2.3 2024.03.05 Notulen Dordtse Dinsdag - Vergaderzaal 1 - concept .pdf

VERSLAG VAN DE OPENBARE VERGADERING VAN DE GEMEENTE DORDRECHT DORDTSE DINSDAG D.D. 5 MAART 2024 Vergaderzaal 1 1. Kennissessie Informatiebeveiliging en Privacy Voorzitter: Mevrouw Kruger Raadsgriffier: Mevrouw Vermeulen Verslag: NotuBiz Aanwezig: Dhr. Bootsman (GroenLinks) Dhr. Groenewege (Partij voor de Dieren) Mevr. Lammens-Oostdijk (VVD) Dhr. Struijk (CU/SGP) Dhr. Uysal (GroenLinks) Dhr. Wringer (Beter Voor Dordt) Ambtelijke ondersteuning: mevr. Van Gent, dhr. Brabander, dhr. Baaten De voorzitter: Goedemiddag allemaal. Goedemiddag Nick Bootsman. Mijnheer Bootsman, goedemiddag. Goedemiddag. Het lukt wel uiteindelijk. Dank voor uw allen aanwezigheid. Het is een beetje veel mannenbijeenkomst, maar oké, vooruit. Misschien komen er nog anderen, want het is natuurlijk altijd toch wel een beetje worstelen met werk en hierheen komen en dat soort dingen. Welkom bij de kennissessie Informatiebeveiliging en Privacy. Voor het verslag vraag ik eventjes of de raadsleden en commissieleden hun naam willen zeggen. De heer Wringer: Jan-Willem Wringer, Beter voor Dordt. De heer Uysal: Abdullah Uysal, GroenLinks Dordrecht. De heer Bootsman: Nick Bootsman, GroenLinks Dordrecht. De heer Struijk: Leen Struijk, ChristenUnie/SGP. De heer Groenewege: Pieter Groenewege, Partij voor de Dieren. De voorzitter: Naast mij de griffier. Mevrouw Vermeulen: Commissiegriffier.

De voorzitter: Commissiegriffier, neem me niet kwalijk. En kunt u zich ook alstublieft voorstellen?

1

Mevrouw Van Gent: Andrea van Gent, adviseur informatiebeveiliging van gemeente Dordrecht. De heer Brabander: En ik ben Sander Brabander, Chief Data Officer vanuit Dordrecht voor de Drechtsteden. Voor stad en regio. De heer Baaten: En mijn naam is Hans Baaten. Ik ben Chief Information Security Officer voor de Drechtsteden. De voorzitter: Dank u wel. En ook nog verdere andere geïnteresseerden, welkom. De raad heeft ingestemd met het agenderingsverzoek van de griffie voor een kennissessie over democratie data algoritmes en privacy. Grote onderwerpen die we vandaag in vogelvlucht beschouwen. En dan hebben we het over de toeslagenaffaire tot het ene algoritme dat door de gemeente wordt gebruikt. Uiteraard gaat het ook over de rol van de raad en over wat elk raadslid zelf moet doen om alert en veilig te werken. Ik denk dat het goed is, als u een presentatie heeft gegeven, dat er achteraf vragen komen of mogen er tussendoor vragen gesteld worden? Tussendoor mogen er vragen gesteld worden. Dat is mooi. En het programma bestaat uit drie onderdelen. En aan het einde is er een soort van apparaten hulp. Dan kunt u nog vragen stellen aan de aanwezigen, hoe met u uw iPad om kunt gaan. Ik sta als eerste in de rij. Even kijken hoor. Dan wil ik nu het woord geven aan mevrouw Van Gent. Gaat uw gang. Mevrouw Van Gent: Helemaal goed. Ik heb een presentatie.

En ik kan alleen zelf nu niet zien, als ik niet sta, bij welke sheet hij... Ik kan het daar zien. Helemaal goed. En dan kan ik hem zelf doorklikken? Top. Dank je wel. Even kijken of het werkt. Ja. Hartstikke goed. Even voorstellen. Mijn naam is Andrea van Gent. Ik ben twee jaar geleden in gemeente Dordrecht komen wonen en werken. Mijn functie is adviseur informatiebeveiliging. En ik doe eigenlijk alles op het gebied van veilig digitaal werken. Ik ben hier samen met mijn collega Sander Brabander. Die gaat zich straks zelf ook voorstellen. Hij doet het tweede deel van de presentatie. De agenda is in het kort als volgt. Ik ga eerst een deel vertellen over informatiebeveiliging en het versterken van de lokale democratie in een steeds verder digitaliserende wereld. Daarna gaat mijn collega Sander vertellen over kunstmatige intelligentie, algoritmes en ethische dilemma's. Daarna doe ik nog een kort stuk over de beveiliging van de iPad waar jullie mee werken. En daarna zijn wij nog beschikbaar voor vragen over de iPad of de beveiliging daarvan of andere vragen. Als jullie nog iets willen weten of vertellen, dan is daar alle ruimte voor. Versterken van de lokale democratie in de digitale wereld. Zo heb ik mijn presentatie genoemd.

