AI-beleid DE REGIO

Deze tekst als markdown-bron: ai-beleid-regio.md

Geanonimiseerd voorbeelddocument. Organisatienamen, rolhouders, procesnamen en contactgegevens zijn vervangen door placeholders in hoofdletters (DE REGIO, VOORBEELDGEMEENTE, GEMEENTE B tot en met GEMEENTE D). Het stuk is bedoeld om hergebruikt te worden: zoek de placeholders op en vul je eigen organisatie in. Zie het README voor de herkomst en de vertaalsleutel.

Wil je eerst vaststellen wat er in je eigen organisatie feitelijk aan AI draait voordat je dit beleid overneemt, gebruik dan het draaiboek AI-gebruik in beeld.

Organisaties	VOORBEELDGEMEENTE, GEMEENTE B, GEMEENTE C en GEMEENTE D, hierna samen: DE REGIO
Versie	1.0
Status	Concept
Versiedatum	VASTSTELLINGSDATUM
Eigenaar, ambtelijk	Gemeentesecretaris
Eigenaar, bestuurlijk	College van burgemeester en wethouders

Versiebeheer

Versie	Beschrijving
0.6	Input verzameld in werksessies
0.7	Verzamelde informatie omgezet in conceptbeleid
0.8	Opmerkingen externe adviseur en deelnemers werksessie
0.9	Opmerkingen verwerkt
1.0	Concept ter vaststelling

1. Inleiding

Dit beleid heeft betrekking op het ontwerp, de ontwikkeling en het gebruik van kunstmatige intelligentie door de organisaties van DE REGIO en haar medewerkers. DE REGIO omvat de gemeenten VOORBEELDGEMEENTE, GEMEENTE B, GEMEENTE C en GEMEENTE D, hierna samen te noemen de regio.

In DE REGIO praten we over AI, een afkorting van de Engelse term voor kunstmatige intelligentie: Artificial Intelligence. Dit hoofdstuk beschrijft waarom dit beleid er is, voor wie het geldt, hoe het zich verhoudt tot bestaand beleid, en welke uitgangspunten DE REGIO hanteert. Alle overige hoofdstukken vloeien voort uit de kaders die hier worden gesteld.

Het AI-beleid is opgesteld voor de organisaties in DE REGIO. Daarin zit ook ruimte om lokale afwegingen te maken wat betreft de hoofdstukken 2, 6, 7 en 8. Bijvoorbeeld: VOORBEELDGEMEENTE heeft een bepaalde visie op dienstverlening, waar GEMEENTE C een andere invulling aan geeft. Dat kan voor VOORBEELDGEMEENTE leiden tot een andere lokale afweging of uitvoering. Dat geldt ook voor de maatschappelijke opgaven die per organisatie kunnen verschillen, evenals de duurzaamheidsambities. Die kunnen invloed hebben op de keuzes die gemaakt worden voor bepaalde AI-toepassingen.

Naast dit beleid wordt ook een plan van aanpak opgesteld. Daarin is opgenomen welke stappen DE REGIO nog moet ondernemen om volgens dit AI-beleid te werken.

1.1 Aanleiding en doel

AI ontwikkelt zich in hoog tempo en heeft steeds meer impact op het werk in DE REGIO. Medewerkers gebruiken AI-systemen in hun dagelijks werk en de behoefte aan duidelijke kaders groeit. Begin 2024 heeft DE REGIO een handreiking AI uitgebracht. Deze handreiking bood een eerste oriëntatie, maar de organisatie heeft behoefte aan concretere afspraken.

DE REGIO wil daarom meer houvast bieden aan de organisatie en haar medewerkers, zodat zij verantwoord en effectief gebruik kunnen maken van AI. Dit beleid biedt dat houvast en geeft de organisatie voldoende grip om zich verder te kunnen ontwikkelen.

Het doel van dit beleid is drieledig:

Duidelijkheid scheppen voor medewerkers, leidinggevenden en bestuur over hoe de regio omgaat met AI.
Een concreet handelingsperspectief bieden: medewerkers weten wat zij met AI kunnen en mogen doen, waar zij terecht kunnen met vragen, en welke verantwoordelijkheden zij hebben.
Verantwoording mogelijk maken richting bestuur, inwoners en toezichthouders over de wijze waarop DE REGIO AI inzet.

De ontwikkelingen rondom AI gaan erg snel. Dit beleid biedt daarom ook ruimte om te experimenteren en te leren, mits dat verantwoord en effectief gebeurt. DE REGIO ziet het als goed werkgeverschap om medewerkers actief mee te nemen in de ontwikkelingen rondom AI. DE REGIO wil daarbij zoveel mogelijk aansluiten op landelijke initiatieven, zoals de Nederlandse Digitaliseringsstrategie (NDS) en de initiatieven vanuit de Vereniging van Nederlandse Gemeenten (VNG).

1.2 Definities

Voor dit beleid worden de volgende definities gehanteerd, in lijn met landelijke en Europese standaarden.

AI-systeem (conform de AI Act): Een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en dat na inzet aanpassingsvermogen kan vertonen, en dat voor expliciete of impliciete doelstellingen uit ontvangen input afleidt hoe output te genereren zoals voorspellingen, inhoud, aanbevelingen of beslissingen die van invloed kunnen zijn op fysieke of virtuele omgevingen.
Algoritme (conform de Algemene Rekenkamer): Sets van regels en instructies die een computer geautomatiseerd volgt bij het maken van berekeningen om een probleem op te lossen of een vraag te beantwoorden.

Naast deze twee definities is in bijlage 2 een begrippenlijst opgenomen.

1.3 Doelgroep en reikwijdte

Dit AI-beleid geldt voor alle onderdelen van de organisatie van DE REGIO. De doelgroep omvat alle medewerkers, inclusief externen en inhuur.

Het beleid is ook relevant voor AI-systemen die gericht zijn op inwoners. Hiervoor gelden aanvullende eisen, met name op het gebied van transparantie. Dit is verder uitgewerkt in hoofdstuk 7.

Het beleid is van toepassing op alle vormen van AI-gebruik, zowel generatieve AI (zoals taalmodellen) als klassieke AI-systemen (zoals machine learning en patroonherkenning). DE REGIO kiest er bewust voor om de scope breed te houden. Daarom is het beleid van toepassing op beide vormen.

1.4 Relatie met bestaand regionaal beleid

Het AI-beleid staat niet op zichzelf, maar sluit aan op bestaande regionale beleidskaders binnen DE REGIO. De belangrijkste beleidskaders waarmee dit AI-beleid samenhangt zijn: het privacybeleid, het informatiebeveiligingsbeleid, de architectuurprincipes en het ondertekende Manifest Maatschappelijk Verantwoord Opdrachtgeven en Inkopen (MVOI).

1.5 Uitgangspunten en principes

Bij de toepassing van dit AI-beleid zijn de volgende uitgangspunten leidend:

Verantwoord en effectief. AI wordt ingezet op een manier die uitlegbaar, doelmatig en ethisch verantwoord is en bijdraagt aan de doelen van de organisatie.
Mensgerichte aanpak. Het beleid is geschreven vanuit het perspectief van de medewerker. Het biedt houvast en vertrouwen, niet alleen regels en beperkingen.
Flexibiliteit en leren. AI-ontwikkelingen gaan snel. Het beleid kent een gelaagde opzet: een stabiel algemeen kader dat door het college wordt vastgesteld, en daaronder uitwerkingen die flexibeler kunnen worden aangepast. De governance is gericht op de leercurve. Dat wil zeggen dat de governance de leercurve ondersteunt door ruimte te bieden om te experimenteren en actief te sturen op reflectie en kennisdelen, zonder telkens toestemming te halen in de hiërarchie van besluitvorming. De organisatie leert hierdoor stap voor stap wat werkt en wat niet, en past haar werkwijze daarop aan.
Dienstverlening en maatschappelijke opgaven. De inzet van AI wordt gestuurd vanuit de visie op dienstverlening aan inwoners en ondernemers en vanuit de maatschappelijke opgaven van de verschillende organisaties van DE REGIO.
Transparantie. DE REGIO is open over haar AI-gebruik, zowel intern als extern. Ervaringen en besluiten worden vastgelegd zodat de organisatie ervan kan leren.

1.6 Beleidsstatus, evaluatie en uitzonderingen

Dit AI-beleid is bindend voor de hele regio en geeft richting aan hoe we werken met AI. Afwijken is in beginsel niet toegestaan. Afwijken kan alleen in uitzonderlijke situaties en in overleg met de AI-compliance officer, zodat de juiste afwegingen plaatsvinden.

Het beleid wordt jaarlijks geëvalueerd en indien nodig aangepast. Omdat AI zich voortdurend en snel ontwikkelt, kunnen we ook tussentijds bijsturen. Het algemene kader blijft daarbij relatief stabiel, terwijl de afspraken over de uitvoering bewust flexibel zijn. De CIO kan binnen bestaande procedures wijzigingen doorvoeren, zodat niet elke aanpassing het volledige bestuurlijke besluitvormingsproces hoeft te doorlopen.

1.7 Vragen over AI en dit beleid

Verzoeken tot inzet van AI-systemen en wensen op dit vlak verlopen via het portfolioproces. Het portfolioproces staat voor multidisciplinair samenwerken: een informatiemanager bespreekt en prioriteert samen met het cluster een verzoek of wens. Voor overige vragen over AI en dit beleid kun je mailen naar AI@REGIO.nl.

1.8 Leeswijzer

In dit beleid wordt een raamwerk geschetst dat de inzet van AI binnen DE REGIO zowel veilig als verantwoord maakt. De kernprincipes (mensgerichtheid, non-discriminatie, transparantie, duurzaamheid en soevereiniteit) worden in hoofdstuk 2 uiteengezet. De juridische context, waaronder relevante wet- en regelgeving zoals de AI Act, is beschreven in hoofdstuk 3. Hoofdstuk 4 beschrijft governancestructuren, rollen en verantwoordelijkheden. Het uitvoeren van risicoanalyses, monitoring en incidentmanagement wordt in hoofdstuk 5 uitgewerkt. De praktische toepassing van AI, inclusief toegestaan en verboden gebruik, datakwaliteit en de gebruikte tools, staat in hoofdstuk 6. Hoofdstuk 7 gaat dieper in op zowel externe als interne transparantie en de vereiste documentatie in het algoritmeregister. Tot slot biedt hoofdstuk 8 handvatten voor AI-geletterdheid, opleiding en de culturele transitie die nodig is om AI op een verantwoorde manier in te zetten.

2. Waarden

Niet alles wat technisch mogelijk is met AI, is ook wenselijk. Dit hoofdstuk beschrijft de waarden die richting geven aan alle AI-keuzes van DE REGIO. Het fungeert als moreel en maatschappelijk kompas. Waarden zijn in dit beleid de overtuigingen en principes die bepalen wat DE REGIO nastreeft en hoe zij handelt.

De vijf waarden die dit beleid raken zijn:

Mensgerichtheid en menselijke autonomie (2.1)
Gelijkwaardigheid, non-discriminatie en inclusie (2.2)
Transparantie en uitlegbaarheid (2.3)
Duurzaamheid en maatschappelijke verantwoordelijkheid (2.4)
Soevereiniteit en democratische waarden (2.5)

In paragraaf 2.6 wordt toegelicht hoe DE REGIO hier in de praktijk mee omgaat.

