Organisaties die veel kunstmatige intelligentie inzetten, melden vaker incidenten. Dat blijkt uit nieuw onderzoek bij bedrijven en overheden in Nederland en Europa. Het gaat om datalekken, foutieve beslissingen en ongewenste uitkomsten van algoritmen. De stijging hangt samen met intensiever gebruik, meer controleprocessen en strengere regels zoals de Europese AI-verordening gevolgen overheid en bedrijfsleven.
Meer AI, meer meldingen
De kern van de bevinding: hoe intensiever AI wordt gebruikt, hoe vaker incidenten worden geregistreerd. Dat speelt bij zowel private bedrijven als publieke instellingen, zoals gemeenten en uitvoeringsorganisaties. Het gaat om generatieve systemen, voorspellende modellen en beslisondersteuning in processen. Denk aan tekst- en code-assistenten of datamodellen die risico’s of fraude inschatten.
De toename van meldingen betekent niet automatisch dat er meer schade is. Organisaties die AI serieus inzetten hebben vaker beleid, logging en meldprocedures. Daardoor zien zij ook sneller wat misgaat en registreren zij dat formeler. De zichtbaarheid van fouten neemt toe, zelfs als het risicoprofiel gelijk blijft.
Incidenten variëren van privacyproblemen tot verkeerde of bevooroordeelde uitkomsten. Ook technische storingen, fouten in integraties en overschrijding van interne regels komen voor. Met name bij generatieve AI kunnen onjuiste antwoorden of “verzonnen” feiten schade veroorzaken. Dat raakt reputatie, compliance en soms ook burgers of klanten.
AI-incident: elke ongewenste of onverwachte uitkomst, toegang of storing bij het gebruik van een AI-systeem, met mogelijke gevolgen voor privacy, veiligheid, kwaliteit of naleving.
Oorzaken liggen in gebruik
Generatieve AI maakt het laagdrempelig om tekst, code en beelden te maken. Daardoor ontstaat snel “schaduw-AI”: medewerkers testen tools zonder duidelijke afspraken of toezicht. Voorbeelden zijn ChatGPT van OpenAI, Gemini van Google, Copilot van Microsoft en Claude van Anthropic. Zonder beleid kan invoer van gevoelige gegevens leiden tot datalekken of onbedoelde opslag buiten de EU.
Een bekend risico is hallucinatie: een model geeft een overtuigend maar onjuist antwoord. In combinatie met automatisering kan dat foutieve beslissingen versterken. Dat geldt bij klantcommunicatie, HR-screening of interne rapportage. Menselijke controle en heldere drempels voor gebruik zijn dan cruciaal.
Verder spelen technische factoren, zoals modeldrift en zwakke integraties. Modeldrift betekent dat prestaties afwijken door veranderende data of context. Ook prompt-injecties, waarbij externe input het model ongewenst aanstuurt, leiden tot fouten. Leveranciersketens vergroten het risico als modellen van derden onvoldoende zijn beoordeeld.
AI-verordening: gevolgen overheid
De Europese AI-verordening (AI Act) verplicht strengere zorgplichten voor hoog-risico systemen. Dat omvat risicobeoordelingen, logging, robuustheidstests en menselijk toezicht. Leveranciers en gebruikers moeten ernstige incidenten kunnen vaststellen en melden. Voor overheidstoepassingen betekent dit extra documentatie en transparantie richting burgers.
De AVG blijft leidend bij persoonsgegevens, met eisen als dataminimalisatie en versleuteling. Een gegevensbeschermingseffectbeoordeling (DPIA) is nodig bij risicovolle verwerkingen. Nederlandse overheden werken al met registers en richtlijnen, zoals het Algoritmeregister van Amsterdam en Rotterdam. Dat sluit aan bij de AI Act-eisen om uitlegbaarheid en herleidbaarheid te versterken.
Ook NIS2, de Europese cybersecurityrichtlijn, speelt mee voor vitale en belangrijke organisaties. Die moeten incidenten sneller melden en digitale weerbaarheid aantoonbaar verhogen. AI-diensten en integraties vallen daar in de praktijk vaak onder. Samen betekenen AI Act, AVG en NIS2 dat bestuur en IT nauwer moeten samenwerken.
Meldcultuur verbetert beheersing
Het onderzoek laat zien dat organisaties met duidelijk beleid sneller incidenten signaleren. Zij trainen medewerkers, registreren systemen en voeren periodieke controles uit. Daardoor stijgt het aantal meldingen, maar daalt de impact per gebeurtenis. Transparantie werkt hier als veiligheidsmechanisme in plaats van als risico.
Een praktisch vertrekpunt is een centraal AI-register met doel, data en contactpersonen. Ook nuttig zijn toegangsbeheer, datalekpreventie (DLP) en strikte instellingen bij cloudtools. Enterprise-varianten van diensten zoals ChatGPT, Copilot en Gemini bieden opties voor databehoud en tenant-afscherming. Die moeten wel aantoonbaar worden geconfigureerd en getest.
Menselijke toetsing blijft verplicht bij gevoelige beslissingen, zoals bij werving of toekenning van voorzieningen. Red teaming en kwaliteitsmetingen met representatieve testsets beperken vooringenomenheid. Contracten met leveranciers, inclusief logretentie en auditrechten, zijn noodzakelijk. Zo ontstaat een controleerbare keten van model tot besluit.
Publieke sector als voorbeeld
Nederlandse overheden passen AI vooral in ondersteunende taken toe, zoals webchat en documentanalyse. Gemeenten en ministeries zetten beleid op, vaak met een verbod op gevoelige data in publieke tools. Tegelijk breiden zij pilots uit met interne modellen en afgeschermde omgevingen. De ervaringen vloeien terug naar richtlijnen en inkoopvoorwaarden.
Die aanpak past bij de AI-verordening, die uitlegbaarheid en menselijk toezicht centraal zet. Voor burgers is het belangrijk te weten waar algoritmen worden gebruikt. Registers en impactanalyses vergroten dat vertrouwen. Dat geldt zeker bij processen met direct gevolg voor inkomen, zorg of handhaving.
Voor Europese organisaties is interoperabiliteit een extra eis. Data moeten binnen juridische grenzen blijven en overdraagbaar zijn. Leveranciers die EU-hosting, versleuteling en duidelijke auditpaden bieden, hebben daarom een streepje voor. Zo worden naleving en schaalbaarheid beter te combineren.