Regels
Wat de AIIA van het ministerie van Infrastructuur en Waterstaat is, voor wie het verplicht is, hoe het is opgebouwd en hoe het zich verhoudt tot IAMA en DPIA.
Een AI Impact Assessment (AIIA) is een vragenlijst waarmee een team vooraf afweegt of een AI-systeem nodig is, wat het voor mensen betekent en hoe je het verantwoord bouwt en gebruikt. De AIIA is gemaakt door het ministerie van Infrastructuur en Waterstaat (IenW). Ze is gratis te downloaden en niet bij wet verplicht.
Het ministerie noemt de AIIA op de publicatiepagina van Rijksoverheid een hulpmiddel voor het maken van afwegingen bij het inzetten van kunstmatige intelligentie. Het doel is dat de verantwoording, de kwaliteit en de reproduceerbaarheid toenemen. Dit artikel legt uit hoe de AIIA is opgebouwd, voor wie ze bedoeld is en hoe ze zich verhoudt tot de andere toetsen die je tegenkomt. Het is uitleg en geen juridisch advies. Stand 5 november 2026.
De AIIA is ontwikkeld binnen IenW, door het CIO-bureau van het ministerie samen met het datalab van Rijkswaterstaat en het IDlab van de Inspectie Leefomgeving en Transport. De bestuursraad van het ministerie stelde de eerste versie op 4 juli 2022 vast; dat staat in de Engelse uitgave van versie 2.0.
In december 2024 verscheen versie 2.0 (pdf). Die versie houdt rekening met de definitieve tekst van de AI-verordening en sluit beter aan op het IAMA, het instrument voor mensenrechten dat de Universiteit Utrecht voor de overheid ontwikkelde.
Binnen IenW wel. Volgens versie 2.0 moet de AIIA zijn ingevuld wanneer een systeem naar productie gaat, en een pilot telt daarbij mee. De plicht geldt voor elk AI-systeem, ongeacht het risiconiveau uit de AI-verordening. Voor eenvoudige algoritmes op basis van vaste regels is de AIIA niet verplicht.
Buiten dat ministerie is de AIIA geen plicht. Er is geen wet die haar voorschrijft, voor de overheid niet en voor bedrijven niet. Het Algoritmekader, het overzicht van eisen en hulpmiddelen dat de overheid voor algoritmes bijhoudt, noemt haar een verplicht instrument binnen IenW dat inmiddels ook breder wordt gebruikt. Wie de AIIA gebruikt, kiest er dus zelf voor.
De AIIA bestaat uit twee delen en drie bijlagen. Deel A gaat over de vraag of je het systeem moet willen. Deel B gaat over hoe je het goed bouwt en gebruikt.
De drie bijlagen gaan over het risiconiveau uit de AI-verordening, over de vragen voor wie een hoog-risicosysteem levert of gebruikt, en over generatieve AI.
Niet elke vraag is verplicht. De blauwe vragen moeten altijd worden beantwoord, de groene alleen als ze relevant zijn. Met alleen de blauwe vragen heb je een snellere variant, de quick scan. De AIIA vraagt nadrukkelijk om een team: één persoon vult haar niet in. Denk aan de opdrachtgever, iemand die de techniek begrijpt, iemand met kennis van het werk en een jurist of privacy officer. Op de pagina van het Algoritmekader staan invulsjablonen in het Nederlands en het Engels.
Wie met AI begint, komt vier afkortingen tegen. Ze overlappen, maar ze zijn niet hetzelfde.
Het IAMA, de Impact Assessment Mensenrechten en Algoritmes, gaat over de gevolgen voor mensenrechten. Het geactualiseerde IAMA van februari 2026 is in lijn gebracht met artikel 27 van de AI-verordening. Het Algoritmekader zegt het verschil zo: de AIIA is specifiek voor AI ontwikkeld, het IAMA is toepasbaar op alle soorten algoritmes.
