Gemeenten werken met talloze systemen voor dienstverlening, bedrijfsvoering en het sociaal domein. Waar deze systemen vroeger vooral administratief van aard waren, voegen leveranciers nu steeds vaker AI-functionaliteiten toe via updates of standaard ingeschakelde modules. Hierdoor verandert de gegevensverwerking ingrijpend, ook zonder nieuwe software. In deze blog leg ik uit hoe AI ongemerkt gemeentelijke software binnendringt, waarom dit een privacyrisico vormt en hoe je hier als gemeente grip op houdt.

Download hier een pdf van deze blog

AI sluipt gemeentelijke software binnen

Leveranciers voegen steeds vaker Artificial Intelligence (AI)-functionaliteit toe aan hun producten zonder dat gemeenten daar expliciet voor kiezen. Denk aan automatische classificatie van documenten in Document Management Systemen (DMS), patroonherkenning binnen zaaksystemen, suggesties voor antwoordteksten in Klant Contact Centrum (KCC)-applicaties, voorspellende modules in handhavingssystemen en automatische samenvattingen van dossiers of meldingen.

Deze functies zijn aantrekkelijk omdat ze tijd besparen en processen efficiënter maken, maar ze brengen ook risico’s met zich mee. Gemeenten hebben vaak geen inzicht in welke gegevens worden gebruikt, of persoonsgegevens worden geanalyseerd of gelogd, waar het AI-model wordt gehost, of de leverancier gegevens inzet voor modeltraining en hoe de output precies tot stand komt. Dat gebrek aan transparantie maakt het lastig om te beoordelen of de verwerking voldoet aan de Algemene Verordening Gegevensbescherming (AVG) en of inwoners eerlijk en zorgvuldig worden behandeld.

Waarom de AVG bij AI-functionaliteiten een knelpunt is

AI-systemen verwerken vaak meer gegevens dan strikt noodzakelijk. Ze kunnen verbanden herkennen die niet bedoeld zijn, of gegevens gebruiken op manieren die vooraf niet inzichtelijk zijn. Dit roept vragen op over:

• Noodzakelijkheid: is deze verwerking echt nodig?
• Proportionaliteit: zijn er minder ingrijpende alternatieven?
• Minimale gegevensverwerking: gebruikt het systeem niet meer data dan nodig?
• Transparantie: kan de gemeente uitleggen hoe de functionaliteit werkt?

Als verwerkingsverantwoordelijke moet de gemeente kunnen aantonen dat deze AI-functionaliteiten voldoen aan de AVG, ook wanneer de leverancier ze automatisch heeft ingeschakeld.

DPIA en FRIA onmisbaar bij ingebedde AI

Omdat AI-functionaliteiten invloed kunnen hebben op zowel privacy als bredere grondrechten, is het belangrijk om zowel een Data Protection Impact Assessment (DPIA) als een Fundamental Rights Impact Assessment (FRIA) uit te voeren.

• Een Data Protection Impact Assessment (DPIA) richt zich op de risico’s voor persoonsgegevens, zoals de kans dat automatische classificatie tot onjuiste conclusies leidt of dat een leverancier inzage krijgt in documenten.
• Een Fundamental Rights Impact Assessment (FRIA) gaat een stap verder: dit is een gestructureerde beoordeling van de impact van een systeem, vaak een hoogrisico AI-systeem, op fundamentele rechten van mensen. Hierbij gaat het niet alleen om privacy, maar ook om risico’s zoals discriminatie, ondoorzichtige besluitvorming, ongelijke behandeling, beperking van toegang tot publieke diensten of verlies van menselijke autonomie.

In de context van de Europese AI Act wordt een FRIA verplicht voor hoogrisico AI-toepassingen. Dit zorgt ervoor dat organisaties vooraf inzichtelijk maken welke grondrechten kunnen worden geraakt en welke maatregelen nodig zijn voordat een systeem in gebruik mag worden genomen. AI die besluitvorming ondersteunt of beïnvloedt, kan immers grote gevolgen hebben voor het sociaal domein, vergunningverlening, handhaving en klantcontact. Daarom is een gecombineerde beoordeling via DPIA én FRIA essentieel.

