3.5 - AI-beleid ABG-organisatie

AI-beleid ABG-organisatie Werkzaam voor de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen

Vastgesteld op: 12 november 2024

Auteur Abbasin Wardak – gegevenscoördinator ABG-organisatie Versiebeheer Versie Status 1.0 Definitief 2.0 Definitief

Classificatie Classificatie X

Wijziging Hoofdstukken 2.5, hoofdstuk 3.1 alinea ‘laag risico’, hoofdstuk 3.2 tweede alinea en hoofdstuk 6.2.

Niveau Openbaar Intern Vertrouwelijk Geheim

Laatste goedkeuring Naam

Datum

ABG Organisatie, AI-beleid. Zaaknummer 1076549

Paraaf

Inhoudsopgave 1.

DEFINITIES EN AFKORTINGEN ................................................................................................. 3

2.

INLEIDING ................................................................................................................................. 4 2.1. 2.2. 2.3. 2.4. 2.5.

3.

AANLEIDING & CONTEXT ........................................................................................................ 4 DOEL ................................................................................................................................... 4 SCOPE ................................................................................................................................. 4 GELDIGHEID EN HERZIENING ................................................................................................... 4 UITGANGSPUNTEN BELEID ...................................................................................................... 5

ALGEMEEN BELEID ................................................................................................................... 6 3.1. RISICOCLASSIFICATIE ............................................................................................................. 6 3.2. RANDVOORWAARDEN GEBRUIK AI ........................................................................................... 7 3.2. ZAKELIJK GEBRUIK AI ................................................................................................................. 7 3.3. NALEVING VAN NORMEN, WETTEN EN VOORSCHRIFTEN .................................................................. 7

4.

AI ETHIEK ................................................................................................................................. 9 4.1 EERLIJKHEID EN NON-DISCRIMINATIE ............................................................................................ 9 4.2 TRANSPARANTIE EN INTERPRETATIE .............................................................................................. 9 4.3 ALGORITMEREGISTER .................................................................................................................. 9 4.4 MENSELIJKE OORDEEL BIJ BESLUITEN ............................................................................................ 9

5.

BEVEILIGING VAN AI .............................................................................................................. 10 5.1 BEHEER VAN GEBRUIKERSTOEGANG ............................................................................................. 10 5.2 UPDATE EN PATCHING VAN AI-SYSTEMEN ................................................................................... 10 5.3 MELDING EN BEHEER VAN INCIDENTEN ........................................................................................ 10

6.

AI GELETTERDHEID & AI-GEDRAGSCODE ............................................................................. 11 6.1 AI-GELETTERDHEID................................................................................................................... 11 6.2 AI-GEDRAGSCODE .................................................................................................................... 11

BIJLAGE I ........................................................................................................................................ 12

ABG Organisatie, AI-beleid. Zaaknummer 1076549

1. Definities en afkortingen Definities & Afkortingen Traditionele AI

Generatieve AI

Gecontracteerde AI

Functionaris Gegevensbescherming (FG) Privacy officer (PO)

Chief Information Security Officer (CISO) Algoritmeregister

AI-ACT/verordening Network and Information Security 2 (NIS2) Impact Assessment Mensenrechten (IAMA) Data Protection Impact Assessment (DPIA) Social scoring Predictive policing Patches

ABG Organisatie, AI-beleid. Zaaknummer 1076549

Kunstmatige intelligentie die dezelfde handeling, op basis van een zelflerend algoritme, steeds slimmer en efficiënter kan uitvoeren. Een voorbeeld hiervan is een schaakcomputer. Kunstmatige intelligentie die op basis van een zelflerend algoritme, nieuwe handelingen kan creëren/genereren. Voorbeelden hiervan zijn, chatbots, muziek- en videogenererende AI. Kunstmatige intelligentie waar een contractuele relatie ten grondslag ligt met verplichtingen en verantwoordelijkheden. Vaak ingekocht i.v.m. een specifieke taak of dienst. De FG houdt intern toezicht op de naleving van de AVG en andere privacy wet- en regelgeving. De FG adviseert en rapporteert aan het hoogste niveau van de organisatie. De PO is betrokken bij het actualiseren en bewaken van het privacy-beleid binnen de organisatie. De PO adviseert tevens over de procedures en werkprocessen. De CISO adviseert de organisatie over en ziet toe op de informatiebeveiliging en relevante bijbehorende maatregelen. Centraal publiekelijk algoritmeregister van de Nederlandse overheid waarin gemeenten (impactvolle) algoritmes kunnen registeren. Europese verordening met regelgeving over kunstmatige intelligentie. NIS2: EU-brede richtlijn op het gebied van cyber- en informatiebeveiliging Toetsingsinstrument met afwegingskaders om algoritmes verantwoord in te kunnen zetten.

Een instrument om vooraf de privacy-risico’s van een gegevensverwerking in kaart te brengen, waarna maatregelen getroffen kunnen worden. Het geautomatiseerd bijhouden van een puntentelling om sociaal gedrag te beoordelen, zoals dat in China wel gebeurt Het voorspellen van strafbare feiten van personen op basis van data. Stukje software van ICT-leveranciers waarmee problemen aan systemen verholpen worden of nieuwe functies toegevoegd worden.

2. Inleiding 2.1. Aanleiding & context Artificiële intelligentie (AI) heeft in de afgelopen jaren enorme impact gehad op alle sectoren en domeinen van onze samenleving. Met de opkomst van generatieve AI-toepassingen (GenAI) is de impact overgeslagen van het bedrijfsleven naar het dagelijkse leven van veel van onze inwoners en medewerkers. Deze impact creëert kansen en risico’s voor alle beleidsterreinen van de overheid en onze gemeenten. Daarnaast digitaliseert en innoveert de samenleving in een razendsnel tempo. Onze inwoners en bedrijven verwachten op dit vlak steeds meer van de gemeenten. De ABG-organisatie is een lerende organisatie die voor de verbetering van de dienstverlening openstaat voor nieuwe technologieën, mits we ons bewust blijven van de mogelijke risico’s. Dit beleidsdocument biedt wendbare kaders om op een verantwoorde, veilige en ethische manier het effectief gebruik van AI te ondersteunen en stimuleren. Dit borgen we door te investeren in AI-geletterdheid en onze AI-gedragscode, zie hoofdstuk 6.1. AI-geletterdheid & hoofdstuk 6.2. AI-gedragscode.

2.2. Doel Het doel van het beleid is om een wendbaar kader te creëren waarmee op een veilig, verantwoord en ethisch manier effectief gebruik gemaakt kan worden van AI, waarbij ruimte is voor innovatie en aandacht voor de risico’s. Hiermee willen we realiseren: 1. 2. 3. 4.

Een verbetering van onze dienstverlening aan onze inwoners. De bedrijfsvoering binnen de ABG-organisatie te versterken. Het verhogen van kennis, vaardigheden en bewustwording van AI bij onze collega’s. Individuele privacy- en mensenrechten te respecteren.

2.3. Scope In dit beleid wordt met AI bedoeld: alle AI-systemen en AI-hulpmiddelen die op de markt te verkrijgen zijn. Zoals, maar niet beperkt tot: - Traditionele AI - Generatieve AI. Dit beleid is van toepassing op: - De gehele ABG-organisatie en de colleges van burgemeesters en wethouders van Alphen-Chaam, Baarle-Nassau en Gilze en Rijen, inclusief de Griffie. - Alle AI-systemen en AI-hulpmiddelen die binnen de gemeente worden gebruikt.

2.4. Geldigheid en herziening Dit beleidsdocument wordt vastgesteld door de directie van de ABG-organisatie. Jaarlijks wordt het beleid geëvalueerd door de afdeling I3. Bij substantiële wijzigingen op de kaders, wordt het beleid opnieuw vastgesteld. Over het gewijzigde beleid wordt gecommuniceerd. De proceseigenaar is de manager van de afdeling I3, deze ziet toe dat de evaluatie wordt uitgevoerd. ABG Organisatie, AI-beleid. Zaaknummer 1076549

2.5. Uitgangspunten beleid Het beleid is afgestemd op landelijke en Europese wet- en regelgeving zoals de Algemene Verordening Gegevensbescherming (AVG), Auteurswet en de AI-verordening (AI ACT) van de EU. Voor de AI-verordening geldt dat deze wetgeving gefaseerd wordt ingevoerd. Zie paragraaf 3.3. Naleving van normen, wetten en voorschriften. Daarnaast geldt voor het gebruik van AI minimaal de bepalingen uit dit beleidsstuk de algemene bepalingen m.b.t. integriteit van de ABG-gedragscode en specifiek de AI-gedragscode.

ABG Organisatie, AI-beleid. Zaaknummer 1076549

3. Algemeen beleid 3.1. Risicoclassificatie De ABG-organisatie hanteert conform de AI ACT een risico gebaseerde aanpak. Hierbij worden AI-systemen ingedeeld in drie verschillende risicocategorieën. Het uitgangspunt is, hoe groter het risico, des te strenger de geldende regels. De categorieën zijn: 1. Onacceptabel risico: Deze AI-systemen zijn in strijd met de EU-waarden omdat ze fundamentele rechten schenden en daarom verboden. Voorbeelden van deze AItoepassingen zijn systemen die: a. Manipuleren of misleiden; b. ‘Social scoring’ verrichten op basis van sociaal gedrag of persoonlijke kenmerken, c. ‘Predictive policing’ om strafbare feiten bij mensen te voorspellen; d. Emotieherkenning op de werkvloer of onderwijs e. Personen biometrisch categoriseren op basis van fysieke- en/of gedragskenmerken; f. Het creëren of uitbreiden van een databank voor gezichtsherkenningen g. Het biometrische identificeren op afstand in publieke ruimten voor rechtshandhaving. Hierop zijn 3 uitzonderingen van toepassing: 1) identificatie van vermiste of ontvoerde personen, voorkomen van ernstige bedreigingen, zoals een terroristische aanval en 3) identificatie en opsporing van criminelen. 2. Hoog risico: Deze risicocategorie kent de meeste verplichtingen en regulaties. Het zijn systemen met een hoog risico op het vlak van veiligheid, gezondheid of fundamentele rechten van personen.

Een AI-systeem krijgt deze classificatie in de volgende situaties a. Het AI-systeem onderdeel is van een veiligheidsproduct of zelf als product onder de EU harmonisatie wetgeving valt (AI ACT bijlage I). Bijvoorbeeld geharmoniseerde EU-regels over burgerluchtvaart, voertuigbeveiliging of medisch apparatuur. b. Het AI-systeem onderdeel is van een veiligheidsproduct of zelf als product volgens de EU-wetgeving een conformiteitsbeoordeling door een derde partij moet ondergaan voor het op de markt uitgebracht of in gebruik genomen mag worden (AI ACT bijlage I). c. Het AI-systeem opereert in een gevoelige sector en vermeld wordt in bijlage I. Bijvoorbeeld een systeem die invloed heeft op kritieke infrastructuur zoals elektra en water en essentiële diensten, zoals het verstrekken van uitkeringen. 3. Laag risico: de meerderheid van AI-systemen valt in deze categorie. Het betreft zowel ‘traditionele’ AI-systemen, zoals een spamfilter in de mailbox, maar ook Generatieve AI valt onder deze categorie, zoals ChatGPT, Microsoft Copilot, chatbots op websites en bijvoorbeeld afbeelding genererende AI. Bij het gebruik van deze systemen moet de organisatie transparant zijn. Inwoners en bedrijven moeten worden geïnformeerd over het gebruik van AI-systemen in de geleverde dienstverlening. De AI-verordening spreekt ook over AI-systemen voor algemene doeleinden.

Dit zijn systemen die breed inzetbaar zijn voor verschillende doelen. ChatGPT is hier een voorbeeld van, omdat het bijvoorbeeld teksten, afbeeldingen, documenten en code kan genereren. Afhankelijk ABG Organisatie, AI-beleid. Zaaknummer 1076549

van hoe het ingezet wordt, kunnen deze systemen in sommige gevallen dus ook onder hoog risico vallen.

3.2. Randvoorwaarden gebruik AI Algemene randvoorwaarden Bij de aanschaf en/of gebruik van alle AI dient het reguliere proces ‘projectmatig werken’ doorlopen te worden. Aan dit proces worden een toetsing en advisering door de PO en de CISO toegevoegd zodat de risico-classificatie kan worden bepaald. Deze toetsing betreft een Data Privacy Impact Analyse (DPIA). Hierbij wordt gekeken naar de conformering van de AVG-wetgeving. Indien nodig wordt een Impact Assessment Mensenrechten en Algoritmes (IAMA) uitgevoerd. Dit is een analyse naar de werking, het gebruik van het algoritme en het waarborgen van mensenrechten. Bij de uitvoering van een IAMA dient hetzelfde proces als met een DPIA gevolgd te worden. De proceseigenaar is verantwoordelijk voor de uitvoering hiervan en dient hierbij ondersteuning en advisering te vragen bij de FG, PO en CISO. Het uitgangspunt is niet AI-toepassingen te verbieden, maar mee te kijken naar de mogelijkheden voor het veilig gebruik ervan. Dit betekent dat het ook mogelijk is om binnen één systeem sommige functionaliteiten en toepassingen wel toe te staan en andere niet. Dit is vooral aan de orde bij AI voor algemene doeleinden, vaak generatieve AI zoals ChatGPT en Microsoft Copilot. Deze systemen kunnen voor veel doeleinden en toepassingen worden ingezet. Hierdoor is voorlopig één integrale risicoanalyse zeer complex of niet mogelijk.

De specifieke toepassing is daarom leidend voor de risicobeoordeling. Zo kan Microsoft Copilot worden gebruikt voor een zoekopdracht, wat als een laag-risico toepassing kan worden geclassificeerd en toegestaan. Het gebruik voor bijvoorbeeld het nemen van besluiten na het analyseren van bezwaarschriften zou echter als een hoog-risico toepassing geclassificeerd kunnen worden en daarom verboden zijn. Een lijst van toegestane AI-systemen en toepassingen worden op het intranet gepubliceerd.

3.3. Zakelijk gebruik AI AI-systemen mogen uitsluitend onder een organisatie-account worden gebruikt. Het is dus niet toegestaan om zakelijke informatie via een privé-account te delen met AI-systemen zoals ChatGPT en Microsoft Copilot.

3.4. Naleving van normen, wetten en voorschriften Het gebruik van AI moet volledig voldoen aan alle normen, wetten en voorschriften. Dit omvat in ieder geval: - De privacywetgeving, zoals de Algemene Verordening Gegevensbescherming (AVG). - Interne privacy voorschriften (zoals het privacybeleid). - Wet- en regelgeving voor informatiebeveiliging (zoals de Baseline Informatiebeveiliging Overheid en NIS2). - De AI-verordening van de Europese Unie. Verder moeten alle AI-systemen die door de gemeente worden gebruikt in overeenstemming zijn met internationale mensenrechtennormen en sociale waarden. Het uitgangspunt is bij het gebruiken van AI-systemen zonder bronvermelding, extra zorgvuldig te zijn bij het overnemen ABG Organisatie, AI-beleid. Zaaknummer 1076549

van gegenereerde adviezen of teksten. Daar deze resultaten en uitgangspunten (nog) lastiger te toetsen zijn aan bovengenoemde normen, wetten en voorschriften.

ABG Organisatie, AI-beleid. Zaaknummer 1076549

4. AI Ethiek 4.1 Eerlijkheid en non-discriminatie De gemeente streeft ernaar om AI-systemen op een eerlijke manier te gebruiken waarbij enige discriminerende impact van het algoritme wordt geminimaliseerd of niet langer bestaat. Het is van belang dat AI-systemen geen vooroordelen vertonen en alle inwoners eerlijk en gelijkwaardig behandelen.

4.2 Transparantie en interpretatie De gemeente en haar medewerkers zijn transparant over het gebruik van AI. De rol die AI heeft gespeeld in besluitvormingsprocessen is vastgelegd en inzichtelijk. Inwoners hebben het recht om te begrijpen hoe en waarom bepaalde beslissingen worden genomen met behulp van AI.

4.3 Algoritmeregister Hoog-risico algoritmen en AI-systemen worden per gemeente geregistreerd in het landelijke algoritme-register van de overheid. Dit register is te raadplegen via https://algoritmes.overheid.nl/nl/algoritme.

4.4 Menselijke oordeel bij besluiten AI is een hulpmiddel om beslissingen te ondersteunen, maar geen vervanging van het professioneel oordeel van de medewerkers. Medewerkers moeten te alle tijde kritisch zijn op door AI gegenereerde adviezen en beslissingen. Adviezen en beslissingen moeten dus altijd worden nagekeken, zodat de menselijke maat- en vakinhoudelijke oordeelsvorming is geborgd.

ABG Organisatie, AI-beleid. Zaaknummer 1076549

5. Beveiliging van AI 5.1 Beheer van gebruikerstoegang Toegang tot AI-systemen wordt, indien mogelijk, beheerd door een functioneel beheerder. Gebruikers kunnen toegang vragen op basis van hun functie/rol en het principe van minimale benodigde toegang. Bij de aanmelding wordt ook vermeld met welk doel het AIsysteem/hulpmiddel gebruikt gaat worden. Het delen van accounts is niet toegestaan.

5.2 Update en patching van AI-systemen De AI-systemen moeten worden onderhouden en bijgewerkt om de beveiliging en effectiviteit te waarborgen. Dit omvat het implementeren van patches en updates die door AIleveranciers worden verstrekt. We hanteren het bestaande patch en update-beleid van Equalit.

5.3 Melding en beheer van incidenten In het geval van AI-gerelateerde beveiligingsincidenten, hanteren wij het vigerende ABGprotocol melding datalekken en beveiligingsincidenten.

ABG Organisatie, AI-beleid. Zaaknummer 1076549

6. AI geletterdheid & AI-gedragscode 6.1 AI-geletterdheid Om de AI-geletterdheid en bewustwording onder medewerkers te verhogen, ontvangen alle medewerkers informatie en trainingen over het werken met AI. Hiermee willen we het effectief gebruik op een veilig, verantwoord en ethische manier borgen. Dit doen we door middel van: -

Trainingen en workshops, georganiseerd vanuit de cluster Gegevensmanagement E-learnings Webinars Nieuwsbrieven op intranet door CISO/FG/PO.

6.2 AI-gedragscode De meeste uitgangspunten en regels voor het gebruik van AI zijn afkomstig van bestaande wetgeving en richtlijnen, zoals de AVG-wetgeving en de ABG-gedragscode. Ambtenaren ondertekenen bij indiensttreding tevens een integriteitsverklaring. Voor AI gelden minimaal dezelfde regels en richtlijnen als voor het gebruik van het internet, Google of social media. Specifieke aanvullende AI-richtlijnen zijn opgenomen in hoofdstuk 4. AI ethiek. Om de bewustwording te verhogen, het veilige en ethische gebruik van AI te borgen, is daarnaast een separaat AI-gedragscode ontwikkeld. Deze gedragscode maakt onderdeel uit van de integrale gedragscode van de ABG-organisatie en wordt tevens opgenomen in het personeelshandboek.

ABG Organisatie, AI-beleid. Zaaknummer 1076549

Bijlage I Hoog risico AI-systemen die in gevoelige sectoren opereren en opgenomen zijn in bijlage III van de AI ACT: ▪ ▪ ▪ ▪ ▪ ▪ ▪

Kritieke infrastructuur, zoals water, gas of vervoer. Onderwijs of beroepsopleiding. Bijvoorbeeld het scoren van examens met groot invloed op de toekomst van een persoon. Werkgelegenheid, beheer van werknemers en toegang tot zelfstandig onderwijs. Bijvoorbeeld het sorteren en beoordelen van cv’s. Essentiële particuliere en openbare diensten. Systemen die bijvoorbeeld beoordelen of iemand een uitkering of lening verkrijgt. Rechtsbedeling en democratische processen. Bijvoorbeeld het ondersteunen en beoordelen van rechterlijke uitspraken. Migratie, asiel en grenscontrolebeheer. Bijvoorbeeld geautomatiseerd visumaanvragen afhandelen. Wetshandhaving met risico op inbreuk van grondrechten. Bijvoorbeeld het beoordelen van de betrouwbaarheid van bewijsmateriaal.

ABG Organisatie, AI-beleid. Zaaknummer 1076549