Regels
Wat het Algoritmeregister en het IAMA zijn, wat verplicht is en wat niet, en wat een gemeente regelt als medewerkers AI-chatbots gebruiken.
Het Algoritmeregister is de openbare website waarop Nederlandse overheden beschrijven welke algoritmes ze gebruiken. Het IAMA is een vragenlijst waarmee een team vooraf de gevolgen van een algoritme voor mensenrechten in kaart brengt. Geen van beide is op dit moment bij wet verplicht. De grondrechteneffectbeoordeling uit de AI Act wordt dat vanaf december 2027 wel.
Dat is de stand op 13 oktober 2026, voor zover wij die in bronnen van de overheid en de Autoriteit Persoonsgegevens (AP) konden nalopen. Dit artikel legt uit welk instrument wat is, wat ervan moet en wat een overheidsorganisatie regelt als medewerkers AI-chatbots gaan gebruiken. Het is uitleg en geen juridisch advies.
Het Algoritmeregister is het centrale register van de Nederlandse overheid. Overheidsorganisaties publiceren er beschrijvingen van hun algoritmes, zodat burgers, journalisten en toezichthouders kunnen zien waar en hoe ze worden gebruikt. De eerste versie is in december 2022 gelanceerd. Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) beheert het.
Op het dashboard van het register stonden op 13 oktober 2026 1.590 gepubliceerde beschrijvingen. In november 2025 waren dat er 1.225. Het register groeit dus, maar het zegt zelf dat het nog niet compleet is.
Het register gebruikt een ruime definitie van een algoritme: een set regels en instructies die een computer volgt. Niet alles hoeft erin. In de veelgestelde vragen van het register staat welke algoritmes je in ieder geval registreert.
Er kunnen redenen zijn om niet alles te publiceren, bijvoorbeeld bij opsporing. Het register vraagt dan om het deel te publiceren dat wel openbaar kan.
Een beschrijving volgt de publicatiestandaard van het register. Je vindt er onder meer het doel van het algoritme, de organisatie die het gebruikt, de gegevensbronnen, en welke toetsen vooraf zijn gedaan, zoals een DPIA of een IAMA. Volgens het register zijn de velden van de standaard nog niet verplicht, waardoor niet elke beschrijving even volledig is.
Nee, niet bij wet. Op de pagina Over het Algoritmeregister staat dat het aanleveren van informatie nu nog niet verplicht is voor overheidsorganisaties en dat die verplichting er wel aankomt. De AP schrijft op haar pagina over de AI-verordening dat overheden hun algoritmische systemen nu al vrijwillig kunnen registreren.
Hoe snel die verplichting komt, is onzeker. In een Kamerbrief uit 2025 (Kamerstuk 26643, nr. 1394) noemt de staatssecretaris van BZK een wettelijke verplichting van het Algoritmeregister op dat moment nog niet opportuun. De brief kiest voor een andere route: het Algoritmekader doorontwikkelen tot een kader waarop een auditor kan toetsen, en overheidsorganisaties zich daarover laten verantwoorden. Het register meldt in zijn veelgestelde vragen dat wordt onderzocht of aanvullende wetgeving nodig is. Een nieuwer besluit hebben wij op 13 oktober 2026 niet gevonden. Controleer het Kamerdossier voordat je hierop een planning bouwt.
Niet wettelijk verplicht is iets anders dan vrijblijvend. In dezelfde Kamerbrief staat dat de departementen hebben toegezegd hun hoog-risico-AI-systemen voor het einde van 2025 te registreren, en dat een aantal departementen de Kamer een planning heeft gestuurd voor andere, impactvolle algoritmes. Over de voortgang wordt gerapporteerd in de Jaarrapportage Bedrijfsvoering Rijk. Voor gemeenten, provincies en waterschappen gelden die toezeggingen niet rechtstreeks. Zij beslissen zelf of en wat ze publiceren.
De AI Act kent een eigen registratie. Artikel 49 zegt dat overheidsinstanties die een hoog-risicosysteem uit bijlage III gaan gebruiken, zichzelf en dat gebruik registreren in de Europese databank. Voor kritieke infrastructuur gebeurt dat op nationaal niveau, en voor rechtshandhaving, migratie en grenscontrole in een afgeschermd deel. Een overheid mag een systeem dat niet in de databank staat volgens artikel 26 niet gebruiken.