Versie 2.0 van de AIIA neemt de vragen over grondrechten uit het IAMA over. Volgens een voetnoot in die versie hoef je daardoor niet meer allebei in te vullen, tenzij je extra hulp nodig hebt bij de afweging over grondrechten. Meer over het IAMA staat in ons artikel over het Algoritmeregister en het IAMA.
De DPIA komt uit artikel 35 van de AVG en is een wettelijke plicht. De Autoriteit Persoonsgegevens schrijft dat je een DPIA moet doen als een verwerking waarschijnlijk een hoog privacyrisico oplevert. De AIIA vervangt die plicht niet. Het hoofdstuk over datagovernance zegt dat je bij de verwerking van persoonsgegevens eerst een pre-scan invult om te bepalen of een volledige DPIA nodig is. Hoe je een DPIA voor een AI-toepassing aanpakt, lees je in ons artikel over de DPIA voor AI-tools.
De grondrechteneffectbeoordeling, in het Engels FRIA, komt uit artikel 27 van de AI-verordening. Ze is verplicht voor overheden en organisaties met een publieke dienst die een hoog-risicosysteem uit bijlage III gaan gebruiken, en voor wie AI inzet voor kredietbeoordeling of voor premies van levens- en ziektekostenverzekeringen. Door de wijziging van de AI-verordening uit 2026 geldt die plicht vanaf 2 december 2027.
De AIIA noemt de FRIA niet bij naam. Ze vraagt wel naar het risiconiveau, en voor een hoog-risicosysteem vul je bijlage 1 en 2 in. Die bijlagen gaan over de plichten van wie zo'n systeem levert of gebruikt. Een ingevulde AIIA is dus een goede voorbereiding, maar geen FRIA. Wat er in een FRIA hoort, werken we uit in ons artikel over de grondrechteneffectbeoordeling.
| Instrument | Van wie | Waar het over gaat | Verplicht |
|---|---|---|---|
| AIIA | Ministerie van Infrastructuur en Waterstaat | De afweging en het verantwoord bouwen en gebruiken van een AI-systeem | Binnen IenW voor elk AI-systeem; daarbuiten niet |
| IAMA | Ministerie van BZK, ontwikkeld door de Universiteit Utrecht | De gevolgen van een algoritme voor mensenrechten | Geen wettelijke plicht |
| DPIA | AVG, artikel 35 | De risico's van een verwerking van persoonsgegevens | Ja, bij een waarschijnlijk hoog risico |
| FRIA | AI-verordening, artikel 27 | De gevolgen van een hoog-risicosysteem voor grondrechten | Ja, voor bepaalde gebruikers, vanaf 2 december 2027 |
Stand 5 november 2026. De kolom over verplichting is een samenvatting; de wettekst en het beleid van je eigen organisatie zijn leidend.
Ja, als hulpmiddel. De AIIA is gratis te downloaden, en het Algoritmekader meldt dat ze ook buiten IenW wordt gebruikt. Ze is wel geschreven voor een ministerie: sommige passages gaan daarvan uit, zoals de verwijzing naar controle door de Auditdienst Rijk. Die sla je over of vertaal je naar je eigen situatie.
Voor een kantoor dat met een AI-assistent wil werken, is de AIIA vooral een ordening van de goede vragen. Waarom wil je het? Welke gegevens gaan erin? Wie controleert de uitkomst? Wat doe je als het misgaat? Dat zijn dezelfde vragen die je in een AI-beleid beantwoordt; een opzet staat in ons artikel over AI-beleid opstellen.
Een ingevulde vragenlijst maakt een systeem niet veilig. Ze laat zien dat je de afweging hebt gemaakt. Wat een medewerker in een chatvenster plakt, verandert er niet door. Een dossier met namen, BSN's of gegevens over gezondheid hoort niet in een chatbot op een privéaccount. Wat er gebeurt als je een document uploadt, staat op onze pagina over AI-chatbots en de AVG.
PrivaSearch maakt documenten doorzoekbaar nadat persoonsgegevens zijn vervangen door pseudoniemen en een collega dat heeft gecontroleerd. Het zoekt en citeert, het beoordeelt geen mensen en het neemt geen beslissingen. Op de pagina over de AVG en de AI Act staat dat dit een classificatie buiten de hoog-risicocategorieën ondersteunt, afhankelijk van het beoogde gebruik en de werkwijze. Of en hoe je een AIIA invult, beslis je zelf.
Voor de vastlegging levert je omgeving drie startdocumenten op basis van je eigen inrichting: een AI-beleid, een DPIA-startdocument en de regel voor je verwerkingsregister. Het zijn startdocumenten en geen juridisch advies. Een AIIA maakt PrivaSearch niet voor je. De documenten geven je wel de feiten die je voor de hoofdstukken over datagovernance en risicobeheer nodig hebt: welke gegevens, welke maatregelen, welke bewaartermijn.
In het gebruik zelf zijn drie dingen ingebouwd die bij de vragen van deel B passen. De review door een mens is verplicht. Antwoorden verwijzen naar document en pagina. En handelingen worden gelogd. Gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens. Hoe de stappen op elkaar volgen, lees je op de pagina Hoe PrivaSearch werkt. Wil je zien hoe het werkt, vraag dan een demo aan.
AIIA staat voor AI Impact Assessment. Het is een vragenlijst van het ministerie van Infrastructuur en Waterstaat waarmee een team vooraf afweegt of een AI-systeem nodig is, wat het voor mensen betekent en hoe het verantwoord wordt gebouwd en gebruikt. De huidige versie is 2.0, van december 2024. De AIIA is gratis te downloaden van de website van de Rijksoverheid.
Alleen binnen het ministerie van Infrastructuur en Waterstaat, voor elk AI-systeem dat naar productie gaat, ook een pilot. Voor andere overheden en voor bedrijven is de AIIA geen wettelijke plicht. Het Algoritmekader van de overheid meldt dat ze inmiddels ook breder wordt gebruikt. Wie haar invult, kiest daar zelf voor.
De AIIA is specifiek voor AI gemaakt en gaat over het hele traject, van de afweging tot het beheer van risico's. Het IAMA gaat over de gevolgen van algoritmes voor mensenrechten en is ook bruikbaar voor algoritmes die geen AI zijn. Versie 2.0 van de AIIA neemt de vragen over grondrechten uit het IAMA over, zodat je meestal niet allebei hoeft in te vullen.
Nee. Een DPIA is een plicht uit de AVG als een verwerking van persoonsgegevens waarschijnlijk een hoog risico oplevert. De AIIA verwijst daar zelf naar: bij persoonsgegevens vul je eerst een pre-scan in om te bepalen of een volledige DPIA nodig is. Antwoorden uit de AIIA kun je in de DPIA gebruiken, maar de DPIA blijft een apart document.
Nee. De FRIA, de grondrechteneffectbeoordeling, is een plicht uit artikel 27 van de AI-verordening voor bepaalde gebruikers van hoog-risicosystemen, vanaf 2 december 2027. De AIIA is een vrijwillig hulpmiddel buiten het ministerie dat haar maakte. Ze vraagt wel naar het risiconiveau en de plichten bij hoog risico, en is daarmee een goede voorbereiding.
Dat staat niet in de AIIA zelf en hangt af van het systeem. Wie alleen de blauwe vragen van de quick scan beantwoordt, is sneller klaar dan wie alle hoofdstukken en bijlagen doorloopt. Reken op meerdere sessies met een team, want de AIIA vraagt om kennis van het doel, de techniek, de gegevens en de regels.
Wanneer het invoeren van persoonsgegevens in een AI-chatbot een datalek is, wanneer je het moet melden en wat je in de eerste 72 uur doet.
De lidstaten willen AI-verwerking op gerechtvaardigd belang laten steunen en pseudonimisering anders regelen. Wat er echt staat en wat je nu doet.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →