Zowel de AI Act als de Algemene Verordening Gegevensbescherming (AVG) zijn essentieel voor de inzet van AI binnen gemeenten en andere overheden. Ze vullen elkaar aan, maar hebben verschillende doelen en verplichtingen. Dit artikel legt helder uit waar de belangrijkste verschillen en overlap liggen, wat de impact is voor Nederland, en biedt praktische voorbeelden en tools.
De kern: wat regelt de AI Act, wat regelt de AVG?
| AI Act | AVG (GDPR) | |
|---|---|---|
| Doel | Reguleren van het veilig, transparant en ethisch gebruik van AI-systemen binnen de EU. | Beschermen van de privacy en rechten van personen bij verwerking van persoonsgegevens. |
| Toepassingsgebied | AI-systemen (zowel publiek als privaat, inclusief overheid) | Persoonsgegevens, ongeacht technologie of systeem |
| Focus | Risicomanagement, transparantie, menselijk toezicht, technische robuustheid, registratie | Rechten van betrokkenen, dataminimalisatie, beveiliging, transparantie, toestemmingsvereiste |
| Risicoclassificatie | Ja, AI-systemen in 4 risicocategorieën (onaanvaardbaar, hoog, beperkt, minimaal) | Nee, alle persoonsgegevens vallen onder dezelfde basisverplichtingen |
| Belangrijkste verplichtingen | Risicobeoordeling, DPIA, registratie, audittrail, bias monitoring, uitlegplicht, menselijk toezicht | Rechten van betrokkenen, DPIA, toestemmingsbeheer, databeveiliging, meldplicht datalekken |
| Toezichthouder | Nieuwe nationale AI-toezichthouders (in NL: AP & AI-autoriteit vanaf 2025) | Autoriteit Persoonsgegevens (AP) |
| Inwerkingtreding | Gefaseerd vanaf 2025 (volledige naleving hoog-risico vanaf 2026) | Sinds 2018 in werking |
Voer daarom altijd een DPIA uit en stem compliance af met zowel de privacy officer als het AI-team.
Impact op Nederlandse wet- en regelgeving
Wat verandert er concreet voor Nederland?
De AI Act heeft grote invloed op bestaande Nederlandse wetten en het toezicht door de overheid. De Autoriteit Persoonsgegevens (AP) blijft toezichthouder voor de AVG, maar krijgt vanaf 2025 ook een rol als nationale AI-toezichthouder, samen met een nieuw op te richten AI-autoriteit. Bestaande wetten rond non-discriminatie, bestuursrecht en transparantie moeten worden afgestemd op de AI Act, zeker bij het gebruik van ‘hoog-risico’ AI in overheidssystemen.
In de praktijk betekent dit voor gemeenten en rijksoverheid:
- Strengere toetsing van algoritmes – onder meer via het verplichte algoritmeregister en audits.
- Obligatoire DPIA’s voor elke AI-toepassing met impact op burgers, vooral bij sociale voorzieningen, veiligheid en publieke dienstverlening.
- Menselijk toezicht moet altijd mogelijk blijven, zelfs als systemen grotendeels automatisch werken.
- Sancties worden strenger: bij schending van AI Act én AVG kunnen boetes en herstelmaatregelen worden opgelegd.
Op dit moment (juli 2025) werken de ministeries van BZK, JenV en EZK aan aanpassingen van uitvoeringsregels en modellen voor AI-governance. Veel gemeenten maken gebruik van de VNG Algoritmeregister en volgen handreikingen van VNG en Rijksdienst voor Digitale Infrastructuur.
Europese voorbeelden en lessen
Praktijkvoorbeeld
Wat moeten gemeenten en overheden hiermee doen?
- Beoordeel je AI-systemen: Inventariseer welke AI-systemen worden gebruikt, en bepaal hun risiconiveau (AI Act).
- Voer DPIA’s uit: Voor elk AI-systeem dat persoonsgegevens verwerkt, is een Data Protection Impact Assessment verplicht (AI Act én AVG).
- Zorg voor transparantie: Informeer burgers helder over waar en hoe AI wordt toegepast, en welke data worden gebruikt.
- Train en informeer medewerkers: Zorg dat iedereen de basisprincipes van zowel AI Act als AVG kent en begrijpt.
- Samenwerking en toezicht: Werk samen met de Data Protection Officer (DPO) en AI-specialisten om overlap en compliance te borgen.