingen, en auditteams moeten deze kunnen aantonen
Elke nieuwe privacywet voegt een document toe dat iemand op verzoek moet kunnen overleggen. Een drempel wordt verlaagd, een definitie wordt verbreed, er verschijnt een nieuwe beoordeling en het compliance-team krijgt er weer een bewijsstuk bij. Dit patroon is nu zichtbaar in drie recente ontwikkelingen, die samen een functie omschrijven die meer moet waarborgen met de capaciteit die ze al heeft.
De eerste is een enquête van Sikich. De 2026 U.S. Internal Audit Priorities Survey, uitgebracht op 20 oktober 2026, laat zien dat 64 procent van de respondenten hogere interne auditbudgetten rapporteert en 43 procent verwacht extra personeel aan te nemen, terwijl 77 procent nu AI-beoordelingen opneemt in hun auditplannen. De tweede is wetgeving op staatsniveau. De gewijzigde privacywet van Delaware treedt op 1 januari 2027 in werking met lagere drempels en bredere regels voor gevoelige gegevens, en de wijzigingen van Connecticut zijn al in 2026 van kracht geworden. De derde is een gezamenlijke resolutie van de Canadese privacytoezichthouders over verantwoord gebruik van AI in de zorg, waarin wordt opgeroepen tot governance- en verantwoordingskaders gebaseerd op risicobeoordelingen.
Geen van deze punten gaat over één incident. Ze gaan over de gestage toename van verplichtingen die moeten worden aangetoond, en over wie het bewijs zal toetsen. Dit artikel legt uit wat elke ontwikkeling vereist, waarom ze allemaal op dezelfde bewijsstukken uitkomen, en hoe een Chief Compliance Officer, een Data Protection Officer of een hoofd interne audit één spoor kan opbouwen dat aan alle eisen voldoet. Ook wordt uitgelegd waar Kiteworks secure data exchange dat spoor ondersteunt voor gevoelige content, zonder de beoordelingen te vervangen die alleen mensen kunnen opstellen.
Belangrijkste inzichten
1. Privacyverplichtingen komen samen op beoordelingen en documentatie.
Delaware en Connecticut voegen risicobeoordelingen, governancekaders en auditklare documentatie toe, en de Canadese toezichthouders vragen hier ook om.
2. De reikwijdte blijft groeien.
Lagere toepassingsdrempels en bredere definities van gevoelige gegevens trekken meer organisaties onder regimes die ze eerder negeerden.
3. Auditcapaciteit groeit niet vanzelf mee.
Sikich meldt stijgende budgetten en AI-dekking, maar ook dat veel organisaties de waarborgen nog niet verder uitbreiden dan governance en beveiligingsmaatregelen.
4. AI is nu een assurance-onderwerp.
Connecticut vereist openbaarmaking van training met grote taalmodellen, Vermont zal dit vanaf januari 2028 ook eisen, en de Canadese toezichthouders vragen om voortdurende AI-specifieke beoordelingen.
5. Eén bewijsspoor is beter dan vijf.
Een uniforme registratie van wie wat heeft geraadpleegd, onder welk beleid, is de gemeenschappelijke input voor elke beoordeling en audit die deze regimes vereisen.
Wat zegt de Sikich-enquête, en wat niet
De 2026 U.S. Internal Audit Priorities Survey van Sikich, uitgebracht op 20 oktober 2026, meldt dat bijna twee derde van de respondenten (64 procent) hogere interne auditbudgetten had en dat meer dan vier op de tien (43 procent) verwachten extra personeel aan te nemen. Ook meldt het dat meer dan acht op de tien (82 procent) externe partners inzetten, en dat 77 procent AI-beoordelingen opneemt in hun auditplannen. Volgens het bedrijf zijn AI-governance, privacy van gegevens en cyberbeveiliging groeiende aandachtsgebieden.