Dit is een wettelijke plicht, en ze staat los van het Nederlandse register. De AP noemt op haar pagina 2 augustus 2026 als datum waarop overheden het gebruik van hoog-risicosystemen in de Europese databank moeten registreren. De overige eisen aan hoog-risicosystemen zijn in de zomer van 2026 uitgesteld naar 2 december 2027. Hoe die twee data in de praktijk op elkaar aansluiten, hebben wij niet in een bron kunnen nalopen. Vraag het na bij je toezichthouder of je jurist als je zo'n systeem gebruikt.
IAMA staat voor Impact Assessment Mensenrechten en Algoritmes. Het is in 2021 ontwikkeld door de Universiteit Utrecht in opdracht van BZK. Het is geen formulier dat één persoon invult, maar een instrument voor een gesprek: een team loopt samen de vragen door en legt de afwegingen vast.
Op 16 februari 2026 publiceerde het ministerie een geactualiseerd IAMA. De nieuwe versie is korter, heeft een apart toelichtingsdocument en is in lijn gebracht met artikel 27 van de AI-verordening. Vragen die met dat artikel samenhangen, zijn gemarkeerd. Volgens het toelichtingsdocument hoeven IAMA's die met de eerste versie zijn ingevuld niet te worden herzien.
Het toelichtingsdocument raadt aan het IAMA met een team te doen. Het noemt onder meer een projectleider, een datawetenschapper, een jurist (dat kan een privacy officer of functionaris gegevensbescherming zijn), iemand met kennis van het domein en de opdrachtgever. Een jurist die uitzoekwerk over grondrechten kan doen is volgens het document onmisbaar, en er horen minstens twee mensen bij die de techniek begrijpen. Wie welke verantwoordelijkheid draagt in zo'n traject, werken we uit in ons artikel over AI-governance.
Een wettelijke plicht om een IAMA te doen hebben wij niet gevonden. Wel is er politieke druk. In een onderzoeksrapport dat in 2026 aan de Tweede Kamer is aangeboden staat dat de Kamer in 2022 een motie aannam die de regering vraagt IAMA's verplicht te stellen voordat algoritmes worden gebruikt voor evaluaties van of beslissingen over mensen. In 2023 volgde een motie om alle hoog-risico-algoritmes binnen de Rijksoverheid in het Algoritmeregister op te nemen en aan het IAMA te onderwerpen. Een motie is een verzoek aan de regering, geen wet.
Het toelichtingsdocument zegt daarnaast iets wat voor de praktijk belangrijker is. Valt een toepassing niet onder hoog risico, dan geldt de plicht uit artikel 27 van de AI-verordening niet, maar kan het toch verstandig zijn het IAMA te doorlopen als er een redelijke kans is dat grondrechten worden geraakt. Een organisatie kan het dus ook zonder wettelijke plicht in haar eigen werkwijze opnemen. Kijk in het beleid van je eigen organisatie wat daar is afgesproken.
Artikel 27 van de AI Act verplicht een grondrechteneffectbeoordeling, in het Engels fundamental rights impact assessment of FRIA. De plicht geldt voor publiekrechtelijke organen en private organisaties die publieke diensten verlenen, voordat ze een hoog-risicosysteem uit bijlage III gaan gebruiken. Kritieke infrastructuur is uitgezonderd. Ze geldt ook voor wie AI gebruikt om kredietwaardigheid te beoordelen of risico's en premies bij levens- en ziektekostenverzekeringen te bepalen.
De beoordeling beschrijft zes dingen: de processen waarin het systeem wordt gebruikt, hoe lang en hoe vaak, welke groepen mensen worden geraakt, welke risico's zij lopen, hoe het menselijk toezicht is geregeld, en wat je doet als het misgaat. De uitkomst meld je aan de markttoezichthouder. De AP schrijft in haar bericht De FRIA voor AI-systemen komt eraan dat de plicht vanaf december 2027 geldt en raadt aan nu al te oefenen.
