AP: ‘hou vast aan huidige koers AI en algoritmes’

De Autoriteit Persoonsgegevens is positief over de koers die Nederland vaart met betrekking tot AI en algoritmes. Dat staat in de halfjaarlijkse rapportage van de privacytoezichthouder. Dat  wil niet zeggen dat er geen zorgen zijn. Zo is het zicht op incidenten met AI-systemen onvoldoende. Ook zijn er nog geen Europese standaarden voor AI-systemen, terwijl de markt daar met smart op wacht.

Beheersingspijlers

De ontwikkelingen in AI gaan snel (hoeveel berichten over AI agents heeft u al zien langskomen?) en daarom neemt de uitdaging om algoritmes en AI te beheersen toe. Voorkomen moet worden dat Nederland en de Europese Unie meegaan in een race to the bottom, schrijft de Autoriteit Persoonsgegevens (AP) in de halfjaarlijkse rapportage AI- en Algoritmerisico’s Nederland (RAN). De bescherming van grondrechten, publieke waarden en veiligheidsbelangen moet als basis dienen voor een sterk eigen Europees AI-ecosysteem.
In de rapportage onderscheidt de AP negen beheersingspijlers. Twee ervan liggen goed op koers en dat zijn niet de minste: het is relatief goed gesteld met de kennis van AI in de Nederlandse samenleving en ook de kaders en bevoegdheden voor het toezicht op AI-systemen zijn in de EU goed geregeld. Andere pijlers vragen om (verhoogde) aandacht. Twee scoren onvoldoende: standaarden en het zicht op incidenten.

Digitale soevereiniteit

Dat standaarden voor AI-systemen op zich laten wachten, maakt het lastig voor bedrijven om te weten hoe ze aan de regels kunnen voldoen. ‘Daar moeten we echt een been bijtrekken,’ zegt Sven Stevenson, directeur van de Directie Coördinatie Algoritmes van de AP. Duidelijke kaders voor AI kunnen namelijk helpen bij vraagstukken rondom digitale soevereiniteit. Veel AI-toepassingen zijn gebaseerd op cloudtechnologie, een onderwerp waar de Nederlandse overheid mee worstelt. Overstappen op een Nederlands of Europese alternatief is makkelijker als er standaarden bestaan voor AI-systemen waaraan de Europese partijen voldoen. ‘Dat biedt ze een competitief voordeel en geven zekerheid aan investeerders die willen weten of het bedrijf blijft voortbestaan,’ licht senior inspecteur Gerald Hopster desgevraagd toe.

Gebrek aan transparantie

Ook is het zicht op incidenten met AI-systemen en algoritmes is nog steeds onvoldoende. Een tweetal incidenten in het buitenland laat zien waar het zoal misgaat bij de overheid. Er is een klacht ingediend bij de Franse Raad van State tegen een fraudeprofileringsalgoritme dat zou discrimineren. In het Verenigd Koninkrijk is ophef ontstaan over een soortgelijk algoritme dat bias vertoont en onvoldoende onderbouwing heeft. In beide gevallen gaat het om systemen die onder de radar bleven totdat actiegroepen om opheldering vroegen.

Op het eerste gezicht staat de transparantie van algoritmes en AI in Nederlandse publieke organisaties er beter voor. Er staan meer dan 700 algoritmes in het algoritmeregister, een verdubbeling ten opzichte van ene jaar eerder. Maar er is nog een serieuze weg te gaan, waarschuwt de AP. Zo identificeerde het ministerie van Financieren en bijbehorende diensten (Belastingdienst, Douane en Toeslagen) ongeveer 200 algoritmes die in aanmerking komen voor algoritmeregistratie. Een kwart staat erin.

De AP wijst erop hoe weinig algoritmes als (onderdeel van) een AI-systeem met een hoog risico worden geclassificeerd. Slechts 25 van de ongeveer 700 algoritmes in het algoritmeregister zijn geclassificeerd als AI-systeem. Het is een lerend proces om AI-systemen te herkennen, geeft de toezichthouder aan, omdat het vaak gaat om gangbare technologie, zoals sensoren, beeldherkenning, voorspellingsmodellen et cetera.

Werving en selectie

Ook relevant voor de overheid is de waarschuwing van de AP over assessmentsystemen. De AI-verordening kent een hoog risico toe aan AI-systemen die worden gebruikt voor werving en selectie van personen, waaronder ook systemen voor assessments. Deze kunnen zorgen voor discriminatie en mogen vanaf augustus 2026 alleen op de markt worden gebracht als ze zijn voorzien van een keurmerk. Een onderzoek onder HR-medewerkers toont aan dat de kennis over AI-systemen op de werkvloer nog beperkt is. De AP wijst in dit verband op de verplichting uit de AI-verordening om te zorgen voor AI-geletterdheid binnen de organisatie. Deze verplichting ging op 2 februari 2025 in.

AI-geletterdheid

Onlangs publiceerde de AP een voorbeeld van een meerjarig actieplan voor AI-geletterdheid. ‘Wij begrijpen ook dat AI-geletterdheid een ingewikkelde opgave is voor organisaties,’ zegt Stevenson. ‘Hiermee proberen we groeipad neer te zetten om organisaties te inspireren en houvast te bieden. Veel organisaties weten goed waar ze nog dingen te doen hebben.’

Hoe hard is de verplichting rondom AI-geletterdheid? ‘Het gaat verder dan inspanningsverplichting,’ zegt Stevensom. ‘Als je een hoogrisico-systeem gebruikt als organisatie, zoals een werving- en selectiesysteem, dan moeten mensen die ermee werken goed snappen wat de risico’s zijn en hoe ze uitkomsten moeten interpreteren. Als het misgaat en je blijkt niks aan AI-geletterdheid te hebben gedaan, dan heb je iets extra’s uit te leggen.’

Zachte hand

Tegelijkertijd gaat de AP er met zachte hand in, benadrukt hij. Juist omdat het soms appels met peren vergelijken is: dat AI in een cirkelzaag voor een hoog risico zorgt, snapt iedereen, maar dat is moeilijk vergelijkbaar met de wat abstractere risico’s van  fraudeprofileringsalgoritmes en assessmentsystemen. ‘Organisaties moeten zich vrij voelen om op hun eigen manier invulling te geven aan AI-geletterdheid,’ voegt Hopster eraan toe. ‘Wel is het zaak om er echt mee te starten. Anders kom je op andere elementen in de problemen, waarvoor wel hardere handhaving geldt.’