Twee kanttekeningen zijn van toepassing. De enquête is uitgevoerd door een professioneel dienstverleningsbedrijf dat audit- en adviesdiensten verkoopt, en de gepubliceerde samenvatting vermeldt geen steekproefgrootte. Respondenten zijn interne auditleiders uit een breed scala aan sectoren, dus de bevindingen beschrijven de Amerikaanse auditgemeenschap en niet elke organisatie.
De meest bruikbare opmerking voor compliance-leiders is een subtiele. De enquête stelt dat veel organisaties de waarborgen nog niet verder hebben uitgebreid dan governance en beveiligingsmaatregelen. In de praktijk betekent dit dat auditteams controleren of beleid en maatregelen bestaan, en pas net beginnen te toetsen of AI-systemen werken zoals bedoeld en of beslissingen deugen. Het testen van prestaties en uitkomsten vereist bewijs dat een beleidsdocument niet kan leveren, zoals logs van welke systemen toegang hadden en wat ze produceerden.
Hier hebben de budgetcijfers context nodig. Een groter budget en meer AI-beoordelingen in het plan creëren op zichzelf nog geen onderliggende registraties. Als de organisatie niet kan aantonen tot welke gegevens een AI-tool toegang had of welke leverancier deze heeft verwerkt, heeft de auditor niets om te toetsen, hoe goed het auditteam ook gefinancierd is.
Welke Data Compliance Standards zijn belangrijk?
Read Now
Delaware en Connecticut verbreden het net
Wetgeving rond privacy op staatsniveau is een bewegend doelwit geworden. Volgens een samenvatting van Morgan Lewis over Delaware’s House Bill 380 treden de wijzigingen op 1 januari 2027 in werking. De toepassingsdrempel daalt naar verwerkingsverantwoordelijken die persoonsgegevens van 10.000 of meer consumenten beheren of verwerken, met uitzondering van gegevens die uitsluitend worden verwerkt om een betalingstransactie te voltooien, verlaagd van 35.000. De drempel voor bedrijven die meer dan 20 procent van hun bruto-omzet halen uit de verkoop van persoonsgegevens daalt naar 5.000 consumenten, voorheen 10.000.
Ook de reikwijdte van gevoelige gegevens wordt groter. De samenvatting stelt dat nu ook nationaliteit, bepaalde gezondheidsinformatie, neurale gegevens, bepaalde financiële accountinformatie en door de overheid uitgegeven identificatienummers onder de dekking vallen. Een verwerkingsverantwoordelijke mag gevoelige gegevens in het algemeen niet verwerken zonder toestemming van de consument, en elke verkoop van gevoelige gegevens moet strikt noodzakelijk zijn voor het leveren van een gevraagde dienst of product, waarbij het toestemmingsbewijs doorgaans vijf jaar wordt bewaard.
Nog twee wijzigingen zijn belangrijk voor het bewijs. Verwerkingsverantwoordelijken die persoonsgegevens van 50.000 of meer consumenten uit Delaware verwerken en profilering toepassen voor geautomatiseerde besluiten met juridische of vergelijkbare gevolgen, moeten een impactbeoordeling uitvoeren. En de uitzondering op entiteitsniveau voor financiële instellingen wordt nauwer. De herziene wetgeving vrijwaart alleen specifieke financiële instellingen en hun gelieerde ondernemingen, dus andere financiële entiteiten moeten mogelijk voor het eerst voldoen.
Connecticut was eerder. De samenvatting van Foley en Lardner meldt dat ingrijpende wijzigingen op 1 juli 2026 van kracht zijn geworden. De consumentendrempel daalde van 100.000 naar 35.000, en drempels gekoppeld aan gevoelige gegevens en gegevensverkoop gelden nu ongeacht de hoeveelheid. De beschermde leeftijdscategorie voor minderjarigen stijgt van 13 tot 16 naar 13 tot 17 jaar, met een algeheel verbod op gerichte reclame aan, en verkoop van persoonsgegevens van, die groep.