Ik denk dat de meeste mensen die actief zijn in de politiek, of dat lokaal is of landelijk of misschien wel in nog groter verband, wel bekend zijn met de constante schreeuw dat de democratie onder druk staat door digitalisering. Dat het allemaal een crisis is. En hoe moeten we er toch allemaal mee omgaan. Ik denk ons allen wel bekend. Waar komt dat vandaan? En hoe actueel is dat? En hoe raakt dat ons als lokale gemeente? De digitalisering van het maatschappelijk leven krijgt steeds verder vorm. En inmiddels bijna alle vlakken van het maatschappelijk leven worden op een bepaalde manier geraakt door digitalisering. We winkelen online. We maken afspraken online. We doen onze belastingaangiftes online.

2

Er is eigenlijk nog maar weinig waarvoor je echt ergens naartoe moet. En dat gaat eigenlijk steeds verder. En nog steeds in een steeds verder toenemend tempo dat de ontwikkelingen elkaar opvolgen. Dat is natuurlijk best wel een dingetje voor overheden, want wij moeten steeds mee gaan in nieuwe ontwikkelingen. Bijvoorbeeld op het gebied van informatiebeveiliging moeten wij constant bij blijven en onszelf wapenen tegen allerlei veranderingen die plaatsvinden. Maar ook voor burgers is het best wel ingewikkeld om grip te houden op alles wat er digitaal gebeurt. En dat is lastig. Je kan je grip verliezen. Bijvoorbeeld de gemeente heeft ontzettend veel data in huis. Wat doen we er allemaal mee? Wat willen we er allemaal mee? Wat gebeurt er? Weten we eigenlijk wel wat er gebeurt? Hebben we die controle nog? En wat ook speelt, is de macht van Big Data en Big Tech, zoals ik dat hier heb genoemd. En wat ik daar eigenlijk mee bedoel, is dat de digitale wereld eigenlijk steeds complexer wordt, waardoor het best wel lastig is om lokaal je expertise in huis te houden. Want kennis is duur en schaars, waardoor je eigenlijk steeds meer, en dat geldt niet alleen voor gemeentes hoor, maar ook voor het bedrijfsleven, dat je steeds verder gaat leunen op grote ITbedrijven die jou heel veel uit handen nemen en het allemaal voor jou regelen. Dat is natuurlijk supermooi.

Maar wij als gemeente zijn verantwoordelijk dat we onze zaken op orde hebben, ook als we dingen uitbesteden. Voor data geldt hetzelfde. Het is heel mooi dat je heel veel dingen met data kan en dat je data gaat binnenhalen en dat je daar van alles mee wilt en dat je daarmee gaat experimenteren. Maar dat je nog steeds ethisch bezig bent en nog steeds je burger dient, dat is de verantwoordelijkheid van jou als gemeente, ook even los van wat jouw leverancier allemaal gaat doen. Als je dat even op een rijtje zet, dan kan je je voorstellen dat... Burgers die niet meer mee kunnen komen in een digitale wereld is een bedreiging voor de democratie, want we willen dat iedereen participeert. Maar ook dat wij als gemeente een betrouwbare partij zijn, is gewoon van fundamenteel belang voor de lokale democratie. Daar wil ik het graag met jullie over hebben. Ik ga dat doen aan de hand van een aantal casussen en een aantal voorbeelden. En daarna ga ik proberen om voor jullie een soort voorzetje te doen van, waar kan je aan denken? Hoe kan je je rol pakken als gemeenteraadslid om hier iets mee te doen? De casus die ik heb uitgewerkt is de Brexit casus. Ik denk dat de meesten van jullie die nog wel weten, in 2016 Brexit referendum in Engeland.

