Regeln
Was das niederländische Algoritmeregister und das IAMA sind, was Pflicht ist und was nicht und was eine Gemeinde beim Einsatz von KI-Chatbots regelt.
Das Algoritmeregister ist die öffentliche Website, auf der niederländische Behörden ihre Algorithmen beschreiben. Das IAMA ist ein Fragebogen, mit dem ein Team vorab die Auswirkungen eines Algorithmus auf Menschenrechte ermittelt. Keines von beiden ist derzeit gesetzlich vorgeschrieben. Die Grundrechte-Folgenabschätzung des AI Act wird es ab Dezember 2027 sein.
Dies ist der Stand vom 13. Oktober 2026, soweit wir ihn anhand von Quellen der Regierung und der Autoriteit Persoonsgegevens (AP), der niederländischen Datenschutzaufsichtsbehörde, prüfen konnten. Dieser Artikel erklärt die Instrumente, ihre Pflichten und was eine Behörde regelt, wenn Mitarbeitende KI-Chatbots einsetzen. Es ist eine Erläuterung, keine Rechtsberatung.
Das Algoritmeregister ist das zentrale Register der niederländischen Regierung. Behörden veröffentlichen dort Beschreibungen ihrer Algorithmen, damit Bürger, Journalisten und Aufsichtsbehörden sehen können, wo und wie sie verwendet werden. Die erste Version startete im Dezember 2022. Zuständig ist das Ministerium für Inneres und Königreichsbeziehungen (BZK).
Auf dem Dashboard des Registers standen am 13. Oktober 2026 1.590 veröffentlichte Beschreibungen. Im November 2025 waren es 1.225. Das Register wächst also, bezeichnet sich aber selbst als noch unvollständig.
Das Register definiert Algorithmen weit: eine Reihe von Regeln und Anweisungen, denen ein Computer folgt. Nicht alles muss hinein. Die häufig gestellten Fragen des Registers nennen die mindestens zu registrierenden Algorithmen.
Es kann Gründe geben, nicht alles zu veröffentlichen, etwa bei Ermittlungen. Das Register bittet dann um Veröffentlichung des Teils, der öffentlich sein darf.
Eine Beschreibung folgt dem Veröffentlichungsstandard des Registers. Sie enthält unter anderem den Zweck des Algorithmus, die nutzende Organisation, Datenquellen und vorab durchgeführte Prüfungen wie eine DSFA oder ein IAMA. Laut Register sind die Felder des Standards noch nicht verpflichtend, weshalb die Beschreibungen unterschiedlich vollständig sind.
Nein, nicht gesetzlich. Die Seite Über das Algoritmeregister sagt, dass die Bereitstellung von Informationen für Behörden noch nicht verpflichtend ist, eine Pflicht aber kommen wird. Die AP schreibt auf ihrer Seite zur KI-Verordnung, dass Behörden ihre algorithmischen Systeme bereits freiwillig registrieren können.
Wie schnell die Pflicht kommt, ist ungewiss. In einem Parlamentsbrief von 2025 (Drucksache 26643, Nr. 1394) hielt der Staatssekretär des BZK eine gesetzliche Verpflichtung zum Algoritmeregister damals noch nicht für angebracht. Der Brief wählt einen anderen Weg: Das Algoritmekader soll zu einem von Auditoren prüfbaren Rahmen weiterentwickelt werden; Behörden sollen darüber Rechenschaft ablegen. Das Register erklärt in seinen FAQ, dass die Notwendigkeit weiterer Gesetzgebung geprüft wird. Einen neueren Beschluss fanden wir am 13. Oktober 2026 nicht. Prüfen Sie das Parlamentsdossier, bevor Sie darauf eine Planung aufbauen.
Nicht gesetzlich vorgeschrieben heißt nicht unverbindlich. Derselbe Parlamentsbrief sagt, dass die Ministerien zugesagt haben, ihre Hochrisiko-KI-Systeme vor Ende 2025 zu registrieren. Einige Ministerien schickten dem Parlament außerdem einen Zeitplan für andere folgenreiche Algorithmen. Der Fortschritt wird im Jahresbericht zur Betriebsführung der Zentralregierung dargestellt. Für Gemeinden, Provinzen und Wasserverbände gelten diese Zusagen nicht unmittelbar. Sie entscheiden selbst, ob und was sie veröffentlichen.