Connecticut voegt ook een AI-openbaarmaking en een nieuwe beoordeling toe. Privacyverklaringen moeten nu vermelden of persoonsgegevens worden gebruikt om grote taalmodellen te trainen, en verwerkingsverantwoordelijken die profileren voor juridisch significante besluiten moeten een aparte impactbeoordeling uitvoeren voor verwerkingsactiviteiten die zijn gecreëerd of gegenereerd op of na 1 augustus 2026. Consumenten krijgen ook het recht om een lijst te verkrijgen van derden aan wie hun persoonsgegevens zijn verkocht.
Het patroon herhaalt zich in de nieuwste alomvattende wetten. Een overzicht van Morgan Lewis van vier nieuwe staatswetten noemt Alabama (van kracht op 1 mei 2027), Louisiana en Oklahoma (beide op 1 januari 2027) en Vermont (1 januari 2028). De hersteltermijnen verschillen: 45 dagen in Alabama, 30 dagen in Louisiana en Oklahoma, en 60 dagen in Vermont. Vermont zal daarnaast eisen dat verwerkingsverantwoordelijken in hun privacyverklaringen vermelden of persoonsgegevens worden gebruikt voor het trainen van grote taalmodellen.
Voor een compliance-team betekent dit in de praktijk een lappendeken van drempels, data en hersteltermijnen die moeten worden bijgehouden, met een gemeenschappelijke kern van gedocumenteerde beoordelingen, toestemmingsbewijzen en controles op derden. Elk van deze kernen is een bewijsstuk waar een auditor om kan vragen.
Canadese toezichthouders leggen AI-governance vast
De derde ontwikkeling komt van buiten de Verenigde Staten en laat dezelfde richting zien. De federale, provinciale en territoriale privacytoezichthouders van Canada namen een gezamenlijke resolutie aan over verantwoord gebruik van kunstmatige intelligentie in de zorg en zorgonderzoek. De resolutie dateert van 15 september 2026 en de pagina van het Office of the Privacy Commissioner toont een wijzigingsdatum van 29 oktober 2026. Het is een gezamenlijke positie en een oproep tot actie, geen wet.
De resolutie vraagt ontwikkelaars om een privacy by design-benadering, en noemt zes principes. AI-systemen moeten privacybeschermend, geldig en betrouwbaar, veilig, mensenrechtenbevestigend, transparant en verantwoord zijn. Overheden worden aangespoord om wetgeving te herzien, aan te passen of aan te nemen zodat zorg-AI aan deze principes voldoet, en om governance- en verantwoordingskaders te eisen gebaseerd op robuuste risicobeoordelingen.
De details voor organisaties zijn leerzaam. Ontwikkelaars worden gevraagd om gedurende de hele levenscyclus van elk systeem voortdurende privacy-, beveiligings- en AI-specifieke beoordelingen uit te voeren, en auditmogelijkheden en routinematige praktijktesten mogelijk te maken. Zorgaanbieders wordt gevraagd een AI-risicobeheerframework actueel te houden, contracten met derden zorgvuldig te beheren, inclusief auditing en registratie, personeel op te leiden en ongeoorloofd gebruik van shadow AI te voorkomen, en menselijke controle en verificatie van uitkomsten te waarborgen.
Hoewel de resolutie gericht is op de zorgsector, is de structuur algemeen. Er wordt gevraagd om beoordelingen, governancekaders, contractvoorwaarden die auditing toestaan, en registraties die menselijke controle aantonen. Dit zijn dezelfde bewijsstukken waar de Amerikaanse staatswetten en de interne audit-enquête op wijzen.
De convergentie: beoordelingen, registraties en derden
Zet de drie ontwikkelingen naast elkaar en de overlap is duidelijk, en het is het soort overlap dat een volwassen governance, risk en compliance-programma kan absorberen. Elk vraagt de organisatie om een risico te beoordelen, het resultaat te documenteren, en aan te tonen dat het proces wordt herhaald en gecontroleerd.
Delaware en Connecticut vereisen impactbeoordelingen voor profilering en geautomatiseerde besluiten. De Canadese toezichthouders vragen om voortdurende AI-specifieke beoordelingen. Sikich meldt dat auditplannen steeds vaker AI-beoordelingen bevatten. De rode draad is dat een beoordeling alleen zo goed is als de feiten waarop deze rust, en die feiten bevinden zich in de systemen die de gegevens hebben verwerkt.