2.1 Mensgerichtheid en menselijke autonomie

De mens staat centraal bij de inzet van AI, zowel de inwoner als de medewerker. AI is een hulpmiddel dat mensen ondersteunt, maar nooit het doel of de beslissing op zich. Dit uitgangspunt raakt direct aan de beginselen van behoorlijk bestuur uit de Algemene wet bestuursrecht (zie hoofdstuk 3) en aan het privacybeleid. Daarin is vastgelegd dat DE REGIO nooit volledig geautomatiseerde besluiten neemt die gericht zijn op mensen. Dit betekent dat bij besluitmomenten met impact op inwoners of medewerkers menselijke tussenkomst verplicht is (human-in-the-loop). Inwoners moeten altijd een menselijk contact kunnen leggen met de organisaties van DE REGIO; AI mag dat contact niet volledig vervangen.

Medewerkers moeten in staat worden gesteld om kritisch te kijken naar AI-uitkomsten en deze te beoordelen op basis van hun eigen vakkennis. De mens blijft de expert, AI ondersteunt. Medewerkers betrekken indien nodig collega's met vakkennis. Uitgangspunt is dat DE REGIO altijd kan uitleggen hoe besluiten tot stand zijn gekomen en dat de autonomie van de mens over dat proces wordt geborgd.

De inzet van AI raakt ook aan werkzekerheid en de positie van medewerkers. DE REGIO stelt sociaal werkgeverschap centraal en borgt het vakmanschap en de vakkennis van haar medewerkers. HR en de ondernemingsraad worden actief betrokken bij het in kaart brengen van effecten op werk en werkzekerheid.

2.2 Gelijkwaardigheid, non-discriminatie en inclusie

Het gebruik van AI mag niet leiden tot directe of indirecte discriminatie of ongelijkwaardigheid. Dit is onderdeel van het ondertekende MVOI-manifest.

Om bias en discriminatie te voorkomen zet de organisatie in op meerdere sporen:

Kennis en bewustwording. Medewerkers moeten weten wat bias is, hoe het in AI-systemen kan ontstaan, en hoe het herkend kan worden. Het opleiden van personeel wordt verder uitgewerkt in hoofdstuk 8.
Expertise betrekken. Medewerkers met expertise worden betrokken bij het ontwerp en de toetsing van AI-systemen. Zo wordt een ethische dialoogtafel ingericht. Dit is verder uitgewerkt in hoofdstuk 4 over de governance.
Risicoanalyses. Indien nodig worden risicoanalyses uitgevoerd zoals beschreven in hoofdstuk 5. AI wordt niet ingezet bij processen en beslismomenten waarin DE REGIO een hoog risico op discriminatie en bias heeft vastgesteld dat niet kan worden weggenomen door het nemen van maatregelen.
Inkoop. Inkoop van AI wordt volgens de MVOI-richtlijn gedaan, waarin aandacht wordt besteed aan inclusiviteit.

2.3 Transparantie en uitlegbaarheid

Transparantie is essentieel voor het vertrouwen van inwoners in de overheid. Het uitgangspunt is: zo transparant en open mogelijk over de inzet en ontwikkeling van AI binnen DE REGIO en over de onzekerheden door de snelle ontwikkelingen. Hoe meer transparantie er in de processen bestaat, hoe meer de organisatie kan leren van de feedback van inwoners en van medewerkers onderling. Transparantie is daarmee niet alleen een verantwoordingsplicht, maar ook een leermiddel, in lijn met het leerprincipe uit hoofdstuk 1.

Tegelijkertijd moet transparantie over AI-inzet zelf geen nieuwe risico's creëren. Informatie over de werking van AI-systemen kan relevant zijn vanuit een cybersecurityperspectief. De afweging tussen openheid en veiligheid wordt per toepassing gemaakt. Deze afweging wordt verder uitgewerkt en meegenomen in het governancemodel. Hoe DE REGIO omgaat met transparantie en uitlegbaarheid is verder uitgewerkt in hoofdstuk 7.

De controleerbaarheid van het overheidshandelen en de uitlegbaarheid van besluiten vormen samen met transparantie de kern van deze waarde. Dit sluit direct aan op de juridische verplichtingen uit de Algemene wet bestuursrecht en de Wet open overheid. DE REGIO moet altijd kunnen uitleggen hoe een besluit tot stand is gekomen, dus ook als AI daarbij heeft ondersteund.

2.4 Duurzaamheid en maatschappelijke verantwoordelijkheid

DE REGIO werkt aan een duurzame toekomst, in lijn met het Klimaatakkoord van Parijs (2016), de Sustainable Development Goals, het MVOI-manifest en de eigen duurzaamheidsambities. De inzet van AI heeft impact op deze doelstellingen: het trainen en gebruiken van AI-modellen gaat gepaard met energieverbruik, waterverbruik, grondstoffengebruik en CO2-uitstoot.

Daarom wordt duurzaamheid meegenomen in de afweging bij nieuwe AI-systemen. Het streven is om AI-systemen te gebruiken die transparant zijn opgebouwd en bijdragen aan de duurzaamheidsdoelen van de organisatie. Omdat inzichten en meetmethoden zich nog ontwikkelen, groeit de organisatie hierin stapsgewijs mee. DE REGIO houdt rekening met welk model wordt gebruikt, of dat in verhouding staat tot het doel waarvoor het wordt gebruikt, en of er een vorm van compensatie van de milieu-impact mogelijk is. Waar mogelijk wordt de milieu-impact gemeten en gemonitord. Dat doen we in ieder geval bij eigen lokale taalmodellen.

De duurzaamheidswaarde heeft ook een opleidingscomponent. Medewerkers moeten zich bewust zijn van de milieu-impact van AI en weten hoe zij AI zo duurzaam mogelijk kunnen gebruiken. Dit gaat onder meer over:

Bewust een keuze maken of de inzet van AI nodig is bij het te bereiken doel. Bijvoorbeeld of het gebruiken van een reguliere zoekmachine ook mogelijk is voor het beantwoorden van een simpele vraag in plaats van het gebruiken van AI.
Het schrijven van goede, doelgerichte prompts, zodat er niet onnodig veel vragen worden gesteld.
Het vermijden van onnodig genereren van afbeeldingen en video's.

De concrete uitwerking hiervan wordt opgenomen in het opleidingsprogramma zoals beschreven in hoofdstuk 8.

2.5 Soevereiniteit en democratische waarden

DE REGIO wil zelf de regie houden over haar eigen gegevens en digitale systemen. Dat noemen we soevereiniteit. Daarnaast is het belangrijk dat AI de democratie ondersteunt en niet verzwakt. Dit betekent:

Bij de keuze voor AI-systemen en leveranciers beoordeelt de organisatie in hoeverre zij de regie behoudt. DE REGIO beperkt waar mogelijk de afhankelijkheid van grote internationale aanbieders en geeft voorkeur aan oplossingen die voldoen aan Europese normen voor gegevensopslag en -verwerking. Gegevens worden opgeslagen binnen de Europese Economische Ruimte (EER). Dit sluit aan bij de kaders van de Nederlandse Digitaliseringsstrategie (NDS).
In contracten en aanbestedingen worden afspraken gemaakt over wat er gebeurt bij het beëindigen van een contract. Daarbij worden de standaard inkoopvoorwaarden (GIBIT) gebruikt. Als een samenwerking stopt, moet de leverancier alle gegevens veilig en in een bruikbaar formaat teruggeven. Hierdoor zorgen we ervoor dat we niet te afhankelijk worden van een leverancier (vendor lock-in) en dat we altijd kunnen overstappen naar alternatieve oplossingen. Voor kritieke processen wordt daarnaast een fallbackscenario vastgelegd: als een AI-systeem uitvalt, moet het werkproces door kunnen gaan.
AI neemt nooit een beslissing voor een bestuurder die democratisch gekozen of aangesteld is. Dat wil zeggen dat besluiten die inwoners raken de verantwoordelijkheid van het college en de raad blijven. AI kan helpen met het verzamelen van informatie, maar een mens controleert dit altijd en neemt altijd de uiteindelijke beslissing.

2.6 Toepassing in de praktijk

Beoordeling van de waarden voorafgaand aan implementatie van een AI-systeem

Waarden hebben alleen betekenis als zij worden toegepast. Om te voorkomen dat de waarden uit dit hoofdstuk abstract blijven, worden zij gekoppeld aan een verplicht beslismoment. Ieder AI-systeem dat via de intakeprocedure wordt ingebracht, moet langs een vaste set vragen voordat het project start. Daarnaast wordt een ethische dialoogtafel ingericht om het gesprek te voeren over de genoemde waarden uit dit beleid. Zo wordt geborgd dat deze waarden al in de eerste fase worden meegewogen.

Als tijdens de ethische dialoogtafel blijkt dat de beoogde AI-inzet in strijd is met deze waarden, kan de beslissing worden genomen om de inzet niet door te zetten, ook al zou de AI technisch en financieel haalbaar zijn. Deze beslissing wordt, volgens het governancemodel, genomen door de proceseigenaar. De ethische dialoogtafel is daarbij adviserend.

Tegenstrijdige waarden

Bij de inzet van AI kunnen waarden met elkaar botsen. Efficiëntie kan op gespannen voet staan met zorgvuldigheid, transparantie met veiligheid, duurzaamheid met kwaliteit. Bij elk nieuw AI-systeem beschrijven we welke waarden met elkaar in conflict zijn. Dit zorgt ervoor dat niemand deze spanningen over het hoofd ziet en iedereen ervan op de hoogte is. Daarbij wordt gemotiveerd welke afweging is gemaakt en waarom. Deze motivering wordt onderdeel van de besluitvorming en wordt vastgelegd, zodat de organisatie ervan kan leren.

Periodieke waardentoetsing

Na implementatie monitoren we AI-systemen en voeren we periodiek, minimaal jaarlijks, een evaluatie uit. Daarin beoordelen we of de toepassing nog steeds aansluit bij de waarden uit dit beleid. Dit wordt verder uitgewerkt in het governancemodel.

3. Juridische kaders

Dit hoofdstuk beschrijft de juridische kaders die van toepassing zijn op het gebruik van AI binnen DE REGIO. Het uitgangspunt is helder: AI wordt altijd ingezet in overeenstemming met de geldende wet- en regelgeving. Dit hoofdstuk is daarom bewust compact gehouden. Het doel is niet om elke wet uitputtend te beschrijven, maar om de belangrijkste kaders te benoemen.

