AI-verordening overheid: wat gemeentes en publieke instanties nu moeten doen

Gemeentes, uitvoeringsdiensten en andere publieke instanties staan onder de AI-verordening voor een serieuzer compliance-traject dan de meeste private bedrijven. Niet omdat de wet ze anders behandelt in de definitie van 'deployer', maar omdat ze structureel vaker hoogrisico-AI inzetten én omdat Artikel 27 voor hen een expliciete extra verplichting bevat: de verplichte grondrechten-impactbeoordeling, beter bekend als de FRIA.

Dit artikel legt uit wat die verplichting inhoudt, welke publieke instanties eronder vallen, en hoe je als gemeente of overheidsinstelling een werkbaar compliance-stappenplan opzet.

# Wie valt onder 'publieke sector' in de AI-verordening?

De AI-verordening gebruikt niet de term 'publieke sector' als aparte categorie met een eigen definitie. Wat wél bestaat is het onderscheid in Artikel 27 tussen deployers die publiekrechtelijke instanties zijn, en alle andere deployers.

Een publiekrechtelijke instantie is — kort gezegd — elke organisatie die onder nationaal publiekrecht valt. Denk aan:

• Gemeentes en provincies
• Rijksdiensten en uitvoeringsorganisaties (UWV, Belastingdienst, DUO, SVB)
• ZBO's (zelfstandige bestuursorganen) zoals de AP zelf, de ACM, of de NZa
• Onderwijs- en zorginstellingen die overwegend publiek gefinancierd zijn (dit grijze gebied verdient extra aandacht)

Private bedrijven die een overheidsopdracht uitvoeren vallen hier in beginsel níet onder, ook al werken ze voor een gemeente. De FRIA-verplichting volgt de juridische status van de deployer, niet de inhoud van het werk.

# Artikel 27: de FRIA-verplichting

Als publiekrechtelijke instantie die een hoogrisico-AI-systeem inzet ben je op grond van Artikel 27 verplicht vóór de ingebruikname een grondrechten-impactbeoordeling (FRIA) uit te voeren. Dat geldt ook voor private organisaties die diensten van algemeen belang aanbieden — banken bij kredietbeoordeling, verzekeraars, bepaalde zorgaanbieders.

Wat beoordeel je in een FRIA?

1. Welke rechten zijn in het geding? Denk aan non-discriminatie, privacy, toegang tot publieke diensten, recht op een eerlijk besluit.
2. Wie worden geraakt? Welke groepen mensen worden door het AI-systeem beïnvloed, en is er kans op disproportionele effecten op kwetsbare groepen?
3. Welke waarborgen zijn er? Wat doet de organisatie om grondrechtenschendingen te voorkomen of te mitigeren?
4. Wie is verantwoordelijk? De FRIA moet worden opgesteld door de deployer, niet door de aanbieder van het systeem.

Een FRIA is geen éénmalig document. Als het AI-systeem significant verandert of de context van gebruik wijzigt, moet je de beoordeling herhalen. Overweging 97 maakt duidelijk dat de Commissie verwacht dat deployers hier proactief mee omgaan.

# Hoe verschilt dit van wat private MKB moet doen?

Een privaat bedrijf dat een hoogrisico-AI-systeem inzet heeft onder Artikel 26 al een flinke lijst verplichtingen: technische documentatie bijhouden, menselijk toezicht implementeren, logs bewaren, personeel trainen. Dat is niet niets.

Maar de FRIA is voor private deployers niet verplicht — tenzij ze als financiële instelling, verzekeraar, of dienstverlener van algemeen belang opereren. Een gemeente of uitvoeringsdienst kan die verplichting niet omzeilen. De combinatie van Artikel 26 én Artikel 27 maakt het compliance-pakket voor de publieke sector zwaarder.

Daar bovenop speelt nog iets anders: publieke instanties zetten AI vaker in op plekken die direct Bijlage III raken. Denk aan:

• Geautomatiseerde beoordeling van uitkeringsaanvragen (Bijlage III, categorie 5)
• Risicomodellen voor schuldhulpverlening of handhaving
• Systemen die bepalen welke burgers nader gecontroleerd worden
• AI-ondersteunde selectie in onderwijsinstellingen

Al deze toepassingen vallen hoogstwaarschijnlijk in de hoogrisico-categorie van Bijlage III. Dat betekent dat de volledige Artikel 26 + Artikel 27 combinatie van toepassing is.

# Wat betekent 'menselijk toezicht' voor een gemeente?

Artikel 26 eist dat deployers ervoor zorgen dat er betekenisvol menselijk toezicht is op de AI-output. Kijk, voor een gemeente is dat niet altijd eenvoudig. Denk aan een medewerker die dagelijks honderden beschikkingen verwerkt waarbij een AI-systeem advies geeft. Als de medewerker dat advies altijd overneemt zonder kritisch na te denken, voldoe je feitelijk niet aan de wet — ook al zit er technisch een mens in de loop.