Derden zijn de tweede rode draad. De samenvatting van Delaware stelt dat het contract de verwerkingsverantwoordelijke in staat moet stellen redelijke en passende stappen te nemen om te waarborgen dat een derde partij aan haar verplichtingen voldoet. De Canadese resolutie zegt dat contracten met aanbieders auditing en registratie moeten regelen. Connecticut geeft consumenten het recht op een lijst van derden aan wie hun gegevens zijn verkocht. Elk van deze punten vereist dat de organisatie weet welke leveranciers welke gegevens hebben verwerkt, wat in de eerste plaats een kwestie van registratie is, nog voordat het een juridische kwestie is.
De derde rode draad is AI-openbaarmaking. Connecticut en Vermont vereisen beide dat privacyverklaringen vermelden of persoonsgegevens worden gebruikt om grote taalmodellen te trainen. Een verklaring is een belofte, en een toezichthouder kan om bewijs vragen dat de belofte overeenkomt met wat de systemen daadwerkelijk doen. Een organisatie die niet kan aantonen welke datasets door welke AI-tools zijn gebruikt, kan niet bevestigen dat haar verklaring klopt.
Waarom interne audit onder druk staat
Interne audit bevindt zich op het snijvlak van deze lijnen. Er wordt verwacht dat wordt getoetst of beoordelingen zijn uitgevoerd, of controles op leveranciers werken, en of AI-systemen zich gedragen zoals beschreven. De cijfers van Sikich laten een functie zien die groeit, maar groeiende budgetten lossen het structurele probleem niet op: het bewijs is versnipperd.
Denk aan een standaard auditvraag. Welke AI-tools hadden het afgelopen kwartaal toegang tot klantgegevens, via welke kanalen en met wiens goedkeuring? In veel organisaties vereist het antwoord het samenvoegen van registraties uit e-mail, bestandsoverdracht, managed file transfer, formulieren en logs van applicaties, elk in een ander formaat en in beheer bij een ander team. De auditor besteedt het grootste deel van de audit aan het verzamelen van bewijs, en heeft weinig tijd over om het te toetsen.
Die kosten worden door beide kanten gedragen. Het compliance-team is weken bezig met het beantwoorden van verzoeken, en de auditfunctie rapporteert over documentatiegaten in plaats van over de effectiviteit van controles. Het resultaat is het patroon dat Sikich beschrijft, waarbij assurance zich blijft richten op governance en beveiligingsmaatregelen omdat diepgaander testen gegevens vereist die moeilijk te verkrijgen zijn.
Het Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report wijst op dezelfde druk. In die zelfgerapporteerde leveranciersenquête had 63 procent van de 459 respondenten een compliance-gevolg ervaren, zoals een auditbevinding, een herstelplan, een escalatie naar de raad van bestuur, een contractuele boete of een onderzoek door de toezichthouder. De steekproef is zelfgerapporteerd en beslaat diverse regio’s en sectoren, dus zie het als een signaal over compliance-gevolgen in het algemeen en niet als een maatstaf voor een specifieke wet.
Bouw één bewijsspoor
De efficiënte reactie op convergerende verplichtingen is één bewijsspoor dat elke beoordeling, audit en toezichthoudende vraag voedt. Vijf elementen maken dit mogelijk.
Het eerste is een inventarisatie van gevoelige datastromen. Breng in kaart waar gereguleerde en gevoelige gegevens binnenkomen, bewegen en vertrekken, inclusief e-mail, bestandsoverdracht, SFTP, managed file transfer, formulieren en API’s. Dit is de basis voor elke analyse van drempels onder staatswetten en voor elke AI-beoordeling, en het is dezelfde discipline die ten grondslag ligt aan zero trust data protection. Een datastroom die niemand heeft geregistreerd, is een datastroom die niemand kan beoordelen, en een auditor zal de niet-geregistreerde stromen als eerste vinden.