In dit hoofdstuk wordt beschreven:

Welke wetten van toepassing zijn (3.1)
Verplichtingen uit de AI Act (3.2)

3.1 Welke wetten zijn van toepassing?

De volgende wet- en regelgeving is relevant voor het AI-beleid van DE REGIO:

de AI Act (Europese AI-verordening)
de Algemene verordening gegevensbescherming (AVG)
de NIS2-richtlijn (cybersecurity); daarbij geldt het informatiebeveiligingsbeleid van de regio
de Algemene wet bestuursrecht (Awb)
de Archiefwet
de Wet open overheid
de regels rondom auteursrecht en intellectueel eigendom

We lichten er drie kort toe:

AVG. Hier geldt één hard uitgangspunt: DE REGIO deelt geen persoonsgegevens met niet-geautoriseerde AI-systemen. Er komt een AI-register met geautoriseerde AI-systemen. Het privacybeleid van DE REGIO bevat al een hoofdstuk over de samenloop van persoonsgegevens en AI, waarin de nadere regels zijn uitgewerkt.
Awb. De beginselen van behoorlijk bestuur, zoals zorgvuldigheid, motivering en uitlegbaarheid, zijn onverkort van toepassing wanneer AI wordt ingezet bij besluitvorming die inwoners raakt.
Auteursrecht. Bij de output van AI-systemen kan sprake zijn van schending van auteursrechten. Auteursrecht is een onderdeel van intellectueel eigendom en beschermt het werk van makers van teksten, afbeeldingen en andere content. Feitelijk mag je dit werk niet zonder toestemming van de maker gebruiken. DE REGIO hanteert een duidelijk uitgangspunt: medewerkers die AI gebruiken om content te genereren, controleren of de output geen inbreuk maakt op auteursrechten. Dit betekent in de praktijk dat medewerkers de bronnen van AI-gegenereerde content verifiëren en de output in eigen woorden herformuleren, zodat het resultaat een eigen creatieve bijdrage is. De praktische uitwerking en tips zijn opgenomen in de handreiking AI.

3.2 Verplichtingen AI Act

De AI Act is de Europese verordening die het juridisch kader vormt voor de ontwikkeling, het op de markt brengen en het gebruik van AI-systemen binnen de Europese Unie. Daarom lichten we deze in een aparte paragraaf verder toe.

De kern van de verordening is een risicogebaseerde benadering: hoe groter het risico van een AI-systeem voor fundamentele rechten, veiligheid of maatschappelijke belangen, hoe zwaarder de wettelijke verplichtingen.

De AI Act onderscheidt vier risicocategorieën:

Categorie	Wat het betekent
Onaanvaardbaar risico (verboden AI-praktijken)	AI-systemen die een onaanvaardbaar risico vormen voor fundamentele rechten of veiligheid zijn verboden. Denk aan social scoring door de overheid of het inzetten van manipulatieve technieken die het gedrag van mensen wezenlijk verstoren.
Hoog risico	Toegestaan, maar onderworpen aan strikte eisen. Het betreft onder meer de inzet van AI bij het evalueren van sollicitaties of het bepalen of iemand in aanmerking komt voor essentiële publieke diensten, zoals een uitkering. Bij de inzet van hoog-risico-AI-systemen komen veel verplichtingen kijken. De verplichtingen voor DE REGIO bij hoog-risico-AI worden uitgewerkt in een apart onderliggend document, niet in dit beleid.
Beperkt risico (transparantieverplichtingen)	Hiervoor gelden met name transparantieverplichtingen. Gebruikers moeten worden geïnformeerd dat zij met een AI-systeem communiceren (bijvoorbeeld met een chatbot) en AI-gegenereerde content moet als zodanig herkenbaar zijn.
Minimaal risico	AI-systemen die niet in een van de bovenstaande categorieën vallen, worden niet gereguleerd vanuit de AI Act. Denk aan het gebruik van AI als spamfilter.

AI-geletterdheid

Een belangrijke verplichting uit de AI Act is het bevorderen van AI-geletterdheid. Dit houdt in dat alle medewerkers die in DE REGIO werken met AI voldoende kennis en inzicht moeten hebben om verantwoord gebruik te kunnen maken van deze technologie. DE REGIO definieert wat AI-geletterdheid concreet inhoudt voor de eigen organisatie. De nadere invulling hiervan staat in hoofdstuk 8.

4. Governance, rollen en organisatorische inrichting

Dit hoofdstuk beschrijft hoe DE REGIO de verantwoordelijkheden voor AI belegt in de organisatie. Het doel is helder: op elk niveau, van medewerker tot bestuurder, moet duidelijk zijn wie waarvoor verantwoordelijk is, waar je met welke vraag terecht kunt en hoe besluiten over AI worden genomen.

De governance sluit aan op het VNG AI-governancekader voor gemeenten en bouwt voort op bestaande structuren binnen DE REGIO, zoals het mandaatregister, de dienstverleningsovereenkomsten tussen VOORBEELDGEMEENTE en de deelnemende gemeenten, het portfolioproces en de ICT-procesorganisatie. Het uitgangspunt is: we sluiten zoveel mogelijk aan bij bestaande processen en voegen alleen toe wat specifiek voor de inzet van AI nodig is. DE REGIO werkt dit nog uit naar een governancemodel. Dit kader is van toepassing op de inkoop van AI-systemen, maar ook op de ontwikkeling en het gebruik van eigen AI-systemen.

In dit hoofdstuk komen de volgende onderwerpen aan bod:

Governancestructuur (4.1)
Rollen en verantwoordelijkheden (4.2)
Toezicht en verantwoording (4.3)

4.1 Governancestructuur

De governance voor AI is geen apart besturingsmodel, maar een samenspel van bestaande disciplines en rollen. AI-behoeften worden ingebracht via het bestaande portfolioproces, waarin de informatiemanager samen met betrokken disciplines beoordeelt of en hoe een AI-systeem wordt opgepakt.
Sommige rollen die voortkomen uit het VNG-governancekader zijn nieuw voor de organisatie, zoals de AI-compliance officer en de ethisch adviseur. Het uitgangspunt is dat zoveel mogelijk wordt ingericht in lijn met werkzaamheden van bestaande functionarissen. De implementatie van deze rollen en het governancemodel wordt verder uitgewerkt in een plan van aanpak.
In DE REGIO is een intern AI-kennisnetwerk opgericht. Het doel van het AI-kennisnetwerk is kennisdeling en het actief mee kunnen denken over AI. Iedereen kan zich voor dit netwerk aanmelden. Ook is er een AI-kernteam. Het AI-kernteam speelt een grote rol bij het bepalen van de AI-strategie en de stappen die de organisatie zet. Het organiseert periodieke bijeenkomsten en betrekt het AI-kennisnetwerk voor input bij de stappen die de organisatie moet zetten. Het AI-kernteam heeft een tijdelijk karakter en zal op termijn overgaan in de lijn. Het AI-kennisnetwerk heeft een permanent karakter. Meer informatie over het AI-kennisnetwerk is te vinden op het interne portaal.
De governance is van toepassing op de gehele regio. De deelnemende gemeenten hebben eigen bestuursorganen en mogelijk een afwijkende governance-inrichting, omdat namen van bepaalde rollen kunnen afwijken. Dit wordt verder uitgewerkt in het hiervoor genoemde plan van aanpak.
DE REGIO wil niet afhankelijk zijn van externe kennis. Daarom is het doel om kennis en expertise te bundelen binnen DE REGIO. Hoe dit vorm wordt gegeven en welke expertises hiervoor nodig zijn, wordt verder uitgewerkt in het plan van aanpak.
Om de waarden uit hoofdstuk 2 te borgen gaat DE REGIO werken met een ethische dialoogtafel. De invulling hiervan wordt verder uitgewerkt in het plan van aanpak.

4.2 Rollen en verantwoordelijkheden

De verantwoordelijkheden in de levenscyclus van een AI-systeem zijn expliciet belegd. De rolverdeling is gebaseerd op het VNG AI-governancekader, waarin op dit moment 30 rollen zijn beschreven. In aanvulling daarop heeft DE REGIO een AI-kennisnetwerk. Dit is vooral bedoeld als plek om kennis uit te wisselen. In bijlage 1 is een totaaloverzicht van alle rollen opgenomen. Hieronder worden de voor de eigen context meest relevante en nieuwe rollen beschreven:

Het college van burgemeester en wethouders is bestuurlijk eindverantwoordelijk voor de verantwoorde inzet van AI. Iedere wethouder is binnen het eigen taakgebied verantwoordelijk voor AI-systemen die daar worden ingezet.
De gemeentesecretaris is ambtelijk eindverantwoordelijk en kan zich laten adviseren door directeuren.
De proceseigenaar (directeur of afdelingsmanager) is de opdrachtgever binnen het werkproces. De proceseigenaar is verantwoordelijk voor het besluit om AI in te zetten en voor de impact van de uitkomsten.
De CIO is verantwoordelijk voor de inrichting en het onderhoud van de governancestructuur. Wanneer wetgeving, technologische ontwikkelingen of praktijkervaring daarom vragen, kan de CIO in overleg met het directieteam het model aanpassen.
De AI-compliance officer ziet toe op de naleving van de AI Act en aanverwante wet- en regelgeving. Deze rol is nieuw en wordt belegd bij een bestaande of nieuwe functionaris. De AI-compliance officer fungeert als schakel tussen verschillende afdelingen om integratie en samenwerking te bevorderen en zorgt ervoor dat AI-projecten aansluiten bij gemeentelijke doelen. Deze rol omvat het ontwikkelen en bewaken van beleid rondom het verantwoord gebruik van AI en algoritmen, inclusief ethische overwegingen, transparantie, en naleving van wet- en regelgeving.
De ethisch adviseur adviseert over morele en maatschappelijke gevolgen van AI-systemen. De ethisch adviseur sluit aan bij de ethische dialoogtafel en adviseert een proceseigenaar over ethische vraagstukken.
De medewerker behoudt altijd de professionele autonomie. Is verplicht AI-uitkomsten kritisch te beoordelen en houdt zich aan de regels uit dit beleid en de handreiking AI. In hoofdstuk 6 wordt verder uitgewerkt wat wel en niet is toegestaan bij het gebruik van AI.

Bij hoog-risicotoepassingen of toepassingen met een impact die het werkproces van de proceseigenaar overstijgt, komt de besluitvorming op een hoger niveau te liggen. De proceseigenaar beslist binnen het eigen mandaat; bij domeinoverstijgende risico's beslist de gemeentesecretaris in overleg met het directieteam. Bij organisatieoverstijgende vraagstukken beslist het gemeentesecretarissenoverleg.

4.3 Toezicht en verantwoording

Toezicht op AI is nodig om te waarborgen dat de inzet van AI binnen de gestelde kaders blijft. Daarbij hanteert DE REGIO het Three Lines Model. Dit is een systeem met drie lagen die elkaar controleren, zodat een organisatie goed bestuurd wordt en risico's worden voorkomen. Intern vervullen de Functionaris Gegevensbescherming (FG) en de Chief Information Security Officer (CISO) een toezichthoudende rol bij AI-systemen. Extern houdt de Autoriteit Persoonsgegevens toezicht op het naleven van de AI Act.

Elk AI-systeem dat besluitvorming met rechtsgevolgen ondersteunt of impact heeft op onze inwoners, wordt vóór ingebruikname geregistreerd in het landelijke Algoritmeregister. De proceseigenaar is verantwoordelijk voor de inhoudelijke juistheid van de gepubliceerde informatie; de AI-compliance officer en de eventuele leverancier ondersteunen bij de technische aanlevering van informatie. Daarnaast houdt de regio intern een AI-register bij van alle AI-systemen, breder dan het verplichte Algoritmeregister, inclusief de bijbehorende risicobeoordelingen en beheersmaatregelen. Hoe dit AI-register er precies uit komt te zien, wordt verder uitgewerkt in het plan van aanpak.

