Overheden en organisaties in Nederland boeken te weinig voortgang met het registreren van de algoritmes en AI-systemen die zij gebruiken. Dat constateert de Autoriteit Persoonsgegevens (AP) in aanloop naar de publicatie van de vijfde Rapportage AI & Algoritmes Nederland (RAN).
Volgens de toezichthouder is het gebrek aan transparantie problematisch voor burgers, die nu vaak niet weten waar en hoe algoritmes worden ingezet. De AP pleit daarom voor een verplichte algoritmeregistratie bij overheidsorganisaties.
Sinds begin 2023 zijn ongeveer 1.000 algoritmes opgenomen in het landelijke algoritmeregister. De gemeente Amsterdam en de Douane lopen hierbij voorop en geven samen met enkele andere publieke instellingen het goede voorbeeld. Toch blijft het beeld op landelijk niveau zorgelijk: meer dan de helft van de Nederlandse gemeenten heeft nog geen enkel algoritme geregistreerd. Bij de zelfstandige bestuursorganen is dit zelfs meer dan driekwart. Bovendien blijkt uit de gegevens dat slechts bij 5 procent van de geregistreerde algoritmes een beoordeling van grondrechten is uitgevoerd.
De AP, als coördinerend toezichthouder op algoritmes en AI, benadrukt dat een volledig algoritmeregister essentieel is voor transparantie, bescherming van grondrechten, uitlegbaarheid en controleerbaarheid. Met de pioniersfase achter de rug is het volgens de AP tijd voor een volgende stap: een wettelijk verplichte registratie van algoritmes binnen de overheid.
De toezichthouder publiceert daarom het document Aan de slag met algoritmeregistratie, waarin acht praktische handvatten worden geboden aan organisaties die werk willen maken van algoritmeregistratie. Daarmee wil de AP zowel publieke als private partijen stimuleren om meer inzicht te geven in hun algoritmegebruik.
Ook buiten de overheid blijft zicht op algoritmeregistratie beperkt. Sectoren als woningmarkt, zorg, onderwijs en financiële dienstverlening hebben nauwelijks inzichtelijk gemaakt welke algoritmes ze inzetten. Positief is wel dat sommige sectoren, zoals het onderwijsveld, actief werken aan eigen algoritmeregisters.
Volgens de AP is registratie een noodzakelijke eerste stap in het beheersen van risico’s als discriminatie, privacyschendingen en problemen met cybersecurity. Een goede registratie gaat verder dan alleen het benoemen van het doel van een algoritme: ook informatie over de gebruikte trainingsdata, de werking, ingebouwde controles en de verantwoordelijke personen moet worden vastgelegd.
De toezichthouder wijst erop dat algoritmeregisters een ander doel dienen dan de Europese databank voor hoog-risico AI-systemen. Die richt zich vooral op het productaanbod van AI-toepassingen en de verplichtingen van aanbieders vóórdat een systeem op de markt komt. Algoritmeregisters zijn daarentegen gericht op de feitelijke inzet van algoritmes binnen organisaties – ook als het om minder complexe systemen gaat die wel degelijk maatschappelijke impact kunnen hebben.
Tot slot doet de AP een dringende oproep aan zowel overheidsinstellingen als private organisaties: wacht niet op regelgeving, maar begin vandaag met algoritmeregistratie. Alleen zo kan de inzet van algoritmes op een verantwoorde, transparante en controleerbare manier vorm krijgen.