Betekenisvol toezicht vereist dat medewerkers:

• Begrijpen wat het systeem doet en wat de beperkingen zijn
• De output kunnen contesteren en afwijken wanneer dat nodig is
• Weten wanneer ze moeten escaleren

Dat vraagt om gerichte AI-geletterdheidsstraining (Artikel 4) en interne procedures die het toezicht ook documenteren.

# Stappenplan voor gemeentes en overheidsinstellingen

Stap 1: Inventariseer al je AI-systemen Maak een volledige lijst van alle AI-tools en geautomatiseerde systemen die je inzet, inclusief die van leveranciers. Gebruik daarvoor de definitie in Artikel 3 van de verordening: elk systeem dat met machine learning, statistische methoden of logische benaderingen outputs genereert die de omgeving beïnvloeden.

Stap 2: Classificeer op risico Toets elk systeem aan Bijlage III. Valt het erin? Dan is het hoogrisico. Controleer ook of een systeem verboden handelingen verricht zoals beschreven in Artikel 5 — real-time biometrische identificatie in openbare ruimtes is voor overheden aan strenge voorwaarden gebonden.

Stap 3: Voer FRIA's uit voor hoogrisico-systemen Per hoogrisico-systeem stel je een FRIA op. Betrek hierbij je functionaris voor gegevensbescherming (FG), want een FRIA overlapt deels met de DPIA onder de AVG. De AP heeft richtlijnen gepubliceerd over hoe beide beoordelingen op elkaar aansluiten — check autoriteitpersoonsgegevens.nl voor de meest actuele guidance.

Stap 4: Stel contractuele eisen aan leveranciers Als je een AI-systeem inkoopt bij een commerciële aanbieder, heb je als deployer recht op de technische documentatie en conformiteitsverklaring (Artikel 26, lid 6). Zorg dat dit in het contract staat. Bij aanbestedingen kun je dit als eis opnemen in de functionele specificaties.

Stap 5: Richt menselijk toezicht in en documenteer het Definieer per systeem wie verantwoordelijk is voor het toezicht, wat de interventiebevoegdheid is, en hoe afwijkingen worden vastgelegd. Leg dit vast in werkprocedures of werkinstructies.

Stap 6: Train je medewerkers Artikel 4 verplicht deployers om te zorgen dat medewerkers die met AI-systemen werken voldoende AI-geletterd zijn. Voor overheden met grote teams vraagt dit om een gestructureerd trainingsplan met documentatie van wie wat heeft gevolgd.

Stap 7: Stel een incidentprocedure in Als een hoogrisico-AI-systeem een serieus incident veroorzaakt, ben je als deployer verplicht dit te melden bij de markttoezichthouder. In Nederland is dat vooralsnog de AP voor AI-systemen in de context van persoonsgegevens. Zorg dat je weet wanneer iets een 'ernstig incident' is in de zin van Artikel 3, lid 49.

# Deadlines die je niet mag missen

De AI-verordening is op 1 augustus 2024 in werking getreden. De meeste verplichtingen voor deployers van hoogrisico-systemen gelden per 2 augustus 2026. Dat klinkt ver weg, maar een FRIA opstellen voor een complex systeem kost tijd — zeker als je ook je leveranciers moet aanspreken op documentatieverplichtingen.

Verboden AI-praktijken (Artikel 5) zijn al verboden per 2 februari 2025. Als je twijfelt of een systeem in die categorie valt, los dat nu op.

# Samenwerking met de AP

De Autoriteit Persoonsgegevens heeft in Nederland de rol van coördinerend toezichthouder voor de AI-verordening gekregen, naast haar bestaande rol als AVG-toezichthouder. Dat betekent dat FRIA en DPIA in de praktijk steeds meer naar elkaar toe groeien. Wie al een goed DPIA-proces heeft opgezet, heeft een voorsprong — maar let op: een DPIA vervangt de FRIA niet.

De AP heeft aangegeven actief toe te zien op de naleving door overheidsinstanties, juist omdat die als betrouwbare uitvoerder van publieke taken een voorbeeldrol vervullen. Dat is geen dreigement, maar een realistische verwachting van de toezichthouder.

# Wat nu?

Als je niet zeker weet welke AI-systemen jouw organisatie inzet, of je weet wel wat je gebruikt maar hebt nog geen FRIA opgesteld: begin daar. Één helder overzicht van je AI-landschap is de fundering van alles wat daarna komt.

Wil je weten waar je nu staat? Doe de gratis 2-minuten compliance-check op comply.khairos.ai en krijg direct inzicht in je grootste compliance-risico's als publieke deployer.