Het college informeert de gemeenteraden in DE REGIO jaarlijks, via de reguliere rapportagecyclus, over de inzet van AI, opgetreden incidenten en de maatschappelijke impact. Hiermee wordt de democratische controle op AI-gebruik geborgd.

Uitkomsten van audits en incidenten worden omgezet in leerpunten die worden verwerkt in aanpassingen van dit beleid en in het opleidingsprogramma (hoofdstuk 8). Zo functioneert het toezicht niet alleen als controlemechanisme, maar ook als leermiddel.

5. Veiligheid, risicobeheersing en incidentmanagement

AI introduceert risico's die anders zijn dan klassieke ICT-dreigingen. Waar traditionele informatiebeveiliging zich richt op de vertrouwelijkheid, integriteit en beschikbaarheid van data en systemen, voegt AI daar een laag aan toe: het gedrag van het systeem zelf is niet altijd voorspelbaar of verklaarbaar. Dit hoofdstuk beschrijft hoe DE REGIO deze risico's herkent, beoordeelt, beheerst en, waar nodig, optreedt bij incidenten.

In dit hoofdstuk komen de volgende onderwerpen aan bod:

AI-specifieke risico's (5.1)
Risicobeoordelingen (5.2)
Monitoring en beheer gedurende de levenscyclus (5.3)
Incidentmanagement (5.4)
Exit-strategie (5.5)

5.1 AI-specifieke risico's

DE REGIO onderkent dat AI specifieke risico's met zich meebrengt. Belangrijke aandachtspunten zijn onder meer de volgende categorieën:

Betrouwbaarheid van uitkomsten. AI-systemen kunnen resultaten genereren die overtuigend lijken, maar feitelijk onjuist, onvolledig of contextloos zijn. Dit vergroot het risico dat medewerkers te veel op de technologie vertrouwen en onvoldoende verantwoordelijkheid nemen voor het uiteindelijke besluit.
Discriminatie en bias. AI-systemen kunnen bestaande vooroordelen in data versterken, met als gevolg ongelijke behandeling van inwoners.
Privacy en datalekken. AI verwerkt vaak grote hoeveelheden persoonsgegevens. Medewerkers kunnen bewust of onbewust vertrouwelijke informatie invoeren in externe systemen. Onzorgvuldig databeheer kan de privacy van inwoners schaden. Ook bestaat het risico op prompt injection: een aanval waarbij iemand verborgen instructies in een bericht verstopt om een AI-systeem te misleiden en iets anders te laten doen dan bedoeld.
Juridische en compliancerisico's. Onzorgvuldig gebruik van AI kan in strijd zijn met privacywetgeving, auteursrecht en regels rondom discriminatie, zoals de Grondwet en de Algemene wet gelijke behandeling.
Organisatorische impact. Werkprocessen veranderen, functies verschuiven en nieuwe vaardigheden worden vereist. Zonder aandacht hiervoor kan vakkennis verloren gaan.

DE REGIO herkent en classificeert risico's via een verplichte risicobeoordeling voorafgaand aan de inzet van elk AI-systeem. De uitkomsten worden vastgelegd in het AI-register.

5.2 Risicobeoordelingen

De proceseigenaar zorgt ervoor dat er een risicobeoordeling wordt uitgevoerd voordat een AI-systeem wordt ontwikkeld, aangeschaft of ingezet. Het type beoordeling hangt af van de aard van het systeem, de gebruikte gegevens en de mogelijke impact. Naast de wettelijke verplichtingen toetst de organisatie altijd de waarden, zoals beschreven in hoofdstuk 2, en de rechtmatigheid. De rollen en verantwoordelijken sluiten hierbij aan bij het governancemodel uit hoofdstuk 4.

Een risicobeoordeling is wettelijk verplicht wanneer een AI-systeem valt onder de categorie hoog risico volgens de AI Act, of wanneer er een mogelijk hoog privacyrisico is volgens de AVG. In het eerste geval wordt het systeem getoetst aan de eisen van de AI Act door middel van het Impact Assessment Mensenrechten en Algoritmen (IAMA). In het tweede geval voert DE REGIO een Data Protection Impact Assessment (DPIA) uit.

In een vroeg stadium van de aanschaf van een AI-systeem gebruikt de organisatie een korte intake (AI-quickscan) om te bepalen of een uitgebreidere beoordeling nodig is. Daarin wordt ook een risicoclassificatie van het AI-systeem gemaakt om te beoordelen in welke categorie uit de AI Act de toepassing valt.

5.3 Monitoring en beheer gedurende de levenscyclus

Een risicobeoordeling is niet eenmalig. Na ingebruikname monitort de proceseigenaar, met ondersteuning van de AI-compliance officer, periodiek (uitgangspunt minimaal jaarlijks) het AI-systeem. Daarbij wordt onder andere gekeken naar eventuele veranderingen in het gebruik van AI, wat de meerwaarde van AI was, of er fouten in de output zijn geweest en of er verbeteringen moeten worden doorgevoerd. DE REGIO monitort daarnaast ook het gebruik van generatieve AI in de organisatie.

Bij inkoop van AI-systemen worden contractueel afspraken gemaakt over monitoring en het omgaan met nieuwe versies. De leverancier informeert DE REGIO als er een nieuw model wordt gebruikt. Dit wordt standaard afgesproken in de Service Level Agreement (SLA). Bij nieuwe versies, ook bij eigen ontwikkeling, informeert de proceseigenaar de AI-compliance officer. De AI-compliance officer beoordeelt of er een nieuwe risicoclassificatie of risicobeoordeling moet worden uitgevoerd. Als er dusdanig grote onaanvaardbare risico's ontstaan, gelden de bepalingen uit paragraaf 5.5 (exit-strategie).

Het beheer sluit aan op de bestaande ITIL-procesorganisatie. In het plan van aanpak wordt aandacht besteed aan het implementeren van inbeheername van AI-systemen in de bestaande processen.

5.4 Incidentmanagement

Een AI-incident is iedere verstoring of afwijking waarbij een AI-systeem onjuiste, discriminerende of onrechtmatige uitkomsten produceert, gegevens onjuist verwerkt of de informatiebeveiliging of privacy in gevaar brengt. Medewerkers melden AI-incidenten via een apart meldpunt in de servicedesk. De AI-compliance officer behandelt deze incidenten. Wanneer een AI-incident ook een datalek betreft, geldt aanvullend de bestaande datalekprocedure. DE REGIO evalueert AI-incidenten periodiek: oorzaken worden geanalyseerd, beheersmaatregelen worden aangepast en leerpunten worden verwerkt.

De stappen die worden genomen, worden verder uitgewerkt in een incidentproces. Dit proces sluit zoveel mogelijk aan bij de staande processen rondom beveiligingsincidenten en datalekken.

5.5 Exit-strategie

De eigenaar van een AI-systeem kan het systeem beëindigen wanneer de publieke meerwaarde ontbreekt of wanneer risico's niet langer aanvaardbaar zijn. Dit kan zowel de functioneel eigenaar van een applicatie zijn waarin AI wordt gebruikt, als de verantwoordelijke ICT-dienst. Daarbij wordt aangesloten bij het beleid gedeelde verantwoordelijkheid applicaties.

Bij beëindiging voert DE REGIO een uitfasering uit. De organisatie stopt het gebruik van het model, beëindigt datastromen en contracten, en archiveert of verwijdert gegevens volgens geldende wet- en regelgeving (AVG en Archiefwet). Contracten met leveranciers bevatten afspraken over de overdracht van gegevens: bij beëindiging draagt de leverancier alle gegevens volledig, veilig en in een bruikbaar formaat over aan DE REGIO. Dit is een standaardonderdeel van de GIBIT-voorwaarden.

DE REGIO evalueert beëindigingen. Bevindingen worden schriftelijk vastgelegd en verbetermaatregelen worden doorgevoerd, zodat de organisatie blijvend leert van de inzet van AI.

6. Gebruik van AI binnen de organisatie

Dit hoofdstuk beschrijft de kaders voor het dagelijkse gebruik van AI door medewerkers, bestuurders en leveranciers. De uitgangspunten zijn helder: iedereen mag AI gebruiken, mits dat gebeurt binnen de kaders van dit beleid en de handreiking AI. Het doel is om innovatie te stimuleren door voldoende veilige en bruikbare alternatieven te bieden, zodat ongeautoriseerd gebruik wordt voorkomen. Tegelijkertijd zorgen we ervoor dat medewerkers zich niet hoeven bezig te houden met complexe risicoafwegingen: zij mogen erop vertrouwen dat de beschikbaar gestelde tools de belangrijkste risico's ondervangen.

In dit hoofdstuk komen de volgende onderwerpen aan bod:

Voorwaarden voor gebruik (6.1)
Verboden en ongewenst gebruik (6.2)
Datakwaliteit, persoonsgegevens en inputnormen (6.3)
Tools en platformen (6.4)
Toepassingsgebieden en innovatie (6.5)

6.1 Voorwaarden voor gebruik

Het gebruik van AI binnen DE REGIO is in principe toegestaan voor alle medewerkers en bestuurders, mits dit plaatsvindt binnen de vastgestelde kaders. De professionele verantwoordelijkheid blijft altijd bij de mens; AI neemt die nooit over. Collega's blijven zelf de expert, of zorgen dat collega's met expertise meekijken. De regio gaat in gesprek met leveranciers om medewerkers ook in staat te stellen om zelf de expert te blijven. Dat wil zeggen dat het mogelijk moet zijn om uitkomsten te controleren en de genomen stappen van AI te volgen. Het gebruik van AI moet in overeenstemming zijn met de waarden die zijn geformuleerd in hoofdstuk 2.

Bij het gebruik van AI maken we onderscheid tussen twee vormen. Enerzijds is er generieke AI: brede tools zoals een AI-assistent voor tekst, samenvatting of vertaling. Hiervoor gelden strengere eisen, bijvoorbeeld dat er nooit persoonsgegevens en vertrouwelijke informatie worden gedeeld. Anderzijds is er taakspecifieke AI die is geïntegreerd in applicaties, zoals samenvattingen in een zaaksysteem. Deze AI-systemen moeten altijd worden beoordeeld volgens het vaste governanceproces zoals beschreven in hoofdstuk 4. Als alles in orde is, zijn dit geautoriseerde AI-systemen.

DE REGIO hanteert de volgende voorwaarden:

Ambtelijke organisatie en bestuur. Alle medewerkers en bestuurders mogen AI gebruiken als zij werken volgens dit beleid. Daarbij geldt dat ze AI-geletterd moeten zijn zoals beschreven in hoofdstuk 8.
Inwoners en organisaties. In hun interactie met DE REGIO worden zij uitsluitend ondersteund door geautoriseerde platformen die door de regio beschikbaar zijn gesteld.
Leveranciers. Leveranciers die AI inzetten in diensten aan DE REGIO moeten kunnen uitleggen welk model zij gebruiken, hoe het is getraind en waarvoor het wordt ingezet. Ook worden contractuele afspraken gemaakt zoals beschreven in hoofdstuk 5. De verwerking van persoonsgegevens verloopt via de reguliere verwerkersovereenkomsten. Leveranciers houden zich aan de uitgangspunten uit dit AI-beleid en nemen bijvoorbeeld geen geautomatiseerde besluiten met AI.

Voor de gebruiker moet duidelijk zijn wanneer AI wordt ingezet binnen een applicatie en op basis waarvan een uitkomst tot stand is gekomen. Het AI-register is voor medewerkers toegankelijk, zodat zij altijd kunnen zien welke AI-tools beschikbaar en geautoriseerd zijn.

6.2 Verboden en ongewenst gebruik

Naast de expliciete verboden uit de AI Act hanteert DE REGIO een aantal eigen gebruiksregels. Het doel is niet om medewerkers te bestraffen, maar om duidelijke grenzen te stellen en tegelijkertijd veilige alternatieven te bieden.

De volgende handelingen zijn niet toegestaan:

Het gebruiken van vertrouwelijke informatie of persoonsgegevens buiten de geautoriseerde AI-platformen.
Het laten nemen van besluiten die directe impact hebben op de rechten of plichten van inwoners zonder wezenlijke menselijke tussenkomst. Bij iedere AI-ondersteunde beslissing is er altijd een mens die het besluit neemt en daarvoor verantwoordelijk is.
De toepassingen die op grond van de AI Act als verboden zijn aangemerkt (zie hoofdstuk 3).

DE REGIO streeft naar het beschikbaar stellen van voldoende geautoriseerde alternatieven. Dat is de belangrijkste maatregel tegen ongeautoriseerd gebruik. Wanneer een medewerker een niet-geautoriseerde tool blijkt te gebruiken, is de insteek corrigerend: de medewerker wordt gewezen op de beschikbare geautoriseerde alternatieven. De basishouding van DE REGIO is er een van vertrouwen in medewerkers, gecombineerd met een transparant klimaat waarin het vanzelfsprekend is om de geautoriseerde tools te gebruiken.

6.3 Datakwaliteit, persoonsgegevens en inputnormen

Wat medewerkers in een AI-systeem invoeren is bepalend voor de veiligheid en de kwaliteit van de uitkomsten. De kwaliteit van AI-output is direct afhankelijk van de kwaliteit van de inputdata. DE REGIO hanteert hiervoor de volgende uitgangspunten:

De datakwaliteit wordt bij de bron gecontroleerd, niet pas bij de output van het AI-model. Bij AI-systemen die structureel gevoed worden met organisatiedata is de data-eigenaar verantwoordelijk voor de kwaliteit van de aangeleverde gegevens. Bij fouten in de output als gevolg van onjuiste inputdata is de proceseigenaar verantwoordelijk voor de afweging of het risico acceptabel is.
Het is belangrijk om per AI-systeem een beeld te hebben van de invloed die datakwaliteit heeft op het resultaat. Bij een generieke AI-assistent die een intern document samenvat is de impact van een typefout beperkt; bij een AI-systeem dat structureel besluiten ondersteunt op basis van inwonerdossiers kan onvolledige data ernstige gevolgen hebben. De mate van controle op datakwaliteit hangt daarmee samen met de risicoclassificatie en wordt meegenomen in de risicobeoordeling uit hoofdstuk 5.
Voor de invoer van gegevens in AI-systemen geldt een onderscheid naar het type platform. Bij publieke AI-diensten (vrij toegankelijke tools op het internet) mogen uitsluitend openbare, niet-persoonsgebonden gegevens worden ingevoerd. Bij private AI-diensten (afgeschermde omgevingen specifiek voor DE REGIO) en lokale AI-systemen kunnen onder voorwaarden ook gevoelige persoonsgegevens worden verwerkt. Per AI-systeem wordt vastgelegd welke gegevens wel en niet mogen worden ingevoerd. Dit wordt opgenomen in het AI-register.

6.4 Tools en platformen

Zonder strak beheer groeit het aantal AI-tools in de organisatie ongemerkt. DE REGIO hanteert een drielagenmodel om overzicht te houden en tegelijkertijd ruimte te bieden voor innovatie:

Laag	Wat is toegestaan
Verboden (blacklist)	AI-diensten waarvan vaststaat dat zij niet voldoen aan de minimale eisen op het gebied van privacy, beveiliging of betrouwbaarheid. Het gebruik hiervan is niet toegestaan.
Ongeautoriseerd, niet verboden	AI-diensten die niet op de blacklist staan maar ook nog niet formeel zijn goedgekeurd. Medewerkers mogen hiermee beperkt experimenteren, mits zij zich houden aan de regels uit dit beleid en de handreiking AI. Er mogen geen persoonsgegevens of vertrouwelijke gegevens worden ingevoerd.
Geautoriseerd en geclassificeerd	AI-diensten die het autorisatieproces hebben doorlopen. Per tool is vastgelegd welke gegevens mogen worden ingevoerd (classificatie).

DE REGIO kiest bewust niet voor één enkele geautoriseerde AI. Mede vanuit het oogpunt van digitale soevereiniteit bieden we meerdere geautoriseerde alternatieven aan, zodat de meest voorkomende gebruiksscenario's goed worden ondersteund. Er wordt een keuzehulp beschikbaar gesteld waarmee medewerkers worden geadviseerd welke tool het beste past bij hun vraag.

Tools en applicaties van derden worden uitsluitend geautoriseerd als zij voldoen aan de aanvullende inkoopvoorwaarden voor AI-systemen. Deze voorwaarden worden opgesteld als addendum op het bestaande inkoopbeleid en de GIBIT-voorwaarden, en bevatten eisen over transparantie van het model, de verwerking van gegevens en de exit-strategie. Inkoop en contractmanagement hebben hierin een vroege en actieve rol. Niet alleen bij de aanschaf, maar ook wanneer een leverancier gedurende de contractperiode AI aan een bestaand product toevoegt.

6.5 Toepassingsgebieden en innovatie

Met uitzondering van de verboden praktijken uit paragraaf 6.2 sluit DE REGIO geen domeinen of werkgebieden op voorhand uit voor de inzet van AI. Of AI passend is, hangt niet af van het domein, maar van de risicoclassificatie van de specifieke toepassing, de gegevens die worden verwerkt en de mate van menselijke controle die geborgd is. De risicobeheersing uit hoofdstuk 5 is hiervoor leidend.

In aansluiting op de waarde mensgerichtheid en menselijke autonomie uit hoofdstuk 2 geldt dat het al dan niet inzetten van AI nooit alleen een bedrijfseconomische afweging is. De organisatie weegt altijd ook sociale factoren mee, waaronder goed werkgeverschap. In het bijzonder geldt dit voor werkzaamheden die zijn toegewezen aan medewerkers met een afstand tot de arbeidsmarkt. DE REGIO ontwikkelt samen met de ondernemingsraden een afwegingskader voor de inzet van AI in relatie tot werkgelegenheidseffecten.

Innovatie met AI wordt actief gestimuleerd. Daarom komt er een duidelijk proces van idee tot implementatie. Dit wordt uitgewerkt in het lokale governancemodel zoals beschreven in hoofdstuk 4. Het uitgangspunt bij innovatie is dat AI geen doel op zich is, maar een middel om een concreet vraagstuk op te lossen. De organisatie gaat niet op zoek naar een toepassing voor een technologie, maar bekijkt bij een werkproces of AI waarde kan toevoegen.

7. Transparantie en uitlegbaarheid

DE REGIO wil open en eerlijk zijn over het gebruik van AI, zowel richting inwoners als binnen de eigen organisatie. Transparantie en uitlegbaarheid zijn voorwaarden voor vertrouwen: inwoners moeten kunnen begrijpen wanneer en hoe AI een rol speelt in hun contact met DE REGIO, en medewerkers moeten de uitkomsten van AI-systemen kunnen verifiëren en verantwoorden.

In dit hoofdstuk komen de volgende onderwerpen aan bod:

Transparantie richting inwoners en externen (7.1)
Interne transparantie en leercultuur (7.2)
Uitlegbaarheid van AI-systemen (7.3)
Documentatie en algoritmeregister (7.4)

7.1 Transparantie richting inwoners en externen

DE REGIO is transparant over het gebruik van AI in haar dienstverlening. Niet elk AI-gebruik vraagt echter om actieve communicatie. DE REGIO hanteert de volgende uitgangspunten:

Wanneer een inwoner direct contact heeft met een AI-systeem, zoals een chatbot, is transparantie wettelijk verplicht. De AI Act schrijft voor dat personen altijd worden geïnformeerd wanneer zij communiceren met een AI-systeem in plaats van een mens. Hetzelfde geldt voor hoog-risico-AI-systemen: DE REGIO informeert betrokkenen dat AI is ingezet en hoe het systeem heeft bijgedragen aan de uitkomst.
Als medewerkers AI als ondersteuning gebruiken in hun werk, hoeven ze dit niet elke keer te benoemen in een brief of opgesteld document. Medewerkers blijven namelijk zelf de expert en zijn verantwoordelijk voor het laten controleren van de uitkomsten van AI. Ook zetten medewerkers teksten om in hun eigen woorden, zodat er geen auteursrechten worden geschonden. Wél informeert DE REGIO actief hoe gebruik wordt gemaakt van AI en hoe dit verantwoord wordt gedaan, bijvoorbeeld via de website.

7.2 Interne transparantie en leercultuur

Transparantie begint binnen de eigen organisatie. DE REGIO stimuleert een open cultuur waarin medewerkers ervaringen met AI actief delen, zowel successen als fouten. Het doel is niet om fouten te bestraffen, maar om ervan te leren en de organisatie als geheel slimmer te maken in het gebruik van AI.

Het AI-kennisnetwerk speelt hierin een centrale rol. Via dit netwerk worden ervaringen, best practices en aandachtspunten gedeeld tussen teams en clusters. Medewerkers worden aangemoedigd om nieuwe toepassingen te melden en om open te zijn over situaties waarin AI niet het gewenste resultaat opleverde. Deze kennis wordt gebundeld en beschikbaar gesteld via het interne portaal.

Daarnaast wordt gewerkt met een communicatieplan voor de interne uitrol van AI-beleid en AI-tools. Dit plan zorgt ervoor dat medewerkers tijdig en volledig worden geïnformeerd over nieuwe mogelijkheden, gewijzigde kaders en beschikbare ondersteuning.

7.3 Uitlegbaarheid van AI-systemen

AI-systemen die worden ingezet bij besluitondersteuning moeten in staat zijn om hun redenering inzichtelijk te maken. DE REGIO accepteert geen volledige black box bij toepassingen die direct van invloed zijn op besluiten over inwoners. Black box betekent dat niet duidelijk is hoe de uitkomst tot stand is gekomen. De algemene beginselen van behoorlijk bestuur vereisen dat besluiten gemotiveerd en navolgbaar zijn; dit geldt ook wanneer AI ondersteunend is geweest bij de totstandkoming ervan.

De eis van uitlegbaarheid stelt concrete eisen aan de systemen die DE REGIO inzet. Systemen moeten de mogelijkheid bieden om de redenering achter een advies of uitkomst te tonen. De medewerker moet altijd kunnen controleren of de informatie klopt. Wanneer dit niet mogelijk is, wordt de uitkomst door de medewerker niet gebruikt als basis voor een besluit. Een medewerker kan hierover altijd advies inwinnen bij de AI-compliance officer. Uitlegbaarheid is dan ook een vast onderdeel van de toetsing bij de aanschaf of inzet van een nieuw AI-systeem.