En aan de hand van het Brexit referendum heeft de Engelse privacywaakhond, wat bij ons eigenlijk Autoriteit Persoonsgegevens is, maar dan die van Engeland, ik weet niet meer hoe ze heten, hebben een zeer uitgebreid onderzoek gedaan naar de invloed van sociale media en beïnvloeding op de uitslag van dat Brexit referendum. Daar hebben ze heel veel tijd en geld ingestoken. En er zijn eigenlijk een aantal hele interessante inzichten uitgekomen. En een voorbeeld daarvan is het dorpje Ebbw Vale. Ik spreek het zeer waarschijnlijk niet goed uit, want het is Wales, maar dat is het beste wat ik van kan maken. Daar hou ik het even bij. Het is een dorpje in Wales, waar eigenlijk van oudsher heel veel mijnbouw heeft plaatsgevonden. Waar heel veel mensen ook werkten in de mijnen en waar de Europese Unie echt tientallen miljoenen geld heeft geïnvesteerd voor die lokale mijnbouw. Daar hadden ze ook grote Bilboards langs de weg staan met... Die kennen jullie waarschijnlijk wel. De EU investeert hiervoor, project bla, bla. Dat was best wel een ding eigenlijk in dat dorp. Het mijnwerkersdorp is eigenlijk altijd een heel links georiënteerd dorp geweest. En in dit dorp, dit had statistisch gezien het hoogste aantal of naar verhouding het hoogste aantal leave stemmers van die hele regio.

3

En dat werd best wel opvallend gevonden, omdat de leave campagne werd eigenlijk voornamelijk gepropageerd in meer rechts georiënteerde media. En dat werd eigenlijk in Ebbw Vale helemaal niet zo goed gelezen en bekeken en geluisterd. Dat was een opvallend ding. Daarnaast was het ook wel interessant dat zoveel mensen uit Ebbw Vale veel eigenlijk graag uit de Europese Unie wilden vertrekken, gezien hun specifieke dorp eigenlijk zo ontzettend veel geld vanuit de EU kreeg. Dan zou je misschien eerder denken, maar die mensen hebben daar heel veel aan, heel direct profijt. Hoe zit dat? Ze hebben daar een aantal onderzoekers naartoe gestuurd met de vraag, wil je delen wat je gestemd hebt en waarom? En daar kwam eigenlijk uit dat een groot aantal van die stemmers in Ebbw Vale een grote angst had voor immigranten en vluchtelingen. Dat wordt heel vaak genoemd als reden om te stemmen tegen de Europese Unie of voor het vertrek uit de Europese Unie. Nou hoor je dat natuurlijk wel vaker. Is dat niet per se heel opvallend. Maar in dit geval werd het wel als een opvallend ding ook gezien, omdat er in Ebbw Vale eigenlijk helemaal geen immigranten of buitenlanders woonden en de angst daar toch heel hoog was. Eigenlijk veel hoger dan in vergelijkbare populaties.

Toen hebben ze eigenlijk uitgezocht, is er een reden voor aan te wijzen waarom dat daar zo speelt? Toen hebben ze gekeken naar de advertenties die op sociale media gedraaid waren in de periode voor dat Brexit referendum. Facebook wilde dat niet openbaar maken. Dat is nog een hele juridische strijd geweest. Uiteindelijk heeft Facebook aan het kortste eind getrokken en zijn zij gedwongen om die advertenties openbaar te gaan maken. En toen bleek dat de burgers of de bewoners van dat Ebbw Vale eigenlijk voor een heel groot deel een fake nieuws advertentie had gezien over toetreding van Turkije tot de Europese Unie. Met een plaatje dat Erdoğan de hand schudde van een hoge EUleider, met quotes van, volgend jaar is het zover en treedt Turkije toe tot de Europese Unie. Iets in die trant. En dat heeft blijkbaar best wel veel indruk gemaakt, ook al wisten sommige mensen wel dat het niet per se klopte. Maar sommige mensen dachten ook wel dat het klopte. En onbewust heeft daar best wel veel beïnvloeding plaatsgevonden dat mensen dachten, maar dat willen wij helemaal niet. Want dat is dan toch allemaal spannend en eng. En je zag ook, als je keek naar de funding van die advertenties, dat er ook best wel moeite was gestoken om dat onder de radar te houden.

Er zaten meerdere partijen eigenlijk achter met allemaal potjes geld, die net op zo'n manier samenwerkten dat geen van die partijen echt in het oog zou springen als acteren tegen de regels van dat platform. En dan merk je dat op het moment dat mensen daar of partijen daar gewoon slim mee omgaan, dat het toezicht ook tekortschiet op zo’n platform. Nou weten we natuurlijk ook van Facebook dat ze sowieso niet zo enorm happig zijn op toezicht op... Facebook heeft ook ooit als standpunt gehad dat zij niet bepalen wat politiek is. Dat ze zich het liefst daar helemaal niet mee willen bemoeien. Juridisch gezien moeten ze wel monitoren. Maar je merkt in deze casus dat het eigenlijk gewoon aan alle kanten faalt. En dan kan je je afvragen, hoe eerlijk zijn verkiezingen als mensen hun stem gaan baseren op nepnieuws of op sentimenten die helemaal niet per se kloppen? En dat speelt ook gewoon. Uiteindelijk was de conclusie van het rapport wel dat de beïnvloeding op zo'n kleine schaal was dat het waarschijnlijk niet van doorslaggevend belang is geweest op de Brexit uitslag, referendumuitslag. Maar dat dit speelt, dat houdt niet op in 2016. Want dat er gewoon heel veel geld in omgaat, in dat beïnvloeden met social media advertenties, dat is een feit.

4

En ook in Nederland, bijvoorbeeld afgelopen verkiezingen was gewoon heel duidelijk dat partijen die actief zijn op Instagram en TikTok veel beter scoren bij de jeugd dan partijen die dat helemaal niet doen. Het is een factor van belang. En dat moeten we erkennen. En ook het gebrek aan verantwoordelijkheid dat genomen wordt, is gewoon een factor van belang waar we rekening mee moeten houden. En natuurlijk gaan we dat binnen gemeente Dordrecht niet oplossen, want daarvoor zijn we te klein. Maar dit is in het debat over informatiebeveiliging en beïnvloeding gewoon een hele reële ontwikkeling. De heer Bootsman: Ik wilde daar even de vraag over stellen, als dat kan. Hier in Dordrecht was laatst ook nepnieuws, wat flink over Facebook heen ging. Namelijk het feit dat Dordrecht alle bankautomaten, geldautomaten weg zou halen. En wat kunnen wij er het beste aan doen? Wat ik nu geprobeerd heb, is continu de posters een berichtje te sturen van, luister, dit is helemaal niet waar, want zo en zo en zo. Want ik ergerde me daar wel aan. Als je ziet dat het ook steeds gedeeld wordt en dat mensen dan redelijk gaan doen tegen Dordrecht over iets wat niet zo is. Mevrouw Van Gent: Deze had ik ook doorgestuurd gekregen. Dat is inderdaad een... Ik denk dat het heel goed is om je ervan bewust te zijn dat het gebeurt en ook om je uit te spreken tegen nepnieuws.

De vorm waarop je dat het beste kan doen, daar ben je natuurlijk vrij in. Je kan bijvoorbeeld ook dat via een officieel bericht naar buiten brengen of je kan reageren. Zelf denk ik dat als je gaat reageren, loop je ook soms het risico dat je in een soort hele vervelende discussie gaat verzanden, met mensen die eigenlijk niet per se die dialoog graag willen of zoeken. Dat je dan misschien beter je eigen account of profiel kunt gebruiken om gewoon een bericht te typen van, ik zie dit rondgaan. Het klopt niet. Ik denk dat het wel heel goed is om je uit te spreken. En ook om advertenties te rapporteren, want die optie heb je gewoon. En je kan ook bijvoorbeeld je volgers oproepen om een advertentie te rapporteren, als ze hem zien. Het is denk ik heel goed om je uit te spreken. Als politicus riskeer je ook dat je zelf onderwerp wordt van nepnieuws. En het is ook belangrijk om elkaar daar echt in te steunen en erover na te denken van, hoe gaan we daarmee om? Zeker in tijden van verkiezingen bijvoorbeeld is dat denk ik wel heel waardevol om daar als raad met elkaar over na te denken hoe je dat het beste kan doen. De volgende casus gaat eigenlijk meer over die afhankelijkheid van IT-leveranciers. En het is een casus van vorig jaar november. Misschien dat jullie hem gezien hebben. Misschien niet.

In de ambtelijke organisaties ging hij wel redelijk rond, want in ons buurland Duitsland was een hele grote hack bij een IT-leverancier, waardoor 72 Duitse gemeentes onbereikbaar waren voor dienstverlening. Wat gebeurde er? In november 2023 ging er ergens bij ICTdienstleverancier ShIT een alarmpje af dat er iets vreemds gebeurde op het netwerk. Zij waren slachtoffer van een ransomware-aanval. Zij hadden dat door dat dat gebeurde. En zij hebben op dat moment ervoor gekozen om hun systemen volledig af te sluiten, om te voorkomen dat die aanval verder zou gaan. En ook natuurlijk om uit te zoeken, wat is er aan de hand, et cetera. Deze ICT-leverancier heeft een enorm aantal klanten, waaronder 72 Duitse gemeentes. En die hadden gewoon geen digitale dienstverlening meer, omdat alles wat via die leverancier ging was gewoon onbereikbaar. De impact daarvan was echt enorm. 1,7 miljoen burgers waren direct of indirect getroffen.