De DPIA komt uit artikel 35 van de AVG en kijkt naar de risico's van een verwerking van persoonsgegevens. De AP omschrijft het verschil zo: een DPIA richt zich op privacyrisico's, een FRIA kijkt breder naar alle grondrechten. Sinds de wijziging van 2026 zegt artikel 27 dat je voor onderdelen die al in een DPIA staan, naar die DPIA mag verwijzen. Het IAMA sluit daarop aan: blijkt onderweg dat een DPIA nodig is, dan stap je uit het IAMA, maak je de DPIA en neem je de uitkomst mee terug. Hoe je een DPIA voor een AI-toepassing opzet, staat in ons artikel over de DPIA voor AI-tools.
| Instrument | Wat het is | Verplicht of niet | Voor wie |
|---|---|---|---|
| Algoritmeregister | Openbare beschrijving van een algoritme op de website van de overheid | Niet bij wet; wel toezeggingen van departementen aan de Tweede Kamer | Nederlandse overheidsorganisaties |
| Europese databank voor hoog-risico-AI | Registratie van het gebruik van een hoog-risicosysteem | Ja, op grond van de AI Act | Overheidsinstanties die een systeem uit bijlage III gebruiken |
| IAMA | Vragenlijst en teamgesprek over de gevolgen voor mensenrechten | Geen wettelijke plicht gevonden; wel moties en eigen beleid | Overheidsorganisaties |
| Grondrechteneffectbeoordeling (FRIA) | Beoordeling vooraf, met melding aan de toezichthouder | Ja, vanaf 2 december 2027 | Overheden, organisaties met een publieke dienst, en gebruikers van AI voor krediet en bepaalde verzekeringen |
| DPIA | Beoordeling van de risico's van een verwerking van persoonsgegevens | Ja, als de verwerking waarschijnlijk een hoog risico oplevert | Elke verwerkingsverantwoordelijke, publiek en privaat |
| Algoritmekader | Overzicht van de vereisten voor algoritmes en van maatregelen om eraan te voldoen | Nee, het is een hulpmiddel | Overheidsorganisaties |
Stand 13 oktober 2026. De kolom over verplichting is een samenvatting. De wettekst en het beleid van je eigen organisatie zijn leidend.
Dat hangt af van wat je ermee doet. Een chatbot waarmee een beleidsmedewerker een notitie laat herschrijven, neemt geen besluiten over burgers en is geen hoog-risicosysteem. Volgens de criteria van het register hoeft die er niet in ieder geval in. Het wordt anders zodra de uitkomst meeweegt in een besluit over een persoon, bijvoorbeeld een samenvatting van een bezwaardossier die de behandelaar als uitgangspunt neemt. Dan komt het criterium van directe impact in beeld. Twijfel je, publiceer dan: het register is bedoeld om uitleg te geven.
Los van elk register blijft de eenvoudigste vraag de belangrijkste: wat plakt een medewerker in het venster? Een dossier uit het sociaal domein bevat namen, BSN's en vaak gegevens over gezondheid. Dat hoort niet in een chatbot op een privéaccount. Wat er bij uploaden gebeurt, staat op onze pagina over AI-chatbots en de AVG. Een register maakt zichtbaar wat je doet. Het maakt niet goed wat je daarvoor verkeerd hebt ingericht.
PrivaSearch maakt documenten doorzoekbaar nadat persoonsgegevens zijn vervangen door pseudoniemen en een collega dat heeft gecontroleerd. Het zoekt en citeert, het beoordeelt geen mensen en het neemt geen beslissingen. Op de pagina over de AVG en de AI Act staat dat dit een classificatie buiten de hoog-risicocategorieën ondersteunt, afhankelijk van het beoogde gebruik en de werkwijze. Of jouw gebruik in het Algoritmeregister hoort en of een IAMA of een grondrechteneffectbeoordeling nodig is, beoordeel je zelf.
Voor de vastlegging levert je omgeving drie startdocumenten op basis van je eigen inrichting: een AI-beleid, een DPIA-startdocument en de regel voor je verwerkingsregister. Het zijn startdocumenten en geen juridisch advies. Een IAMA maakt PrivaSearch niet voor je, en een beschrijving voor het Algoritmeregister ook niet. De documenten geven je wel de feiten die je daarvoor nodig hebt: welke gegevens, welke maatregelen, welke bewaartermijn.