Voor grote generieke taalmodellen geldt een genuanceerder beeld. Deze modellen zijn inherent minder transparant in hun werking en kunnen hallucineren. DE REGIO accepteert een beperkte mate van black box bij het ondersteunend gebruik van taalmodellen, mits de medewerker de output altijd controleert en bronnen verifieert. Is dit niet mogelijk, dan wordt de informatie niet gebruikt.

Bij ieder besluit waarin AI ondersteunend is geweest, moet voor de inwoner een duidelijke en laagdrempelige manier bestaan om in contact te komen met een medewerker. DE REGIO beschouwt deze feedback als onderdeel van haar leersysteem: signalen van inwoners helpen om AI-systemen te verbeteren en mogelijke fouten te identificeren.

7.4 Documentatie en algoritmeregister

DE REGIO registreert haar AI-systemen op twee niveaus. Impactvolle algoritmes en wettelijk verplichte hoog-risico-AI-systemen worden gepubliceerd in het landelijk Algoritmeregister. Een impactvol algoritme is een algoritme dat wordt ingezet in een proces met gevolgen voor mensen, waarbij het algoritme een grote invloed heeft op de uitkomst van het proces. DE REGIO sluit hierbij aan bij de Handreiking algoritmeregister van het Ministerie van Binnenlandse Zaken. Dit register is publiek toegankelijk en biedt inwoners inzicht in welke AI DE REGIO inzet en waarvoor. Daarnaast houdt DE REGIO een intern AI-register bij van alle AI-systemen.

Bij de introductie van een nieuw AI-systeem geldt als uitgangspunt dat altijd wordt getoetst of een vergelijkbaar initiatief al elders in het land bestaat. DE REGIO sluit bij voorkeur aan bij bestaande initiatieven van andere gemeenten of landelijke samenwerkingsverbanden, om dubbel werk te voorkomen en kennis te delen.

Het beheer van het algoritmeregister is in de huidige fase belegd bij de privacy officers. Bij verdere professionalisering zal dit worden overgedragen, bij voorkeur naar de AI-compliance officer. De verantwoordelijkheid voor de publicatie in het algoritmeregister ligt bij de proceseigenaar van het desbetreffende AI-systeem.

8. AI-geletterdheid, opleiding en adoptie

De AI Act verplicht organisaties om medewerkers AI-geletterd te maken. Voor DE REGIO betekent dit dat iedere medewerker over voldoende kennis en vaardigheden moet beschikken om verantwoord met AI om te gaan. We kiezen hierbij voor een mensgerichte benadering: leren, zowel individueel als collectief, staat centraal.

In dit hoofdstuk komen de volgende onderwerpen aan bod:

Bewustwording (8.1)
Opleiding en AI-geletterdheid (8.2)
Onboarding en nieuwe medewerkers (8.3)
Organisatiecultuur en veranderopgave (8.4)

Waar eerdere hoofdstukken beschrijven wat medewerkers wel en niet mogen en hoe de regio verantwoording aflegt, beschrijft dit hoofdstuk hoe medewerkers worden toegerust om AI daadwerkelijk verantwoord en effectief te kunnen gebruiken.

8.1 Bewustwording

Een belangrijk onderdeel van verantwoorde omgang met AI is bewustzijn. Iedere medewerker moet weten wat AI is, wat het kan en wat de risico's zijn. Zonder die basiskennis kunnen medewerkers het beleid niet naleven. DE REGIO richt AI-bewustwording daarom structureel in als doorlopend onderdeel van de organisatiecultuur, niet als eenmalige campagne.

De bewustwording richt zich op twee pijlers. Enerzijds kennis van de risico's, zoals het onbedoeld delen van privacy- of politiekgevoelige informatie, het feit dat AI fouten kan maken, het risico op schending van auteursrechten en het gevaar van discriminatie of bias. Anderzijds kennis van de kansen, zoals verhoogde productiviteit, tijdwinst bij het verwerken van grote hoeveelheden informatie, verbeterde leesbaarheid van teksten, ondersteuning bij besluitvorming en inspiratie voor procesinnovatie.

DE REGIO differentieert de bewustwordingsaanpak naar doelgroep. Uitvoerende medewerkers leren vooral wat AI voor hun dagelijks werk betekent en welke tools beschikbaar zijn. Leidinggevenden worden toegerust om het gesprek over AI te voeren in werkoverleggen en functioneringsgesprekken, ondersteund door een toolkit. Voor inhoudelijk experts is er de mogelijkheid om verdiepende kennis op te doen.

De effectiviteit van de bewustwordingsaanpak wordt periodiek gemeten als vervolg op de in 2025 uitgevoerde nulmeting. Aan de hand van kwantitatieve en kwalitatieve indicatoren wordt beoordeeld of het kennisniveau voldoende is en waar bijsturing nodig is. Deze meting wordt jaarlijks herhaald. In eerste instantie ligt deze verantwoordelijkheid bij het AI-kernteam, maar zal daarna overgaan naar de eigenaar van het L&O-aanbod en de AI-compliance officer.

8.2 Opleiding en AI-geletterdheid

Het opleidingsaanbod is opgebouwd vanuit drie perspectieven. Het eerste perspectief betreft bestuurders en leidinggevenden: zij moeten voldoende kennis hebben om te sturen op verantwoord AI-gebruik en het gesprek hierover te kunnen voeren met hun teams. Het tweede perspectief betreft medewerkers: zij moeten de vaardigheden bezitten om AI effectief en binnen de kaders van dit beleid en de handreiking AI te gebruiken. Leidinggevenden bewaken dat medewerkers beschikken over het voor hun rol vereiste kennisniveau. Het derde perspectief betreft de inhoudelijk experts: zij moeten voldoende verdiepende kennis hebben om de organisatie te kunnen adviseren en ondersteunen.

Concreet betekent dit dat iedere medewerker, zowel intern als extern, een verplichte basistraining volgt over wat AI is. De medewerkers die met AI gaan werken volgen een training over hoe je er verantwoord mee werkt, bijvoorbeeld voordat ze gaan werken met een applicatie waar AI in zit. Voor inhoudelijk experts komt er de mogelijkheid om verdiepende kennis op te doen. Het leeraanbod wordt beschikbaar gesteld via de interne opleidingsacademie. Daarnaast is er een specifiek aanbod voor leidinggevenden.

De concrete invulling van het opleidingsaanbod is uitgewerkt in een separaat opleidingsplan. Dit plan wordt periodiek getoetst en geactualiseerd op basis van nieuwe ontwikkelingen in wetgeving, technologie en de behoeften van de organisatie.

De HR-afdeling en de ICT-afdeling zijn, in samenwerking met inhoudelijke experts, gezamenlijk verantwoordelijk voor de ontwikkeling en uitvoering van het leeraanbod. De CIO is, zoals beschreven in hoofdstuk 4, in zijn rol als verantwoordelijke voor de digitaliseringsopgave eigenaar van het opleidingsplan.

8.3 Onboarding en nieuwe medewerkers

Nieuwe medewerkers, zowel in vaste dienst als externe inhuur en stagiairs, moeten vanaf dag één weten welke AI-kaders gelden binnen DE REGIO. DE REGIO borgt dat iedere nieuwe medewerker beschikt over basiskennis van AI als onderdeel van het onboardingprogramma.

Het verplichte onderdeel bij indiensttreding omvat de basistraining (wat is AI en hoe werk je er verantwoord mee) en een instructie over het AI-beleid van DE REGIO en de geldende gebruiksregels.

Voor de huidige populatie medewerkers die nog niet is opgeleid, wordt een inhaalactie georganiseerd. Jaarlijks wordt een herhalings- of verdiepingstraining aangeboden om kennis actueel te houden. De HR-afdeling is eigenaar van het onboardingprogramma en zorgt in samenwerking met de ICT-afdeling voor de actualisering van de inhoud van het programma.

8.4 Organisatiecultuur en veranderopgave

Beleid op papier verandert geen gedrag, dat doet cultuur. De inzet van AI binnen de regio vraagt om een lerende organisatie waarin innovatie en zorgvuldigheid hand in hand gaan. DE REGIO stimuleert verantwoord experimenteren binnen het kader van dit beleid, waarbij leren en verantwoording centraal staan. Ervaringen en experimenten worden gedeeld via het AI-kennisnetwerk, zodat de organisatie als geheel leert en verbetert.

Leidinggevenden vervullen een voorbeeldrol in verantwoord AI-gebruik. Zij worden toegerust om AI bespreekbaar te maken in hun teams en om publieke waarden leidend te laten blijven boven technologische mogelijkheden. Zij voeren het gesprek over AI in werkoverleggen en functioneringsgesprekken, ondersteund door de toolkit die hiervoor wordt ontwikkeld.

Het leren wordt gefaciliteerd via het formele opleidingsaanbod, maar ook via werkplekleren en sociaal leren. Medewerkers zijn zelf medeverantwoordelijk voor hun eigen ontwikkeling op het gebied van AI en worden ondersteund met tools zoals de e-learnings (via de interne opleidingsacademie), het promptplatform, het AI-kennisnetwerk en georganiseerde challenges. Leidinggevenden kunnen medewerkers aanspreken als zij een e-learning niet hebben gevolgd. DE REGIO beschouwt het opleiden van medewerkers in AI-bewustzijn niet alleen als een organisatiebelang, maar ook als een maatschappelijke verantwoordelijkheid: medewerkers worden toegerust met kennis en vaardigheden die ook buiten de organisatie van waarde zijn voor hun duurzame inzetbaarheid.

Bijlage 1: Overzicht rollen VNG AI-Governancekader

Overgenomen uit Welke rollen krijgen te maken met AI en algoritmen? van het VNG AI-Governancekader. De raadpleegdatum is bij anonimisering verwijderd.

