AI en burgerzaken: waarom de BRP niet zomaar een bron is
Kort antwoord
De Basisregistratie Personen bevat gegevens van iedere inwoner, en toegang is per gebruik geautoriseerd. Een AI-assistent die vrij in de BRP kan zoeken, zou die autorisaties omzeilen. Laat AI daarom helpen met procedures, formulieren en vragen van inwoners, en koppel alleen specifieke, geautoriseerde bevragingen aan een automatisering, met een eigen identiteit en volledige logging.
Waarom de BRP anders is
De BRP is een basisregistratie: overheidsorganisaties gebruiken haar voor hun eigen taken, maar alleen voor de gegevens en doelen waarvoor ze zijn geautoriseerd. Het BSN mag alleen worden gebruikt waar dat wettelijk is toegestaan. Binnen een gemeente krijgen medewerkers toegang die past bij hun functie.
Een assistent die op de hele BRP kan zoeken, trekt die grenzen weg: een vraag als "wie woont er op dit adres?" zou dan voor iedere gebruiker beantwoordbaar worden. Dat is precies wat het autorisatiestelsel wil voorkomen.
Wat wel kan
| Toepassing | Toegang tot persoonsgegevens |
|---|---|
| Vragen over procedures, tarieven en benodigde stukken | Geen |
| Werkinstructies en regelgeving doorzoeken voor medewerkers | Geen |
| Brieven en uitleg in begrijpelijke taal | Alleen wat de medewerker zelf invoert |
| Controle van ingediende stukken op volledigheid | De stukken van die aanvraag |
| Een specifieke, geautoriseerde bevraging in een automatisering | Alleen dat gegeven, voor dat doel, gelogd |
Zo richt u het in
- Geen vrije koppeling. De assistent krijgt geen algemene toegang tot de BRP als doorzoekbare bron.
- Automatisering met eigen identiteit. Moet een proces een gegeven raadplegen, dan doet een automatisering dat met een eigen, beperkt geautoriseerd account. Zie Toegangsbeheer voor AI.
- Safeguards op BSN. Blokkeer BSN’s en andere identificerende nummers in vrije invoer, zodat ze niet in prompts belanden waar ze niet nodig zijn.
- Logging en controle. Elke bevraging is herleidbaar tot een persoon of automatisering, en wordt meegenomen in de eigen controle op BRP-gebruik.
- DPIA vooraf. Zie DPIA voor generatieve AI, en neem de toepassing mee in uw beveiligingsverantwoording. Zie AI en informatiebeveiliging.
Hoe werqly hierin past
Met werqly draait de assistent op een eigen node in het netwerk van de gemeente. In werqly AI Control krijgt burgerzaken een eigen rol, blokkeren safeguards BSN’s per rol en draaien automatiseringen met een eigen identiteit. De audit log laat zien wie wat heeft opgevraagd. Zie AI voor gemeenten en overheid.
Veelgestelde vragen
Vragen over dit onderwerp
Mag een AI-assistent in de BRP zoeken?
Niet als vrije bron. Toegang tot de BRP is per gebruik en doel geautoriseerd, en een assistent die de hele registratie kan doorzoeken, omzeilt die grenzen. Een automatisering mag hooguit een specifiek, geautoriseerd gegeven raadplegen, met logging.
Waarmee kan AI burgerzaken wel helpen?
Met vragen over procedures en benodigde stukken, het doorzoeken van werkinstructies en regelgeving, begrijpelijke brieven en het controleren van ingediende stukken op volledigheid. Daarvoor is geen toegang tot de BRP nodig.
Hoe voorkomen we dat BSN’s in prompts belanden?
Met safeguards die BSN’s en andere identificerende nummers herkennen en per rol blokkeren voordat ze een model bereiken, en met een duidelijke instructie aan medewerkers over wat ze wel en niet invoeren.
Is een DPIA nodig?
Bij toepassingen die persoonsgegevens van inwoners verwerken, zeker als ze aan de BRP raken, vrijwel altijd. Leg in de DPIA vast welke gegevens, voor welk doel, met welke autorisatie en welke logging.
Bronnen
Dit artikel is algemene informatie, geen juridisch advies. Regels en richtsnoeren veranderen; controleer bij twijfel de genoemde bronnen of vraag uw jurist of FG.