Der AI Act hat eine eigene Registrierung. Artikel 49 sagt, dass Behörden, die ein Hochrisikosystem aus Anhang III nutzen werden, sich und diese Nutzung in der europäischen Datenbank registrieren. Bei kritischer Infrastruktur geschieht dies auf nationaler Ebene; bei Strafverfolgung, Migration und Grenzkontrolle in einem geschützten Teil. Laut Artikel 26 darf eine Behörde ein nicht in der Datenbank stehendes System nicht nutzen.
Das ist eine gesetzliche Pflicht, unabhängig vom niederländischen Register. Die AP nennt auf ihrer Seite den 2. August 2026 als Datum, ab dem Behörden ihre Nutzung von Hochrisikosystemen in der europäischen Datenbank registrieren müssen. Die anderen Anforderungen an Hochrisikosysteme wurden im Sommer 2026 auf den 2. Dezember 2027 verschoben. Wie diese beiden Daten praktisch zusammenpassen, konnten wir nicht anhand einer Quelle prüfen. Fragen Sie bei Ihrer Aufsichtsbehörde oder Ihrem Juristen nach, wenn Sie ein solches System nutzen.
IAMA steht für Impact Assessment Mensenrechten en Algoritmes, eine Folgenabschätzung zu Menschenrechten und Algorithmen. Die Universität Utrecht entwickelte es 2021 im Auftrag des BZK. Es ist kein Formular, das eine Person ausfüllt, sondern ein Gesprächsinstrument: Ein Team geht die Fragen gemeinsam durch und dokumentiert seine Abwägungen.
Am 16. Februar 2026 veröffentlichte das Ministerium ein aktualisiertes IAMA. Die neue Version ist kürzer, hat ein eigenes Erläuterungsdokument und wurde an Artikel 27 der KI-Verordnung angeglichen. Zugehörige Fragen sind markiert. Laut Erläuterungsdokument müssen mit der ersten Version erstellte IAMAs nicht überarbeitet werden.
Das Erläuterungsdokument empfiehlt ein Team. Es nennt unter anderem eine Projektleitung, eine Fachkraft für Datenwissenschaft, einen Juristen (etwa Privacy Officer oder Datenschutzbeauftragter), jemanden mit Fachwissen aus dem betreffenden Bereich und den Auftraggeber. Ein Jurist, der Grundrechtsfragen untersuchen kann, ist laut Dokument unverzichtbar; mindestens zwei Personen sollten die Technik verstehen. Wer in einem solchen Verfahren welche Verantwortung trägt, erläutert unser Artikel über KI-Governance.
Eine gesetzliche Pflicht zur Durchführung eines IAMA haben wir nicht gefunden. Es besteht jedoch politischer Druck. In einem 2026 der Zweiten Kammer vorgelegten Forschungsbericht steht, dass das Parlament 2022 einen Antrag annahm, der die Regierung auffordert, IAMAs vor der Nutzung von Algorithmen zur Bewertung von oder Entscheidung über Menschen vorzuschreiben. 2023 folgte ein Antrag, alle Hochrisiko-Algorithmen der Zentralregierung ins Algoritmeregister aufzunehmen und einem IAMA zu unterziehen. Ein solcher Antrag ist eine Aufforderung an die Regierung, kein Gesetz.
Das Erläuterungsdokument nennt außerdem einen praktisch wichtigeren Punkt. Ist eine Anwendung nicht hochriskant, gilt die Pflicht aus Artikel 27 der KI-Verordnung nicht. Dennoch kann ein IAMA sinnvoll sein, wenn eine realistische Möglichkeit besteht, dass Grundrechte berührt werden. Eine Organisation kann es also auch ohne gesetzliche Pflicht in ihr eigenes Verfahren aufnehmen. Prüfen Sie die Vereinbarungen Ihrer Organisation in deren Richtlinien.
Artikel 27 des AI Act verlangt eine Grundrechte-Folgenabschätzung, auf Englisch fundamental rights impact assessment oder FRIA. Die Pflicht gilt für Einrichtungen des öffentlichen Rechts und private Organisationen, die öffentliche Dienste anbieten, bevor sie ein Hochrisikosystem aus Anhang III nutzen. Kritische Infrastruktur ist ausgenommen. Sie gilt auch für KI zur Beurteilung der Kreditwürdigkeit oder zur Bestimmung von Risiken und Prämien bei Lebens- und Krankenversicherungen.
Die Bewertung beschreibt sechs Dinge: die Prozesse, in denen das System genutzt wird, Dauer und Häufigkeit, betroffene Personengruppen, deren Risiken, die menschliche Aufsicht und Maßnahmen bei Problemen. Das Ergebnis melden Sie der Marktüberwachungsbehörde. Die AP schreibt in ihrer Mitteilung Die FRIA für KI-Systeme kommt, dass die Pflicht ab Dezember 2027 gilt, und empfiehlt, jetzt zu üben.