Het tweede is een consistente registratie van toegang en delen. Leg per stroom vast wie welke content heeft geraadpleegd, wanneer, via welk kanaal en onder welk beleid. Een uniforme audit log over de kanalen heen maakt van een reconstructie van meerdere weken een rapport. Kiteworks secure data exchange levert die registratie voor content die via het platform wordt uitgewisseld, met door de klant beheerde encryptiesleutels en één beleidsengine over alle kanalen.
Het derde is een register van derden dat leveranciers aan gegevens koppelt. Noteer voor elke leverancier die gevoelige gegevens ontvangt de contractvoorwaarden over auditing en registratie, de gedeelde datacategorieën en de datum van de laatste review. Dit ondersteunt zowel de contractvereisten in Delaware als de Canadese verwachting van zorgvuldig contractbeheer, en voedt third-party risk management en breder supply chain risk management. Neem vierde partijen op waar het contract dit toestaat, want de subverwerkers van een leverancier zijn vaak waar een datastroom ontraceerbaar wordt.
Het vierde is een bibliotheek met beoordelingen. Bewaar privacy impact assessments, profiling impact assessments en AI-specifieke beoordelingen op één plek, elk gekoppeld aan het bewijs dat ze ondersteunt. Een privacy impact assessment die niet naar zijn onderliggende gegevens kan verwijzen, is moeilijk te verdedigen.
Het vijfde is een AI-toegangsbeleid. Leg vast welke AI-tools toegang mogen krijgen tot welke dataklassen, hoe toegang wordt beperkt tot de rechten van de geautoriseerde gebruiker, en hoe activiteiten worden gelogd. Dit is de controle die ervoor zorgt dat een privacyverklaring over AI-training klopt, en het ondersteunt bredere AI data governance. Kiteworks compliant AI past dezelfde toegangsregels en audit logging toe wanneer een AI-client content opvraagt, zodat de registratie van een AI-interactie eruitziet als die van een menselijke interactie.
Wat te doen in de komende negentig dagen
Begin met de wetten die het snelst van kracht worden. De wijzigingen in Delaware treden op 1 januari 2027 in werking, net als de nieuwe wetten in Louisiana en Oklahoma, dus in het eerste kwartaal van het jaar gaan de nieuwe drempels gelden. Gebruik de komende negentig dagen om te bevestigen welke van deze wetten op uw organisatie van toepassing zijn, en behandel de state data privacy laws als één programma met een bijlage per staat.
Test vervolgens het bewijs. Kies één gereguleerde dataset en vraag hoe lang het zou duren om een geconsolideerd overzicht te produceren van wie er het afgelopen kwartaal toegang toe had. Als het antwoord dagen of weken is, is het gat structureel en wordt het niet opgelost door meer audituur toe te voegen.
Stem daarna audit en compliance op elkaar af. Maak afspraken over welke beoordelingen door welke functie worden beheerd, waar het bewijs zich bevindt, en hoe verzoeken worden doorgezet. Gedeeld eigenaarschap van het bewijsspoor voorkomt dat beide functies dezelfde registraties dubbel verzamelen.
Vergeet de menselijke kant niet. Leid het personeel op dat beoordelingen en toegangsverzoeken afhandelt, zodat registraties worden gemaakt op het moment van besluitvorming en niet achteraf worden gereconstrueerd. Een besluitregistratie die dezelfde dag wordt geschreven, is voor een auditor veel waardevoller dan één die een jaar later uit het geheugen en e-mailthreads wordt samengesteld.
Breng ten slotte het bestuur op de hoogte met bewijs. Een overzicht op één pagina van regelgevingswijzigingen, afgeronde beoordelingen, beoordeelde leveranciers en openstaande uitzonderingen zegt meer dan een optelsom van beleidsdocumenten. De vraag van het bestuur is of de organisatie controle kan aantonen, en het antwoord moet uit de registraties komen.
Meer weten over het opbouwen van één bewijsspoor voor privacybeoordelingen en auditverzoeken? Plan vandaag nog een demo op maat.