Hoe kan je als gemeente de impact van AI beoordelen?

Gemeenten zetten steeds vaker AI-toepassingen in om processen te verbeteren, efficiënter te werken en inwoners beter van dienst te zijn. . Maar met elke nieuwe toepassing komt ook de vraag: wat betekent dit voor privacy, veiligheid, transparantie en gelijke behandeling? Om grip te houden op deze ontwikkelingen is een gestructureerde impactbeoordeling essentieel. Een praktisch beoordelingskader voor gemeentelijke toepassingen kan er als volgt uitzien:

1. Beschrijf de functionaliteit: Welke AI is toegevoegd, wat doet het systeem en staat het standaard aan?
2. Bepaal welke gegevens worden gebruikt: Verwerkt het systeem persoonsgegevens, bijzondere categorieën of grote hoeveelheden metadata?
3. Beoordeel waar het model wordt gehost: Staat het model lokaal, bij de leverancier of in een externe cloudomgeving?
4. Analyseer risico’s (DPIA en FRIA): Denk aan datalekken, foutieve conclusies, profilering, discriminatie of verlies van menselijke controle.
5. Stel maatregelen vast: Autorisaties, logging, uitschakelopties, begeleiding van leveranciers en beleid voor medewerkers.
6. Beoordeel transparantie richting inwoners: Is uitlegbaar hoe de AI werkt en waarom de gemeente deze inzet?
7. Borg menselijke toetsing: AI mag ondersteunen, maar mag nooit zelfstandig bepalen hoe een inwoner wordt behandeld.

De drie belangrijkste afwegingen hierbij:

1. Controle over de functionaliteit: Kunnen AI-modules worden uitgezet, ingesteld of beperkt?
2. Inzicht in werking: Begrijpt de gemeente wat er onder de motorkap gebeurt? Leveranciers moeten toelichten welke gegevens worden gebruikt en hoe het model leert.
3. Uitlegbaarheid naar inwoners en bestuur: Als de functionaliteit niet uitlegbaar is, is het risico meestal te groot.

Wanneer AI niet zichtbaar is, maar wel impact heeft

Veel gemeenten kennen AI via zichtbare tools zoals Copilot, maar de meeste risico’s liggen bij stille integraties in reguliere software. AI in zaaksystemen, DMS-modules of KCC-software is vaak veel minder transparant. Juist deze onzichtbare AI maakt een goede DPIA, FRIA en governance noodzakelijk.

Conclusie: AI vraagt om inzicht en regie

AI komt via steeds meer kanalen de gemeentelijke organisatie binnen. Soms expliciet, maar vaak als ‘slimme’ toevoeging in bestaande software. Voor Privacy Officers en de Functionaris Gegevensbesecherming (FG) ligt de opdracht in het creëren van inzicht, het beoordelen van risico’s en het borgen van uitlegbaarheid richting inwoners en bestuur.

Gemeenten die structureel onderzoeken welke AI-functionaliteiten actief zijn en daar duidelijke kaders voor opstellen, houden grip op privacy, grondrechten en betrouwbare dienstverlening. Zo blijft de inzet van AI niet alleen efficiënt, maar ook verantwoord en transparant.

Meer informatie of hulp nodig?

Wil je zeker weten dat AI-functionaliteiten binnen gemeentelijke systemen voldoen aan de AVG en goed zijn ingebed in jullie governance? IB&P ondersteunt bij DPIA’s, risicoanalyses en praktische kaders die direct toepasbaar zijn in de organisatie. Neem contact met ons op voor advies op maat. Kijk op deze pagina om te zien wat IB&P nog meer voor jou kan betekenen of neem direct contact met ons op.