Raadsinformatiebrief.pdf

Raadsinformatiebrief

Behandeld door

De leden van de gemeenteraad van Amsterdam 5 maart 2025 ICT en Digitale Stad Alexander Scholtes Cluster DII (bestuurszaken.dii@amsterdam.nl)

Onderwerp

Afdoen toezegging over Microsoft Copilot

Aan: Datum Portefeuille(s) Portefeuillehouder(s):

Geachte leden van de gemeenteraad, In de vergadering van de raadscommissie Financiën, Diversiteit en Kunst van 27 februari 2025 heeft wethouder Meliani namens mij toegezegd dat ik u nader informeer over een nieuwsbericht dat de VNG op 24 februari heeft gepubliceerd over Microsoft Copilot. De strekking van het artikel is dat veel gemeenten het gebruik van Copilot heroverwegen. Copilot is generatieve AI die gebruikers kan ondersteunen bij taken zoals het schrijven van teksten en genereren van samenvattingen. Ook kan de tool snel informatie ophalen uit grote hoeveelheden interne documenten. Dit is mogelijk doordat het geïntegreerd is in bestaande Microsoft-software zoals Word, Excel, Outlook en Teams. Copilot gebruikt interne gegevens, opgeslagen in SharePoint, OneDrive en Exchange Online en kan toegang verkrijgen tot informatie over kalenders, e-mails, chats, contacten en afspraken. Copilot genereert antwoorden op basis van OpenAI’s Large Language Model (LLM). Er zijn meerdere versies van Copilot, ontwikkeld door Microsoft. We schrijven hier over Microsoft 365 Copilot, die na implementatie toegang zou hebben tot de hierboven omschreven interne gegevens. In het genoemde artikel1 beschrijft de VNG dat gemeenten de inzet van Microsoft Copilot heroverwegen door gerezen privacyproblemen.

In de oorspronkelijke tekst van het bericht, dat door meerdere media is overgenomen, wordt de gemeente Amsterdam aangehaald als voorbeeld van een gemeente die gestopt is met een proef met Microsoft Copilot. Die formulering is ongelukkig, omdat het kan suggereren dat er sprake was van een lopende proef met het gebruik van Copilot die we nu stopgezet zouden hebben. Dat is niet het geval: we zijn als gemeente nooit begonnen met een proef. Wel hebben we dit overwogen. Inmiddels heeft de VNG het artikel aangepast. De gemeente maakte deel uit van het zogeheten early access program van Microsoft Copilot. Dat betekent dat we -met maximaal 300 gebruikers- Copilot mochten uitproberen voordat het algemeen beschikbaar werd gesteld op de markt door Microsoft. Door met Microsoft te werken kunnen we contractuele afspraken maken over het gebruik van onze data, dit is een voordeel op bijvoorbeeld gebruik maken van de gratis versies van ChatGPT, waarbij we helemaal geen 1 Gemeenten heroverwegen inzet Microsoft Copilot | VNG

Gemeente Amsterdam, raadsinformatiebrief

Datum 5 maart 2025 Pagina 2 van 3

zeggenschap hebben over de opgevoerde data. Met dat gegeven zijn we ons begin 2024 gaan verdiepen in Copilot en gaan nadenken of en hoe we een dergelijke proef zouden kunnen inrichten. We kwamen erop uit dat we wilden onderzoeken wat de mogelijke toegevoegde waarde van Copilot als generatieve AI-oplossing voor de organisatie kon zijn. Tot een daadwerkelijke uitvoering van de proef is het niet gekomen. We zijn in april 2024 gestopt met het voorbereiden van de proef. Na het toetsen op complianceaspecten als data, ethiek en privacy ontstonden twijfels. Ook bij het Rijk waren er twijfels. Het Rijk heeft daarop besloten een DPIA (wettelijk voorgeschreven privacy-analyse) te laten uitvoeren en wij hebben besloten de uitkomsten hiervan af te wachten. Inmiddels zijn de resultaten van de DPIA bekend. Er zijn 4 privacyrisico’s in de categorie ‘hoog’ naar voren gekomen. Op hoofdlijnen komen die hierop neer: • Het is complex om een inzageverzoek van een burger overzichtelijk en volledig af te handelen. Een inzageverzoek is een verzoek, waarin een burger aan ons vraagt welke persoonsgegevens wij over hem/haar hebben geregistreerd. Omdat CoPilot extra persoonsgegevens verwerkt moeten we voldoen aan deze verplichting vanuit de AVG. • Het onderliggende taalmodel is getraind om geloofwaardige teksten te generen en niet per se om correcte en gecontroleerde teksten te creëren.

• Er is een gebrek aan transparantie over het gebruik van telemetriegegevens (technische prestatie- en gebruiksgegevens) door Microsoft. • Er is onduidelijkheid over de bewaartermijnen en de pseudonimisatie van gegevens. Pseudonimisatie is een beveiligingsmaatregel waarbij gegevens zo bewaard worden dat ze niet direct tot een persoon te herleiden zijn. Het langdurig bewaren van (steeds meer) gepseudonimiseerde gegevens verhoogt ook de kans op re-identificatie, omdat de dataset steeds groter wordt. Als gegevens ge re-identificeerd worden zijn de mensen weer direct herleidbaar en zijn de privacyrisico's groter. Dit zijn risico’s waarvoor met name Microsoft passende maatregelen moet treffen. Microsoft heeft in een reactie aan het Rijk aangegeven dat ze deze risico's in april 2025 opgelost willen hebben. We wachten vooralsnog de stappen die het Rijk samen met Microsoft zet af. Zolang er niet (aantoonbaar) passende maatregelen getroffen zijn, gaan we Copilot niet gebruiken (noch regulier noch in een pilot).

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 5 maart 2025 Pagina 3 van 3

In de Amsterdamse Visie op AI hebben we leidende principes opgesteld hoe om te gaan met A I. We zetten M365 Copilot niet zomaar aan voor elke ambtenaar als de problemen uit de DPIA zijn opgelost. Deze (betaalde) versie van Copilot leest immers de data van de gemeente Amsterdam We maken hier situationeel een afweging hoe dit ingebed zou kunnen worden in onze werkprocessen en wat de kosten en opbrengsten zijn. Daarna zal, zoals gebruikelijk, ook altijd nog het Quality Assurance Acceptatiecriteria proces moeten worden doorlopen. Als het als hoog-risico algoritme c.q. AI-systeem wordt geclassificeerd, dan zal het college er een besluit over nemen. Over die besluiten rapporteert het college halfjaarlijks aan de raad. Ik hoop u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl