De Autoriteit Persoonsgegevens waarschuwt dat organisaties nu al werk moeten maken van een verplichte ai-test. In Nederland en de EU komen strengere regels aan door de Europese AI‑verordening, met gevolgen voor overheid en bedrijfsleven. Wie algoritmen inzet in gevoelige domeinen moet straks aantonen dat het systeem veilig, eerlijk en transparant is. Wachten tot de wet volledig geldt, vergroot volgens de toezichthouder de kans op fouten, boetes en vertraging.
AI-wet verplicht vooraf testen
De Europese AI‑verordening (AI Act) introduceert een zorgplicht voor aanbieders en gebruikers van “hoog‑risico” systemen. Vooraf is een conformiteitsbeoordeling verplicht: een formele toets die lijkt op een CE‑keuring. Die toets bekijkt onder meer risicobeheer, datakwaliteit, menselijke controle, nauwkeurigheid en robuustheid. Zonder deze beoordeling mag een hoog‑risico algoritme straks niet op de markt of in gebruik.
De wet werkt gefaseerd in. Verboden toepassingen (zoals sociale scoring door overheden) worden als eerste verboden, daarna volgen regels voor algemene ai‑modellen en pas later de volledige set voor hoog‑risico systemen. Organisaties die nu al testen, documentatie en governance opbouwen, verkleinen het compliance‑gat. Dat is vooral relevant voor bedrijven die afhankelijk zijn van toeleveranciers van ai‑software.
De toetsing rust op Europese normen die de Europese Commissie aanwijst als “geharmoniseerde standaarden”. Denk aan eisen voor dataminimalisatie, bias‑beperking en uitlegbaarheid. Leveranciers moeten logbestanden bijhouden en incidenten melden. Gebruikers (de “deployers”) moeten controles inrichten, personeel trainen en risico’s blijven monitoren tijdens gebruik.
Een ai‑test is een voorafgaande beoordeling van risico’s, prestaties en waarborgen van een algoritme, vastgelegd in technische documentatie die per audit kan worden gecontroleerd.
AP raadt vroege voorbereiding aan
De Nederlandse privacytoezichthouder benadrukt dat veel organisaties al algoritmen inzetten zonder volledig zicht op risico’s. Begin daarom met een inventarisatie: welke systemen nemen beslissingen of ondersteunen medewerkers, en welke data gebruiken ze. Breng daarna de risico’s in kaart en koppel die aan concrete maatregelen. Dat bespaart tijd als de formele toets straks verplicht wordt.
Stel een multidisciplinair team samen met IT, compliance, juridische expertise en de business. Leg taken en verantwoordelijkheden vast, inclusief een proces voor modelwijzigingen. Documenteer datasets, trainingskeuzes en evaluaties, zodat auditteams dit kunnen herleiden. Zo ontstaat een “audit trail” die nodig is voor de conformiteitsbeoordeling.
Test niet alleen technisch, maar ook sociaal en juridisch. Check bijvoorbeeld of uitkomsten systematisch nadelig zijn voor bepaalde groepen en of de uitleg voor burgers begrijpelijk is. Koppel resultaten aan verbeteracties met duidelijke deadlines. Herhaal de toetsing bij elke grote modelupdate.
Hoog risico bepaalt eisen
De AI‑verordening werkt met risicoklassen. Hoog‑risico geldt onder meer voor algoritmen in werving en selectie, onderwijsbeoordeling, essentiële publieke diensten, kredietwaardigheid, rechtshandhaving en medische hulpmiddelen met ai‑functies. In deze categorie gelden de zwaarste eisen voor testen, documentatie en toezicht. Laag‑risico toepassingen vallen onder lichtere transparantieplichten.
Voor publieke en semipublieke organisaties in Nederland kan ook de impact op fundamentele rechten meewegen. Een chatbot die burgers adviseert over toeslagen is bijvoorbeeld risicovoller dan een interne zoektool. Ook private partijen kunnen hoog‑risico raken als het systeem over toegang tot belangrijke diensten of kansen beslist. De grens ligt dus niet bij “geavanceerd” maar bij “maatschappelijke impact”.
Daarnaast kent de wet een lijst met verboden praktijken, zoals ongerichte gezichtsherkenning in de openbare ruimte (met enkele strikte uitzonderingen) en manipulatieve systemen die gedrag ernstig verstoren. Voor algemene ai‑modellen (foundation of generatieve modellen) komen aparte verplichtingen, zoals technische documentatie en red-teaming. Bedrijven die zulke modellen integreren in producten moeten extra letten op licenties, risico’s en updates.
AVG en overheid raken betrokken
Zodra persoonsgegevens worden verwerkt, geldt de AVG onverminderd. Organisaties moeten dan dataminimalisatie toepassen, passende beveiliging regelen en vaak een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren. De uitkomsten van die DPIA voeden de ai‑test en omgekeerd. Samen laten ze zien dat risico’s voor betrokkenen zijn onderkend en beperkt.
Voor overheidsorganisaties komt daar een beoordeling van grondrechten bij, zoals de fundamentele‑rechten‑impactbeoordeling die de AI‑verordening vereist bij hoog‑risico inzet. In Nederland sluit dit aan op bestaande hulpmiddelen zoals de IAMA‑methodiek voor algoritmen. Publicatie in een algoritmeregister en begrijpelijke communicatie richting burgers verhogen de transparantie. Zo wordt techniek gekoppeld aan publieke verantwoording.
Leveranciers aan de overheid moeten rekening houden met extra aanbestedingseisen. Denk aan uitlegbaarheid, toegang tot logbestanden en exit‑clausules wanneer een model niet aan de wet voldoet. Ook moeten contracten duidelijk regelen wie welke testen uitvoert en wie aansprakelijk is bij fouten. Dit voorkomt dat naleving tussen partijen blijft liggen.
Toezicht, boetes en timing
De handhaving wordt Europees en nationaal georganiseerd. Per lidstaat worden toezichthouders en aangewezen instanties (notified bodies) betrokken bij markttoezicht en conformiteitsbeoordelingen. In Nederland bepaalt het kabinet op het moment van schrijven nog de definitieve rolverdeling tussen bestaande autoriteiten, met de Autoriteit Persoonsgegevens als logische speler waar het om gegevens en grondrechten gaat. Sectorale toezichthouders kunnen aanvullend eisen stellen.
De maximale boetes onder de AI‑verordening lopen op tot tientallen miljoenen euro’s of een percentage van de wereldwijde jaaromzet, afhankelijk van de overtreding en op het moment van schrijven concreet vastgesteld in de wet. Ook kan verkoop of inzet van een systeem worden stilgelegd. Deze prikkels moeten voorkomen dat risicovolle algoritmen ongetoetst de markt op gaan. Vroege voorbereiding verkleint juridische en operationele risico’s.
Belangrijk is de gefaseerde inwerkingtreding. Verboden toepassingen gelden al snel, regels voor algemene ai‑modellen volgen, en pas daarna de volledige plichten voor hoog‑risico systemen. Wie nu begint met inventarisatie, governance en testen, kan de conformiteitsbeoordeling tijdig afronden. Dat maakt innovatie mogelijk binnen duidelijke, Europese kaders.