DPIA, IAMA en grondrechtentoets: één beoordeling voor een gemeentelijke AI-toepassing
Kort antwoord
Een gemeente die AI inzet krijgt met drie beoordelingen te maken. De DPIA is verplicht onder de AVG bij een hoog risico voor personen, en dat is bij AI met persoonsgegevens vrijwel altijd het geval. Het IAMA is het Nederlandse instrument voor mensenrechten en algoritmes. De grondrechteneffectbeoordeling uit artikel 27 van de AI Act wordt vanaf december 2027 verplicht voor overheden die hoog-risico-AI inzetten. Doe ze als één traject: dezelfde feiten, drie invalshoeken.
Drie beoordelingen, één toepassing
| Beoordeling | Grondslag | Wanneer verplicht | Kernvraag |
|---|---|---|---|
| DPIA | AVG artikel 35 | Bij waarschijnlijk hoog risico voor personen; de AP heeft een lijst met verplichte gevallen | Welke persoonsgegevens, welk risico, welke maatregelen? |
| IAMA | Nederlands instrument, in februari 2026 herzien en afgestemd op artikel 27 | Niet wettelijk verplicht, wel de standaard bij de overheid en in het Algoritmekader | Welke mensenrechten raakt het algoritme en is dat gerechtvaardigd? |
| Grondrechtentoets | AI Act artikel 27 | Voor overheden die hoog-risico-AI uit bijlage III inzetten, vanaf 2 december 2027 | Welke grondrechten, welke groepen, welk toezicht, welke maatregelen? |
Artikel 27 zegt zelf dat de grondrechtentoets de DPIA mag aanvullen waar die al overlapt. Het IAMA is precies daarvoor herzien. Zie De EU AI Act in 2026 voor de termijnen.
Als één traject
- Beschrijf de toepassing eerst. Doel, gebruikers, invoer, uitvoer, welke beslissing het beïnvloedt, welke groepen het raakt. Dit deel is gelijk voor alle drie.
- Classificeer. Is het een AI-systeem onder de AI Act, en zo ja, in welke risicoklasse? Een assistent voor verslagen is geen hoog risico; een systeem dat over uitkeringen of vergunningen meebeslist wel.
- Persoonsgegevens. De DPIA-vragen: grondslag, noodzaak, minimalisatie, bewaartermijn, verwerkers, doorgifte. Bij een publieke AI-dienst loopt dit meestal al vast op doorgifte en doelbinding.
- Grondrechten. Gelijke behandeling, privacy, behoorlijk bestuur, toegang tot voorzieningen. Welke groepen worden anders geraakt, en hoe test u dat? Zie Algoritmes toetsen op discriminatie.
- Maatregelen en toezicht. Menselijke controle, logging, klachtroute, evaluatiemoment. Leg vast wie verantwoordelijk is.
- Publiceer. Registreer de toepassing in het algoritmeregister met een verwijzing naar de beoordeling. Zie Het algoritmeregister vullen.
Veelgemaakte fouten
- De beoordeling na de aanschaf. Dan is elk risico een probleem van de leverancier geworden. Doe de beoordeling in de aanbesteding.
- Eén keer en klaar. Een nieuw model of een nieuwe bron is een nieuwe beoordeling. Plan een jaarlijkse herziening.
- Het model beoordelen in plaats van de toepassing. Hetzelfde model is laag risico voor notulen en hoog risico voor een besluit over bijstand.
- Geen betrokkenen gehoord. Het IAMA vraagt om het perspectief van wie het raakt. Een cliëntenraad of ombudsman levert vaak de scherpste vragen.
Hoe werqly hierin past
Een eigen omgeving maakt de DPIA korter: geen doorgifte, geen leverancier die modellen traint op uw gegevens, toegang per rol en een auditlog dat de maatregelen aantoonbaar maakt. Voor de grondrechtentoets levert werqly AI Control de feiten: welke modellen, welke bronnen, welke rollen, welk gebruik. Zie AI voor gemeenten.
Veelgestelde vragen
Vragen over dit onderwerp
Is een DPIA verplicht voor elke AI-toepassing?
Bij een waarschijnlijk hoog risico voor personen wel, en met persoonsgegevens in AI is dat vrijwel altijd het geval. De Autoriteit Persoonsgegevens publiceert een lijst met verwerkingen waarvoor een DPIA altijd verplicht is.
Wat is het verschil tussen IAMA en de grondrechtentoets uit de AI Act?
Het IAMA is een Nederlands instrument dat breder kijkt en niet wettelijk verplicht is. De grondrechteneffectbeoordeling uit artikel 27 is een wettelijke plicht voor overheden die hoog-risico-AI inzetten. Het IAMA is in 2026 herzien zodat het aan artikel 27 voldoet.
Vanaf wanneer geldt artikel 27?
Voor hoog-risico-AI uit bijlage III vanaf 2 december 2027, na de verschuiving door de Digital Omnibus. De beoordeling moet klaar zijn vóór het eerste gebruik.
Moet een tekstassistent voor notulen ook door een IAMA?
Een DPIA wel, als er persoonsgegevens in de notulen staan. Een volledig IAMA is bedoeld voor algoritmes die besluiten beïnvloeden; voor een assistent volstaat meestal een korte toets en een vermelding in het register.
Bronnen
- Rijksoverheid — Impact Assessment Mensenrechten en Algoritmes (februari 2026)
- Algoritmekader — AIA-27: gevolgen voor grondrechten beoordelen
Dit artikel is algemene informatie, geen juridisch advies. Regels en richtsnoeren veranderen; controleer bij twijfel de genoemde bronnen of vraag uw jurist of FG.