Gemeenten, provincies en uitvoeringsorganisaties zetten kunstmatige intelligentie steeds vaker in voor alledaagse taken. Zij kiezen voor eenvoudige, praktische toepassingen die direct tijd besparen en de dienstverlening verbeteren. Dat gebeurt nu vooral met teksthulpen zoals Microsoft 365 Copilot, ChatGPT Enterprise of een intern Llama 3‑model. Tegelijk moeten teams rekening houden met de AVG en de Europese AI‑verordening en de gevolgen daarvan voor de overheid.
Kleine stappen, snel effect
De meeste organisaties beginnen met laagrisico‑taken zoals samenvatten, opstellen van e‑mails en zoeken in beleidsdossiers. Dit zijn taken waarbij een mens het eindresultaat controleert. Zo blijft de kwaliteit op orde en is het proces goed uitlegbaar. Het verlaagt werkdruk zonder grote verandering van processen.
Voor deze start kiezen veel teams voor bestaande tools. Microsoft 365 Copilot en ChatGPT Enterprise zijn snel inzetbaar, met beheer op organisatieniveau. Sommige organisaties draaien een open model zoals Llama 3 of Mistral lokaal of in een EU‑cloud. Dat geeft meer grip op data en kosten.
Een praktische techniek is RAG, kort voor retrieval‑augmented generation. Hierbij laat je het algoritme eerst zoeken in eigen documenten en daarna antwoorden. Zo blijven antwoorden feitelijk en actueel. Het voorkomt ook dat vertrouwelijke informatie onnodig het model in gaat.
Meet vanaf dag één het effect in tijdwinst en foutreductie. Leg vast welke prompts werken en welke niet, en deel die als korte handleiding. Houd altijd een mens‑in‑de‑lus bij besluiten die burgers raken. Zo blijft het gebruik proportioneel en uitlegbaar.
Wat nog ontbreekt
Veel organisaties missen duidelijke rolverdeling rond AI. Wie beheert het model, wie toetst privacy, en wie legt besluiten uit aan burgers? Zonder deze governance blijven pilots hangen en groeit het risico op misbruik. Benoem daarom product‑owner, privacy‑officer en data‑eigenaar expliciet.
Datakwaliteit is een tweede knelpunt. Documenten zijn vaak versnipperd en matig geordend. Een eenvoudige opschoonactie en heldere labels leveren direct betere resultaten op. Dit verkleint ook de kans dat het systeem verkeerde of achterhaalde informatie gebruikt.
Ook training voor medewerkers is nog beperkt. Gebruikers hebben behoefte aan basiskennis over wat een taalmodel kan en niet kan. Leg jargon uit in gewone taal en geef voorbeelden uit de eigen werkpraktijk. Zo groeit het vertrouwen op een verantwoorde manier.
Tot slot ontbreken vaak afspraken met leveranciers over dataopslag en audit. Vraag standaard om logboeken, modelversies en evaluatie‑rapporten. Maak een exit‑strategie onderdeel van het contract. Zo voorkom je afhankelijkheid en kun je overstappen als eisen veranderen.
AI‑verordening stuurt implementatie
De Europese AI‑verordening (AI Act) introduceert risicoklassen en verplichtingen voor aanbieders en gebruikers. Voor overheden zijn de gevolgen groot, vooral bij toepassingen die invloed hebben op rechten van burgers. Denk aan toeleiding naar zorg of toezicht. De regels treden gefaseerd in werking in 2025 en 2026, op het moment van schrijven.
De AI‑verordening deelt systemen in vier groepen: onaanvaardbaar, hoog, beperkt en minimaal risico. Voor hoog risico gelden onder meer eisen aan datakwaliteit, logging, menselijk toezicht en transparantie.
Toepassingen die onder “hoog risico” vallen vragen extra zorg. Overheidsorganisaties moeten dan een risicomanagementsysteem inrichten en technische documentatie bijhouden. Ook geldt vaak een toets op grondrechten, zodat effecten op burgers vooraf in beeld zijn. Dit sluit aan bij bestaande zorgplichten in het bestuursrecht.
Bepaalde toepassingen zijn verboden, zoals sociale scoring door overheden. Ook biometrische categorisering op gevoelige kenmerken is niet toegestaan. Transparantie‑plichten gelden breder, bijvoorbeeld wanneer burgers met een AI‑systeem te maken hebben. Een publieksvriendelijke uitleg en registratie in een algoritmeregister helpen daarbij.