Rol	Type	Beschrijving
AI-compliance officer	Geraadpleegd	Fungeert als schakel tussen verschillende afdelingen om integratie en samenwerking te bevorderen en zorgt ervoor dat AI-projecten aansluiten bij gemeentelijke doelen. Deze rol omvat het ontwikkelen en bewaken van beleid rondom het verantwoord gebruik van AI en algoritmen, inclusief ethische overwegingen, transparantie, en naleving van wet- en regelgeving. Voert bijvoorbeeld de (pré-)IAMA uit in AI-ontwikkeltrajecten. Het is een onafhankelijke rol, net als de Functionaris Gegevensbescherming, en kan beslissingen aanvechten, risico's escaleren en gebreken signaleren zonder belangenverstrengeling. Bij kleinere organisaties kan de rol gecombineerd worden met die van ethisch adviseur, privacy officer of jurist. Rolcombinaties kunnen leiden tot belangenconflicten en tegenstrijdige adviezen vanuit de verschillende rollen. Het is daarom van belang om per situatie expliciet te maken vanuit welke rol er geadviseerd wordt.
Burgemeester en wethouders	Eindverantwoordelijk	Iedere wethouder heeft een eigen taakgebied, bijvoorbeeld onderwijs of financiën. Als wethouder ben je bestuurlijk verantwoordelijk voor de verantwoorde ontwikkeling en inzet van AI en algoritmen binnen het taakgebied. Het college ontwikkelt richtlijnen of een beleidskader voor AI en algoritmen en draagt hierover verantwoording af aan de gemeenteraad.
Chief Data Officer (CDO)	Geraadpleegd	Verantwoordelijk voor het implementeren van en toezicht houden op databeleid binnen de gemeente. Databeleid is idealiter in samenhang met het AI-beleid van de gemeente, omdat data een belangrijke grondstof is voor AI- en algoritmesystemen. Denk hierbij aan het voldoen aan de vereiste kwaliteit van data, duiding van data (begrippen, definities, datamodellen) en het automatiseren van datastromen van bron naar AI-toepassing. De CDO werkt nauw samen met de AI-compliance officer, CISO, CIO en Functionaris Gegevensbescherming (FG) om te garanderen dat AI-toepassingen verantwoord worden ingezet.
Chief Information Officer (CIO)	Geraadpleegd	Geeft leiding aan diverse adviseurs die samen de CIO-office vormen. Een CIO is een onafhankelijk persoon die zorgt voor het goed functioneren van het digitale informatieproces en de informatievoorziening. De CIO speelt een sleutelrol in het strategisch inzetten van informatie en ICT binnen de overheid en bij het vormgeven van verantwoorde AI-toepassingen. In de context van AI waarborgt de CIO dat technologieën aansluiten bij beleidsdoelen, publieke waarden respecteren en zorgvuldig worden ingebed in de bestaande informatievoorziening. Daarbij stuurt de CIO op samenhang, risicobeheersing en governance, en zorgt voor de juiste randvoorwaarden zodat AI niet als losstaande innovatie, maar als integraal onderdeel van de digitale transformatie wordt ingezet.
Chief Information Security Officer (CISO)	Geraadpleegd	Verantwoordelijk voor het implementeren van en toezicht houden op informatiebeveiligingsbeleid binnen de gemeente, ook voor de beveiliging van AI- en algoritmesystemen. Dit omvat het opstellen en implementeren van beveiligingsprotocollen, het uitvoeren van risicoanalyses, en het waarborgen van de integriteit en vertrouwelijkheid van data. De CISO werkt nauw samen met de AI-compliance officer en de Functionaris Gegevensbescherming (FG) om te garanderen dat AI-toepassingen niet alleen efficiënt, maar ook veilig en privacybewust zijn.
Directie of afdelingshoofd	Eindverantwoordelijk	In de ambtelijke uitvoering is de directie eindverantwoordelijk. De directie of het afdelingshoofd is binnen de gemeente vaak opdrachtgever voor de ontwikkeling of inkoop van AI en algoritmen voor gebruik binnen de processen waar deze persoon verantwoordelijk voor is. Tevens vervult het afdelingshoofd vaak de rol van proceseigenaar. In kleinere organisaties komt het soms voor dat het afdelingshoofd daarnaast ook projectleider is voor een AI-project. Daarbij is het belangrijk om ervoor te zorgen dat deze persoon voorzien wordt van advies vanuit diverse disciplines, om een situatie te voorkomen waarbij één en dezelfde persoon zowel opdrachtgever, verantwoordelijke als uitvoerend of adviserend is.
Ethische commissie	Geraadpleegd	Diverse Nederlandse gemeenten hebben een georganiseerd orgaan voor ethiek rondom data en technologie. Het instellen van een ethische commissie komt voort uit een groeiende urgentie om de kwaliteit van techno-ethische besluitvorming te verbeteren. Een ethische commissie kan bestaan uit externe deskundigen, burgers of experts uit de eigen organisatie of het netwerk. Een hybride vorm is ook mogelijk. Het is belangrijk om in een ethische commissie diversiteit en verschillende perspectieven te vertegenwoordigen. Sommige gemeenten kiezen voor een ethische commissie die advies geeft aan de organisatie in concrete projecten; ook kunnen ethische commissies advies geven aan het gemeentebestuur of de gemeenteraad. Ethische commissies geven vaak gevraagd en ongevraagd advies, geven richting en kunnen dienen als klankbord of als poortwachter.
Functionaris Gegevensbescherming (FG)	Geraadpleegd	Houdt toezicht op naleving van privacywetgeving (AVG, UAVG, Wpg) van de AI- en algoritmetoepassingen. De FG adviseert over (de noodzaak van) risicoanalyses, zoals Data Protection Impact Assessments (DPIA's), en over privacyaspecten bij AI-gebruik, en geeft advies naar aanleiding van uitgevoerde DPIA's of enige andere gegevensbeschermingsgerelateerde risicoanalyse (zoals risicoanalyses ten aanzien van de toepassing van algoritmen of geautomatiseerde besluitvorming). Daarnaast rapporteert de FG over de naleving van privacyregels aan het verantwoordelijke bestuur en management, en geeft tevens gevraagd en ongevraagd advies aan bestuur en management.
Gemeenteraad	Geïnformeerd	De gemeenteraad is kaderstellend en heeft een sturende rol als het gaat om handelingskaders of richtlijnen voor AI-gebruik.
Architect	Geraadpleegd	De project- of businessarchitect maakt een functioneel architectuur- of ontwerpdocument van de AI-toepassing in geval van een nieuwe innovatie, op basis van de businessanalyse (usecasebeschrijving), rekening houdend met de gemeentelijke (AI-)architectuurrichtlijnen en beleidskaders. De functionele architectuur bevat ook een beschrijving van de datastromen. De architect toetst de solution-architectuur van de interne of externe leverancier en de realisatie van de AI-oplossing, of het voldoet aan de gestelde kaders en het ontwerp. De project- of businessarchitect en de solution-architect werken nauw samen. De solution-architect maakt een technisch architectuurontwerp van de AI-toepassing op basis van het functionele architectuurontwerp van de businessarchitect en toetst de realisatie. De security officer gebruikt het functionele architectuurontwerp voor de privacy risk assessment.
Beleidsadviseur	Geraadpleegd	De domeinexpert van de maatschappelijke opgave waarbinnen AI en algoritmen worden toegepast. De beleidsadviseur zorgt ervoor dat AI-initiatieven aansluiten bij beleidsdoelen en maatschappelijke opgaven, en dat de toepassing een balans vindt tussen innovatie en verantwoordelijkheid.
Ethisch adviseur	Geraadpleegd	Adviseert over de morele en maatschappelijke gevolgen van AI en algoritmen. Deze rol omvat het beoordelen van de ethische implicaties van AI-projecten, ondersteunen bij besluitvorming rondom maatschappelijke impact, en het opstellen van ethische richtlijnen voor verantwoord gebruik. De ethisch adviseur bevordert transparantie en is een aanspreekpunt voor ethische dilemma's binnen de organisatie.
Griffie	Geraadpleegd	Ondersteunt de gemeenteraad bij zijn kaderstellende taak en is daarom belangrijk in het borgen van democratische legitimiteit bij AI-implementaties. In de context van verantwoord AI-gebruik zorgt de griffie ervoor dat raadsleden goed geïnformeerd zijn over kansen en risico's van AI bij maatschappelijke opgaven. De griffie helpt bij het agenderen van het onderwerp, stelt kritische vragen over transparantie, uitlegbaarheid en verantwoording, en faciliteert het gesprek over de randvoorwaarden waarbinnen AI in de gemeente toegepast mag worden.
HR-adviseur	Geraadpleegd	Ondersteunt de implementatie van AI door het ontwikkelen van beleid en trainingen voor medewerkers. Dit omvat het faciliteren van bewustwordingssessies over AI, ethiek en algoritmische besluitvorming. De HR-adviseur speelt ook een rol in het managen van de impact van AI op de werkgelegenheid en zorgt voor bij- en omscholingsprogramma's, zodat medewerkers voorbereid zijn op veranderingen in hun taken.
Informatiemanager	Geraadpleegd	Coördineert de initiatieven en beheert de informatiestromen die AI en algoritmen voeden. Dit omvat het coördineren van datakwaliteit en gegevensbeheer, en ervoor zorgen dat gegevens op een verantwoorde en efficiënte manier worden gebruikt. De informatiemanager bewaakt daarnaast de interoperabiliteit tussen systemen en processen, en werkt samen met de CISO en FG om databeveiliging en privacy te waarborgen.
Proceseigenaar	Verantwoordelijk	Verantwoordelijk voor de algoritmen en AI-toepassingen die binnen zijn, haar of hun verantwoordelijkheid worden ingezet. Het is niet altijd duidelijk wie de proceseigenaar is; daarom is het van belang dat dit expliciet wordt gemaakt in de beginfase van de ontwikkeling en dat deze persoon zich bewust is van de verantwoordelijkheden. Vaak is dit een teamleider of afdelingshoofd. Bijvoorbeeld: het afdelingshoofd van een afdeling is verantwoordelijk voor het betreffende proces; als er binnen dit proces AI of algoritmen worden ingezet, is deze persoon verantwoordelijk voor naleving van wet- en regelgeving en intern beleid. Op basis van de risicoclassificatie uit de AI-verordening moet de proceseigenaar als gebruiker voldoen aan de verplichtingen.
Risicomanager	Geraadpleegd	Speelt een rol bij het verantwoord inzetten van AI door risico's in kaart te brengen die samenhangen met technologiegebruik, zoals bias, datakwaliteit, privacy en bestuurlijke afhankelijkheden. In het kader van maatschappelijke opgaven helpt de risicomanager bij het vooraf identificeren en beheersbaar maken van ethische, juridische en operationele risico's. Zo draagt de risicomanager bij aan transparante besluitvorming, continue toetsing van AI-toepassingen aan publieke waarden, en het opzetten van passende beheersmaatregelen gedurende de hele levenscyclus van een AI-systeem.
Technical Information Security Officer (TISO)	Geraadpleegd	Zorgt voor het waarborgen van de veiligheid en privacy van gegevens die door gemeenten worden verwerkt of gebruikt, zo ook voor AI-toepassingen en algoritmen.
Communicatieadviseur	Geraadpleegd	Speelt een belangrijke rol bij het verbinden van technologie met gebruikers en stakeholders. Zorgt ervoor dat er heldere, effectieve communicatie is tussen gebruikers en andere betrokkenen rondom AI en algoritmen, met oog voor niveau en behoeften van diverse doelgroepen. Verzorgt ook externe communicatie over het gebruik van AI in de gemeente.
Data engineer	Geraadpleegd	Zorgt voor de toegankelijkheid van data door de automatisering en optimalisatie van gegevenspijplijnen van bronsystemen naar de AI-toepassing. Hieronder vallen onder andere de verzameling, het beheer en het omzetten van ruwe data in bruikbare informatie voor de data scientist of de leverancier die AI ontwikkelt. De data engineer toetst de datakwaliteit en geeft advies ter verbetering aan de databroneigenaren, ter voorkoming van bias, hallucinaties dan wel slechte resultaten van het algoritme.
Data scientist	Geraadpleegd	Verantwoordelijk voor de technische werking van het algoritme of de AI-toepassing, op basis van het solution-architectuurontwerp. Bij de ontwikkeling zorgt de data scientist dat deze technisch voldoet aan wet- en regelgeving en intern beleid. Bij de interne ontwikkeling van AI en algoritmen vervult de data scientist vanuit de AI-verordening de rol van leverancier. Op basis van de risicoclassificatie uit de AI-verordening moet de data scientist voldoen aan de bijbehorende verplichtingen. De data scientist zorgt ook voor de monitoring van de toepassing op kwaliteit (zoals bias, drift en hallucinaties) en neemt tijdig maatregelen in afstemming met de opdrachtgever.
Functioneel beheerder	Geraadpleegd	Ondersteunt de frontendsystemen waar men mee werkt en is de schakel tussen de gebruikers en de technische kant (de IT-afdeling binnen de organisatie of de externe leverancier). Deze rol omvat het monitoren van systeemprestaties, het bieden van technische ondersteuning en het zorgen dat toepassingen correct functioneren binnen de operationele omgeving; daarbij hoort ook naleving van service level agreements (SLA).
Informatieadviseur	Geraadpleegd	Adviseert over de aansluiting van de AI- en algoritmetoepassingen bij de bestaande (of benodigde) informatiehuishouding van de organisatie. Dit omvat het ophalen van de informatiebehoefte van de organisatie, het beheren van datastromen en het waarborgen van datakwaliteit. Als informatieadviseur stem je de AI-oplossingen af op de informatiebehoeften van de organisatie en werk je nauw samen met de informatiemanager en andere stakeholders om optimale datatoegang te faciliteren.
Information Security Officer (ISO)	Geraadpleegd	Zorgt dat een privacy risk assessment (PRA) en eventueel een Data Protection Impact Assessment (DPIA) wordt opgesteld, toetst dit en geeft advies over de informatiebeveiliging van AI- en algoritmetoepassingen, en voegt het resultaat toe aan het afwegingskader. Optioneel, in geval er nog geen AI-compliance officer is, kan de ISO een (pré-)IAMA uitvoeren. De ISO zorgt dat de beveiligingsmaatregelen die voortvloeien uit de PRA en de (pré-)IAMA worden opgenomen in het ontwerp en de realisatie van AI- en algoritmetoepassingen.
Inkoper	Geraadpleegd	Stelt de AI-inkoopvoorwaarden op van het AI-systeem, zodat wordt voldaan aan de wet- en regelgeving en het interne gemeentelijke beleid voor verantwoorde inzet van AI. De proceseigenaar is opdrachtgever voor de inkoop en eindverantwoordelijk voor de toepassing die wordt ingekocht. De inkoper neemt de verplichtingen op in de inkoopvoorwaarden die voortvloeien uit de AI-risk assessment. De inkoper stelt tevens afspraken op ten aanzien van beheer en regulier monitoren van de AI-systeemprestaties (ter voorkoming van bias, hallucinaties dan wel slechte resultaten), het bieden van support en systeemverbeteringen.
Jurist	Geraadpleegd	Betrokken bij het opstellen van contracten en geeft advies over relevante wetgeving en beleid (zoals de AI-verordening, AVG en Awb). De jurist heeft tevens een rol in de afhandeling van Woo-verzoeken en bezwaar- en klachtenprocedures rondom AI en algoritmen.
Leverancier	Verantwoordelijk	Ontwikkelt en beheert de AI-toepassing, die moet voldoen aan het functionele en technische ontwerp, de verplichtingen die voortvloeien uit de AI-risk assessment en de gestelde eisen vanuit de Privacy Risk Assessment (PRA) en wet- en regelgeving. De leverancier is ervoor verantwoordelijk dat de technische werking van het algoritme of de AI-toepassing gedurende de levenscyclus blijft werken op basis van het functionele en solution-architectuurontwerp en de gestelde verplichtingen. De leverancier zorgt voor monitoring van de AI-toepassing op kwaliteit, bias, drift en hallucinaties, en neemt tijdig maatregelen in afstemming met de opdrachtgever.
Medewerker uitvoering	Geraadpleegd	Gebruikt AI en algoritmen voor de uitvoering van de dagelijkse werkzaamheden, bijvoorbeeld door integratie in een procesapplicatie. Voor de medewerker in de uitvoering is het van belang dat deze weet dat AI en algoritmen worden ingezet en hoe deze werken, op zo'n manier dat de medewerker aan inwoners kan uitleggen op welke manier AI of algoritmen het keuzeproces beïnvloeden. Een voorbeeld hiervan is een Wmo-consulent die AI inzet voor het transcriberen van keukentafelgesprekken in het kader van de Wmo. Ook kun je denken aan een werkcoach die een algoritme gebruikt voor het matchen van vaardigheden en interesses van werkzoekenden met dagbestedings- en werkplekken. Deze medewerkers in de uitvoering zijn gebruikers van AI en algoritmen en staan direct in contact met inwoners.
Privacy officer (PO)	Geraadpleegd	Geeft uitvoerend advies aan de organisatie over privacybeleid en -ontwikkelingen. Ook is de PO betrokken bij het trainen van medewerkers in privacybewustzijn rondom AI en algoritmen. De PO coördineert privacy-impacttoetsen in opdracht van de proceseigenaar en werkt daarbij samen met het ontwikkelteam om te zorgen dat de verwerking van persoonsgegevens voldoet aan de AVG en andere relevante wetgeving. In kleinere organisaties kunnen de rollen van jurist, security officer en privacy officer gecombineerd worden. Ook kan de rol van PO gecombineerd worden met de AI-compliance officer; deze rollen hebben overlap in onder andere naleving van wet- en regelgeving, risicobeheersing, transparantie en dataverwerking.
Projectleider	Geraadpleegd	Faciliteert de ontwikkeling van AI en algoritmen en geeft terugkoppeling aan de opdrachtgever (in de praktijk vaak: wethouder, afdelingshoofd of teamleider). De projectleider zorgt hierbij dat wet- en regelgeving en intern beleid worden nageleefd, maar is hiervoor niet verantwoordelijk; dat is de proceseigenaar.

Bijlage 2: Begrippenlijst

AI (Artificial Intelligence): Technologie waarmee systemen taken uitvoeren die normaal menselijke intelligentie vereisen, zoals analyseren, voorspellen, classificeren of adviseren.
AI Act: Europese verordening die regels stelt aan de ontwikkeling en inzet van AI-systemen binnen de EU.
AI-behoeften: Situaties waarbij collega's willen dat AI hen ergens mee helpt, of waar ze denken dat AI nuttig kan zijn. Bijvoorbeeld in een applicatie.
AI-systeem: Hiervoor gebruiken we de definitie zoals deze in het AI-beleid en in de AI Act staat. Simpel uitgelegd: een AI-systeem is een computerprogramma dat kan leren van gegevens en zelfstandig taken kan uitvoeren of beslissingen kan nemen die normaal gesproken door een mens worden uitgevoerd. Denk hierbij bijvoorbeeld aan AI die in een applicatie wordt gebruikt om een tekst samen te vatten.
AI-risicoclassificatie: Beoordeling van een AI-toepassing op basis van risico voor grondrechten, veiligheid en maatschappelijke impact.
Algoritme: Sets van regels en instructies die een computer geautomatiseerd volgt bij het maken van berekeningen om een probleem op te lossen of een vraag te beantwoorden.
Algoritmeregister: Openbaar register waarin de gemeente vastlegt welke algoritmen en hoog-risico-AI-systemen worden ingezet, met informatie over doel, werking, gebruikte data, risicoclassificatie en verantwoordelijke organisatieonderdelen.
AVG: Algemene verordening gegevensbescherming; Europese wetgeving voor bescherming van persoonsgegevens.
Bias: Systematische vertekening in data of algoritmen die leidt tot ongelijke of discriminerende uitkomsten.
Black box: Een systeem waarvan we weten wat erin en eruit gaat, maar waarvan we niet kunnen zien of begrijpen hoe het intern tot zijn beslissingen komt.
Digitale autonomie: Vermogen van de gemeente om regie te houden over eigen data, systemen en technologische keuzes.
Digitale soevereiniteit: Borging dat data en digitale infrastructuur onder Europese of nationale juridische controle vallen.
Discriminatie: Het ongelijk behandelen, achterstellen of uitsluiten van mensen op basis van persoonlijke kenmerken zonder dat deze behandeling te rechtvaardigen is.
Europese Economische Ruimte (EER): Samenwerkingsgebied van EU-lidstaten en enkele andere landen met gemeenschappelijke regelgeving, bijvoorbeeld op het gebied van AI en privacy.
Governance: De manier waarop een organisatie wordt bestuurd en gecontroleerd. Met andere woorden: de regels, processen en verantwoordelijkheden die bepalen hoe beslissingen worden genomen en hoe erop wordt toegezien dat alles eerlijk en correct gebeurt.
Hoog-risico-AI-systeem: AI-toepassing die volgens de AI Act aanvullende eisen kent vanwege mogelijke impact op grondrechten of veiligheid.
Human-in-the-loop: Principe waarbij een mens actief betrokken is bij besluitvorming en AI-uitkomsten beoordeelt voordat deze definitief worden.
IAMA: Impact Assessment Mensenrechten en Algoritmen; instrument om mensenrechtelijke risico's van algoritmen te beoordelen.
Impactvol algoritme: Een werkproces met gevolgen voor mensen waarbij een algoritme wordt gebruikt. Het algoritme heeft een grote invloed op de uitkomst van dat werkproces.
Lifecycle management: Gestructureerd beheer van een AI-systeem gedurende ontwerp, ontwikkeling, gebruik, monitoring en uitfasering.
Menselijk toezicht (human oversight): Het structureel borgen van menselijke controle over AI-systemen, inclusief de bevoegdheid om uitkomsten te beoordelen, te corrigeren of het systeem buiten werking te stellen.
Modeldrift: Verschijnsel waarbij een AI-model na verloop van tijd minder betrouwbaar wordt doordat data of omstandigheden veranderen.
Modelvalidatie: Het systematisch toetsen van een AI-model op juistheid, betrouwbaarheid, bias en geschiktheid voor het doel, zowel vóór ingebruikname als periodiek tijdens de levenscyclus.
MVOI: Maatschappelijk Verantwoord Opdrachtgeven en Inkopen. Dit betekent dat organisaties bij het kopen van producten of diensten (en het geven van opdrachten aan leveranciers) niet alleen kijken naar prijs, maar ook naar maatschappelijke en milieuvraagstukken.
Portfolioproces: Multidisciplinair samenwerken. Het proces waarbij een informatiemanager met een cluster alle wensen en ideeën op het gebied van informatievoorziening verkent, prioriteert en uitvoert. Het idee is om wensen om gebruik te maken van AI-systemen ook via dit proces te laten verlopen.
Prompt injection: Een aanval waarbij iemand verborgen instructies in een bericht verstopt om een AI-systeem te misleiden en iets anders te laten doen dan bedoeld.
Three Lines Model: Een systeem met drie lagen die elkaar controleren, zodat een organisatie goed bestuurd wordt en risico's worden voorkomen. De drie lijnen zijn: (1) de werknemers en managers die dagelijks het werk doen en zelf controleren of het goed gaat; (2) de afdeling compliance of risicomanagement, die controleert of de eerste lijn alles correct doet; (3) de interne audit, die onafhankelijk controleert of beide andere lijnen hun werk goed doen.
Vendor lock-in: Afhankelijkheid van één leverancier waardoor overstappen moeilijk of kostbaar wordt.