In het gebruik zelf zijn drie dingen ingebouwd die bij de vragen van een IAMA passen. De review door een mens is verplicht. Antwoorden verwijzen naar document en pagina. En handelingen worden gelogd. De verwerking vindt plaats op Europese infrastructuur; wat dat inhoudt staat op de pagina over hosting in de EU. Gepseudonimiseerde gegevens blijven voor jouw organisatie persoonsgegevens.
Hoe de stappen op elkaar volgen, lees je op de pagina Hoe PrivaSearch werkt. Wil je zien hoe het werkt, vraag dan een demo aan.
Op 13 oktober 2026 is publiceren in het Algoritmeregister niet bij wet verplicht. Het register schrijft zelf dat de verplichting er wel aankomt. In een Kamerbrief uit 2025 noemde de staatssecretaris van BZK een wettelijke verplichting op dat moment nog niet opportuun. Departementen hebben de Tweede Kamer wel toegezegd hun hoog-risico-AI-systemen te registreren. Voor gemeenten, provincies en waterschappen is publiceren een eigen keuze.
IAMA staat voor Impact Assessment Mensenrechten en Algoritmes. Het is een instrument waarmee een overheidsorganisatie vooraf met een team bespreekt welke gevolgen een algoritme kan hebben voor mensenrechten en hoe die gevolgen te beperken zijn. Het bestaat uit vier delen: waarom, wat, hoe en mensenrechten. Het is in 2021 ontwikkeld door de Universiteit Utrecht in opdracht van het ministerie van BZK en in februari 2026 geactualiseerd.
Een DPIA komt uit de AVG en beoordeelt de risico's van een verwerking van persoonsgegevens. Ze is verplicht als die verwerking waarschijnlijk een hoog risico oplevert. Een IAMA kijkt breder, naar alle mensenrechten, en ook naar algoritmes die geen persoonsgegevens verwerken. De twee vullen elkaar aan: antwoorden uit het ene kun je in het andere gebruiken, en vaak heb je ze allebei nodig.
FRIA staat voor fundamental rights impact assessment, in het Nederlands grondrechteneffectbeoordeling. Het is een plicht uit artikel 27 van de AI Act voor overheden en organisaties met een publieke dienst die een hoog-risicosysteem uit bijlage III gaan gebruiken, en voor gebruikers van AI voor kredietbeoordeling en bepaalde verzekeringen. De plicht geldt vanaf 2 december 2027. De uitkomst meld je aan de toezichthouder.
Nee. Het Algoritmeregister is een Nederlands initiatief voor openheid over alle impactvolle algoritmes van de overheid, ook als het geen AI is. De Europese databank komt uit de AI Act en gaat alleen over hoog-risico-AI-systemen. Overheidsinstanties die zo'n systeem gebruiken, moeten dat gebruik daar registreren. Het zijn twee registraties met een eigen doel en een eigen grondslag.
Niet in ieder geval. Het register vraagt in elk geval om hoog-risico-AI-systemen en om algoritmes met directe impact op mensen. Een chatbot die helpt met schrijven of samenvatten valt daar meestal niet onder. Weegt de uitkomst mee in een besluit over een burger, dan verandert dat. Publiceren mag altijd, en bij twijfel is uitleg geven de veiligste keuze.
De tijdlijn van de AI Act na de digitale omnibus: wat al geldt, wat is verschoven naar 2027 en 2028, en wat je als gebruiker van AI-chatbots nu regelt.
Wat een deepfake is, welke regels er nu gelden, welk verbod eraan komt en wat je als organisatie doet tegen fraude met een nagemaakte stem of video.
Wanneer je voor een AI-chatbot of AI-zoekfunctie een DPIA moet uitvoeren, wat erin hoort te staan en hoe je haar in zeven stappen aanpakt.
We laten het zien met fictieve dossiers uit jouw branche: upload, herkenning, review, zoeken en de koppeling met je AI-assistent. Daarna weet je precies wat je team veilig kan gebruiken.
Plan een demo →