Nederlandse organisaties gebruiken daarvoor steeds vaker een algoritmeregister. Daarin beschrijven zij doel, werking en toezicht van een systeem. Dit verhoogt de uitlegbaarheid en maakt het eenvoudiger om aan de AI‑verordening te voldoen. Het biedt ook houvast voor gemeenteraad en rekenkamer.
AVG bepaalt datagebruik
De AVG blijft leidend bij alle AI‑toepassingen die persoonsgegevens raken. Start met dataminimalisatie: alleen data gebruiken die nodig is voor het doel. Voer een DPIA uit bij verhoogd risico, bijvoorbeeld bij gevoelige gegevens. Leg verwerkingen vast in het register van verwerkingsactiviteiten.
Let op gegevensuitwisseling met leveranciers. Sluit verwerkersovereenkomsten met duidelijke afspraken over bewaartermijnen, subverwerkers en beveiliging. Kies waar mogelijk voor EU‑datacenters en versleuteling van data in rust en tijdens transport. Houd rekening met doorgifte‑regels buiten de EU.
Speciale categorieën persoonsgegevens vragen extra bescherming. Denk aan gezondheidsgegevens of gegevens over kwetsbare groepen. Overweeg pseudonimisering of het werken met synthetische data voor ontwikkel‑ en testdoeleinden. Zo beperk je risico’s zonder het leerproces te stoppen.
De Autoriteit Persoonsgegevens adviseert terughoudendheid met het plakken van ruwe persoonsgegevens in promptvelden. Richt daarom technische blokkades en beleid in. Train medewerkers om geen vertrouwelijke informatie te delen met generatieve systemen. Log gebruik en voer steekproeven uit.
Inkoop en open modellen
Bij inkoop draait het om controle en interoperabiliteit. Vraag naar modelkaart, evaluatiesets en veiligheidsfuncties. Leg vast hoe het systeem presteert op Nederlandse data en beleidsteksten. Richt eisen op open standaarden en export van data en logboeken.
Open modellen zoals Llama 3 (Meta) en Mistral bieden flexibiliteit en EU‑hosting. Europese aanbieders als Mistral AI en Aleph Alpha leveren opties met datascheiding en audit. Dit kan helpen bij AVG‑eisen en aanbestedingen. Wel vraagt het om eigen beheer en expertise.
Kies per use‑case het passende model: niet elk probleem vraagt het grootste model. Kleinere modellen zijn goedkoper en vaak sneller genoeg. Combineer ze met RAG voor feitelijke antwoorden uit eigen bronnen. Zo houd je kosten en risico’s beperkt.
Sluit aan bij NORA‑principes en inkoopkaders van VNG Realisatie. Besteed aandacht aan exit‑clausules en periodieke herbeoordeling. Neem security‑eisen op die passen bij NIS2‑verplichtingen, op het moment van schrijven. Zo blijft het systeem veilig en toekomstvast.
Aanpak voor morgen
Kies één concreet werkproces met lage risico’s, zoals het samenvatten van klantcontacten. Vorm een klein team met een proceseigenaar, jurist en informatiebeveiliging. Stel doelen vast in tijdwinst en foutreductie. Start met een gecontroleerde pilot van vier tot zes weken.
Maak vooraf spelregels: geen persoonsgegevens in prompts, altijd menselijk nazien en logging aan. Bouw een promptbibliotheek met voorbeelden uit de eigen organisatie. Leg bronverwijzingen vast via RAG. Evalueer wekelijks met gebruikers en stuur bij.
Regel governance parallel aan de pilot. Meld de toepassing in het algoritmeregister en actualiseer het verwerkingenregister. Voer waar nodig een DPIA en, bij hoog risico, een grondrechtentoets uit. Betrek ondernemingsraad en privacy‑officer vroeg.
Schaal pas op als de resultaten stabiel zijn en de risico’s beheersbaar. Kies dan voor een robuuste inkoop en beheerafspraken. Plan periodieke model‑evaluaties en bias‑checks. Zo blijft AI eenvoudig, praktisch en verantwoord inzetbaar in de publieke sector.
