Whitepaper · AR en AI beveiliging
IT- en securitydossier: AR en AI op de werkvloer
Wat IT/OT, de CISO en de FG moeten beoordelen voordat digitale en AR-werkinstructies live gaan: devices, netwerk, identiteit, data, AVG, EU AI Act en NIS2
IT- en securitydossier: AR en AI op de werkvloer
Alleen de nieuwsbrief?
Eén keer per maand: een praktijkvoorbeeld, een KPI om op te sturen en nieuws uit DeepSight.
Belangrijkste inzichten
- Behandel tablets, telefoons en headsets als beheerde endpoints: MDM, kioskmodus of gedeeld gebruik, wissen op afstand en gecontroleerde updates.
- Houd het instructieplatform buiten de OT-besturingszone; operators hebben content nodig, geen toegang tot PLC's of SCADA.
- Foto's, video en staplogs zijn persoonsgegevens zodra ze herleidbaar zijn tot een medewerker. Voer een DPIA uit en vraag instemming van de OR voordat de pilot start.
- Onder de EU AI Act zijn door AI opgestelde werkinstructies doorgaans niet hoog-risico, maar menselijke controle, herleidbaarheid en AI-geletterdheid zijn verstandig vanaf dag één.
Hoofdstukken
01 · Waarom moeten IT en security vóór de eerste pilot aan tafel?
Omdat AR en AI op de werkvloer tegelijk devices, netwerken, identiteiten en persoonsgegevens raken. Wie IT/OT, de CISO en de FG vanaf het begin betrekt, voorkomt een pilot die operationeel werkt maar niet op te schalen is.
02 · Hoe beheert u tablets, telefoons en AR-headsets?
Registreer elk device in mobile device management (MDM), gebruik een afgeschermd kiosk- of gedeeld-gebruikprofiel en beheer app- en firmware-updates centraal. Headsets verdienen dezelfde aanpak als tablets, ook al verschilt de MDM-ondersteuning per model.
03 · Hoe sluit u AR aan op het netwerk zonder OT te raken?
Zet werkvloerdevices op een eigen draadloos segment met toegang tot het platform, maar zonder route naar het besturingsnetwerk. Koppelingen met MES of CMMS lopen server-naar-server via de DMZ, nooit vanaf het device.
04 · Welke data wordt opgeslagen en wat vraagt de AVG?
Foto's, video, audio en staplogs worden persoonsgegevens zodra ze herleidbaar zijn tot een medewerker. De AVG vraagt dan een grondslag, dataminimalisatie, vaste bewaartermijnen en, bij stelselmatige monitoring, een gegevensbeschermingseffectbeoordeling (DPIA).
05 · Wat betekent de EU AI Act voor werkinstructies die AI opstelt?
AI gebruiken om werkinstructies op te stellen, te vertalen of samen te vatten is onder de EU AI Act doorgaans geen hoog-risicotoepassing. Relevant zijn transparantie, AI-geletterdheid en vooral een degelijke menselijke controle voordat een door AI opgestelde instructie de vloer bereikt.
06 · Is NIS2 van toepassing, en hoe passen identiteit en SSO erin?
Veel producenten, voedingsmiddelenbedrijven en energiebedrijven vallen onder NIS2, waardoor leveranciersbeveiliging een expliciete verantwoordelijkheid van het bestuur wordt. Single sign-on met rolgebaseerde rechten is de meest effectieve afzonderlijke maatregel voor een werkvloerplatform.
07 · Welke vragen horen in de securityvragenlijst voor leveranciers?
Gebruik een korte, specifieke vragenlijst over certificering, hosting, dataverwerking, AI, toegang, continuïteit en exit. Vraag om bewijs, niet om ja/nee-antwoorden.
Veelgestelde vragen
Is AR op de werkvloer een OT-securityrisico?
Niet als het goed is ontworpen. Instructiedevices hebben content uit een bedrijfsapplicatie nodig, geen toegang tot besturingssystemen. Zet ze op een apart netwerksegment zonder routes naar PLC's of SCADA en laat koppelingen met MES of CMMS server-side via de DMZ lopen.
Is een DPIA nodig voor digitale werkinstructies?
Vaak wel, of minstens een vastgelegde toets. Staplogs die herleidbaar zijn tot operators kunnen worden gebruikt om prestaties te volgen, een typische aanleiding voor een DPIA onder artikel 35 AVG. Uw FG beslist; doe het tijdens het pilotontwerp.
Heeft de OR instemmingsrecht?
Meestal wel. Artikel 27 WOR geeft de ondernemingsraad instemmingsrecht over personeelsvolgsystemen en de verwerking van persoonsgegevens van medewerkers. Betrek de OR vroeg en leg de afspraken over datagebruik vast.
Zijn door AI opgestelde werkinstructies hoog-risico onder de EU AI Act?
Doorgaans niet, als AI alleen concepten of vertalingen maakt die mensen controleren en goedkeuren. AI die individuele medewerkers beoordeelt of aanstuurt kan onder bijlage III vallen; die verplichtingen gelden na de Digitale Omnibus vanaf 2 december 2027.
Kan het platform in de EU gehost worden?
Dat moet per leverancier en per onderdeel worden bevestigd, inclusief AI-diensten. ActARion haalt deze informatie voor DeepSight op tijdens de intake.
Liever direct antwoord op uw vraag? Spreek een expert.
In 30 minuten kijken we samen naar uw proces, uw cijfers en de snelste weg naar een meetbare pilot. Geen verkooppraatje, wel een concreet advies.