Die DSFA stammt aus Artikel 35 der DSGVO und untersucht Risiken einer Verarbeitung personenbezogener Daten. Die AP beschreibt den Unterschied so: Eine DSFA konzentriert sich auf Datenschutzrisiken, eine FRIA betrachtet alle Grundrechte breiter. Seit der Änderung von 2026 erlaubt Artikel 27 für bereits in einer DSFA behandelte Teile einen Verweis darauf. Das IAMA schließt daran an: Zeigt sich unterwegs die Notwendigkeit einer DSFA, verlassen Sie das IAMA, erstellen die DSFA und nehmen das Ergebnis wieder mit. Wie Sie eine DSFA für eine KI-Anwendung aufsetzen, steht in unserem Artikel zur DSFA für KI-Tools.
| Instrument | Was es ist | Pflicht oder nicht | Für wen |
|---|---|---|---|
| Algoritmeregister | Öffentliche Beschreibung eines Algorithmus auf der Regierungswebsite | Nicht gesetzlich; Zusagen von Ministerien gegenüber der Zweiten Kammer | Niederländische Behörden |
| Europäische Datenbank für Hochrisiko-KI | Registrierung der Nutzung eines Hochrisikosystems | Ja, nach dem AI Act | Behörden, die ein System aus Anhang III nutzen |
| IAMA | Fragebogen und Teamgespräch zu Menschenrechtsfolgen | Keine gesetzliche Pflicht gefunden; parlamentarische Anträge und eigene Richtlinien bestehen | Behörden |
| Grundrechte-Folgenabschätzung (FRIA) | Vorabprüfung mit Meldung an die Aufsicht | Ja, ab dem 2. Dezember 2027 | Behörden, Organisationen mit öffentlichen Diensten und KI für Kredite und bestimmte Versicherungen |
| DSFA | Bewertung der Risiken einer Verarbeitung personenbezogener Daten | Ja, bei voraussichtlich hohem Risiko | Jeder Verantwortliche, öffentlich und privat |
| Algoritmekader | Überblick über Anforderungen an Algorithmen und Maßnahmen zu deren Erfüllung | Nein, es ist eine Hilfe | Behörden |
Stand 13. Oktober 2026. Die Pflichtspalte ist eine Zusammenfassung. Gesetzestext und Richtlinien Ihrer eigenen Organisation sind maßgeblich.
Das hängt vom Einsatz ab. Ein Chatbot, mit dem ein Referent einen Vermerk umschreiben lässt, entscheidet nicht über Bürger und ist kein Hochrisikosystem. Nach den Registerkriterien muss er nicht in jedem Fall hinein. Anders ist es, sobald das Ergebnis in eine Entscheidung über eine Person einfließt, etwa die Zusammenfassung einer Widerspruchsakte als Ausgangspunkt der Sachbearbeitung. Dann wird das Kriterium unmittelbarer Auswirkungen relevant. Veröffentlichen Sie im Zweifel: Das Register soll Erklärungen liefern.
Unabhängig von jedem Register bleibt die einfachste Frage die wichtigste: Was fügt ein Mitarbeiter ins Fenster ein? Eine Akte aus dem Sozialbereich enthält Namen, BSN-Nummern (niederländische Bürgernummern) und oft Gesundheitsdaten. Das gehört nicht in einen Chatbot auf einem privaten Konto. Was beim Hochladen passiert, steht auf unserer Seite über KI-Chatbots und DSGVO. Ein Register macht Ihr Handeln sichtbar. Es behebt keine zuvor falsch eingerichteten Abläufe.
PrivaSearch macht Dokumente durchsuchbar, nachdem personenbezogene Daten durch Pseudonyme ersetzt und von einem Kollegen geprüft wurden. Es sucht und zitiert, beurteilt aber keine Menschen und trifft keine Entscheidungen. Die Seite über DSGVO und AI Act sagt, dass dies eine Einstufung außerhalb der Hochrisikokategorien unterstützt, abhängig von beabsichtigter Nutzung und Arbeitsweise. Ob Ihr Einsatz ins Algoritmeregister gehört und ob IAMA oder Grundrechte-Folgenabschätzung nötig sind, beurteilen Sie selbst.
Für die Dokumentation liefert Ihre Umgebung anhand Ihrer eigenen Einrichtung drei Vorlagen: eine KI-Richtlinie, eine DSFA-Vorlage und den Eintrag im Verarbeitungsverzeichnis. Es sind Vorlagen, keine Rechtsberatung. PrivaSearch erstellt weder ein IAMA noch eine Beschreibung für das Algoritmeregister. Die Dokumente liefern aber die dafür benötigten Fakten: Datenarten, Maßnahmen und Aufbewahrungsfristen.
Im Einsatz selbst sind drei Dinge eingebaut, die zu den IAMA-Fragen passen. Menschliche Prüfung ist verpflichtend. Antworten verweisen auf Dokument und Seite. Handlungen werden protokolliert. Die Verarbeitung erfolgt auf europäischer Infrastruktur; was das bedeutet, erklärt die Seite zum Hosting in der EU. Pseudonymisierte Daten bleiben für Ihre Organisation personenbezogene Daten.
Wie die Schritte aufeinanderfolgen, lesen Sie unter So funktioniert PrivaSearch. Wenn Sie es sehen möchten, fordern Sie eine Demo an.
Am 13. Oktober 2026 ist die Veröffentlichung im Algoritmeregister nicht gesetzlich vorgeschrieben. Das Register selbst kündigt eine kommende Pflicht an. In einem Parlamentsbrief von 2025 hielt der Staatssekretär des BZK eine gesetzliche Pflicht damals noch nicht für angebracht. Die Ministerien sagten der Zweiten Kammer jedoch die Registrierung ihrer Hochrisiko-KI-Systeme zu. Für Gemeinden, Provinzen und Wasserverbände ist die Veröffentlichung eine eigene Entscheidung.
IAMA steht für Impact Assessment Mensenrechten en Algoritmes, eine Folgenabschätzung zu Menschenrechten und Algorithmen. Mit diesem Instrument bespricht ein Behördenteam vorab mögliche Menschenrechtsfolgen eines Algorithmus und wie sie sich begrenzen lassen. Es besteht aus vier Teilen: Warum, Was, Wie und Menschenrechte. Die Universität Utrecht entwickelte es 2021 im Auftrag des BZK; im Februar 2026 wurde es aktualisiert.
Eine DSFA stammt aus der DSGVO und bewertet Risiken einer Verarbeitung personenbezogener Daten. Sie ist bei voraussichtlich hohem Risiko verpflichtend. Ein IAMA betrachtet alle Menschenrechte breiter, auch bei Algorithmen ohne personenbezogene Daten. Beide ergänzen sich: Antworten aus einem Instrument lassen sich im anderen nutzen, und häufig benötigen Sie beide.
FRIA steht für fundamental rights impact assessment, also Grundrechte-Folgenabschätzung. Sie ist eine Pflicht aus Artikel 27 des AI Act für Behörden und Organisationen mit öffentlichen Diensten vor Nutzung eines Hochrisikosystems aus Anhang III sowie für KI zur Kreditbewertung und für bestimmte Versicherungen. Die Pflicht gilt ab dem 2. Dezember 2027. Das Ergebnis melden Sie der Aufsichtsbehörde.
Nein. Das Algoritmeregister ist eine niederländische Initiative für Transparenz über alle folgenreichen Behördenalgorithmen, auch ohne KI. Die europäische Datenbank stammt aus dem AI Act und betrifft nur Hochrisiko-KI-Systeme. Behörden, die ein solches System nutzen, müssen diese Nutzung dort registrieren. Es sind zwei Registrierungen mit eigenem Zweck und eigener Rechtsgrundlage.
Nicht in jedem Fall. Das Register verlangt mindestens Hochrisiko-KI-Systeme und Algorithmen mit unmittelbaren Auswirkungen auf Menschen. Ein Chatbot zum Schreiben oder Zusammenfassen fällt meist nicht darunter. Fließt das Ergebnis in eine Entscheidung über einen Bürger ein, ändert sich das. Eine Veröffentlichung ist immer möglich; im Zweifel ist Erklären die sicherste Wahl.
Der Zeitplan des AI Act nach dem digitalen Omnibus: Was bereits gilt, was auf 2027 und 2028 verschoben wurde und was Sie als KI-Nutzer jetzt regeln.
Was ein Deepfake ist, welche Regeln jetzt gelten, welches Verbot bevorsteht und was Organisationen gegen Betrug mit gefälschter Stimme oder Video tun.
Wann Sie für einen KI-Chatbot oder eine KI-Suche eine DSFA durchführen müssen, was sie enthalten muss und wie Sie in sieben Schritten vorgehen.
Wir zeigen es mit fiktiven Akten aus Ihrer Branche: Upload, Erkennung, Prüfung, Suche und die Verbindung mit Ihrem KI-Assistenten. Danach wissen Sie genau, was Ihr Team sicher nutzen kann.
Demo planen →