Veelgestelde vragen
Het betreft een enquête van een professioneel dienstverleningsbedrijf dat audit- en adviesdiensten verkoopt, en de gepubliceerde samenvatting vermeldt geen steekproefgrootte. Respondenten zijn Amerikaanse interne auditleiders uit diverse sectoren. Gebruik de cijfers als richtinggevend bewijs voor auditprioriteiten en vergelijk ze met de gegevens van uw eigen afdeling. Een gestructureerde risicobeoordeling van uw eigen auditdekking is een betere maatstaf dan een enquêtegemiddelde. Vraag welke AI-systemen uw plan dekt, welke assurance-activiteiten prestaties en besluiten toetsen en niet alleen controles, en welk bewijs elke toets vereist.
Staatsprivacywetten zijn doorgaans van toepassing als een bedrijf zaken doet in de staat of zich richt op inwoners van de staat en aan de drempels voldoet, niet op basis van waar het hoofdkantoor zich bevindt. De gewijzigde drempels van Delaware en de verlaagde drempel van Connecticut betekenen dat meer bedrijven van buiten de staat onder de wet kunnen vallen. Bevestig de toepasselijkheid met juridisch advies en volg de wijzigingen binnen uw data privacy-programma. Dit artikel biedt algemene informatie en geen juridisch advies; uitzonderingen, waaronder die voor financiële instellingen op entiteitsniveau, verschillen per staat en kunnen zijn aangescherpt.
Nee. Het is een gezamenlijke resolutie van de federale, provinciale en territoriale privacytoezichthouders van Canada, die overheden oproept tot wetgeving en verwachtingen schetst voor ontwikkelaars, aanbieders en onderzoekers. Het is wel een nuttige benchmark, omdat het de beoordelingen, governancekaders en registratie beschrijft die toezichthouders passend achten voor AI die gevoelige informatie verwerkt. Zie het als een voorproefje van auditvragen, ondersteund door duidelijk data governance-eigenaarschap. Als uw organisatie gezondheidsinformatie verwerkt, zijn de verwachtingen rond contracten, menselijke controle en shadow AI praktisch genoeg om nu al toe te passen.
Minimaal moet worden vastgesteld tot welke gegevens het systeem toegang heeft, het doel, de rechtsgrond of toestemming, de controles die toegang beperken, de betrokken leveranciers, de menselijke controle en het bewijs dat de controles werken. De beoordeling moet verwijzen naar logs en contracten, niet alleen een abstracte beschrijving geven. Een zero trust generative AI-aanpak helpt de toegangsgrens smal genoeg te houden om te beoordelen. Werk de beoordeling bij telkens wanneer het systeem, de gegevens of de leverancier verandert, en houd van elke update een gedateerde registratie bij.
Deze registreert toegang, delen en overdracht van gegevens over alle kanalen in één consistent formaat, zodat beoordelingen, leveranciersreviews en auditverzoeken op dezelfde feiten zijn gebaseerd. Teams kunnen zo een toezichthouder of auditor vanuit één bron antwoorden, en aantonen dat dezelfde feiten elke beoordeling ondersteunen, wat het bewijs geloofwaardig maakt. Het vervangt niet de beoordelingen, de verantwoordelijke eigenaren of het oordeel daarachter. Kiteworks secure data exchange levert de registratie voor content die via het platform wordt uitgewisseld, en de Kiteworks Compliant AI-aanpak past dezelfde beleidsregels en logging toe op AI-toegang.
Aanvullende bronnen
- Blog Post Het touwtrekken om uw data: hoe de CLOUD- en SHIELD-wetten beveiliging en privacy tegenover elkaar zetten
- Blog Post Beveilig gevoelige gegevens door DSPM te koppelen aan uw compliance-doelen
- Brief Top 3 FERPA-overtredingen en hoe u ze voorkomt
- Blog Post Executive Order 14117: Bescherming van de gevoelige bulk persoonsgegevens van Amerikanen
- Blog Post NIS2-naleving nodig? Begin met ISO 27001