5

En twee maanden na de hack, en zelfs tot op de dag van vandaag, is de dienstverlening nog maar mondjesmaat opgestart. Het is echt bizar hoe lange nasleep deze hack heeft. Mensen moesten echt met de hand aan een balie papierwerk gaan invullen, omdat gewoon helemaal niks het meer deed. En dat dan maandenlang. Dat is best wel een beetje zuur. En zeker omdat jij eigenlijk helemaal niet zoveel daaraan kan doen, want het gebeurt gewoon. Jij krijgt gewoon op maandag een belletje van je leverancier, dit speelt en succes ermee. Dat is even om aan te geven dat die afhankelijkheid ook natuurlijk gewoon grote risico's met zich meebrengt. Heb ik nog een aantal andere krantenkoppen van de afgelopen periode ChatGPT met phishingmail. ChatGPT is een artificial intelligence oplossing. Daar gaat Sander straks nog heel veel over vertellen. Maar de invloed van dat soort tools op oplichting is heel groot, want zo’n tool kan gewoon een perfecte phishingmail schrijven. En er zijn inmiddels zelfs ook gevallen bekend van mensen die zijn opgelicht met door AI gegenereerde beelden van bijvoorbeeld hun baas die hun vertelt in een videocall dat ze geld moeten overmaken. Het is voor mensen gewoon ontzettend moeilijk om te zien dat iets door artificial intelligence is gecreëerd. Dat het niet authentiek is.

In de informatiebeveiligingswereld wordt daar heel hard aan gewerkt van, hoe kan je daar mee omgaan om die authenticiteit te garanderen? Is gewoon best wel moeilijk. En onze burgers en onze bedrijven in de stad kunnen hier gewoon slachtoffer van worden en wijzelf ook. Fraudegevallen. Je merkt ook dat ze toch heel regelmatig nog vallen. Echt niet alleen maar oude mensen, ook veel jonge mensen, bedrijven, overheden, particulieren. En een factor van belang is tijdsdruk. Mensen worden gewoon heel erg onder druk gezet om gelijk iets te doen. En je moet iets. En het moet nu. En vaak wordt er ook ingespeeld op een bepaald verantwoordelijkheidsgevoel, want je wil die goede werknemers zijn en je wil die fijne vader, moeder, dochter, zoon zijn die iemand in nood helpt. En je merkt dat op het moment dat mensen gelijk gaan acteren, waar natuurlijk op wordt aangestuurd, dat die veel vaker slachtoffer zijn van fraudegevallen. En terugkomend op ransomware. Je ziet in het Nederlandse bedrijfsleven, één op de vijf betaalt gewoon, want die hebben zoiets, wat moet ik ermee? Ransomware is het versleutelen van je data door criminelen, waardoor je niet meer bij je data kan. En dan wordt er een berichtje gestuurd met, ik heb jouw data versleuteld. Daar ben je dan zelf al achter, want je kan niet meer op je laptop.

En dan krijg je een berichtje, stuur mij X:-bedrag in Bitcoin en dan mag je er weer bij. En als je dat betaalt, dan kan je er inderdaad ook weer bij, want dan krijg je netjes de sleutel om je data weer het ontsleutelen. En dan kan je weer lekker verder werken. En dat is dan toch wel heel verleidelijk. Het is een hele lucratieve business eigenlijk, ransomware. En dat is gewoon best wel een groot probleem. Als jij geen goede back-ups hebt, misschien dat je inderdaad die portemonnee dan trekt. Aan de hand van deze voorbeelden denk ik dat we wel een beetje gevoel hebben gekregen van de grote maatschappelijke en economische impact die cybercrime heeft. En dit raakt ons ook. Wij als persoon, maar ook wij als gemeente. Nederlandse gemeente die daar een schoolvoorbeeld van is, is Hof van Twente. Wellicht dat jullie het voorbeeld kennen van twee jaar geleden. Slachtoffer geworden van een ransomware-aanval. Hadden de beveiliging niet op orde. Hebben dat uiteindelijk ook toegegeven dat ze dat niet op orde hadden. Maar die zijn gewoon het overgrote deel van hun data volledig kwijt. Ook niet meer terug te halen. Dat is natuurlijk voor een gemeente echt een ramp. Is ook een interview.

6

De heer Uysal: Ik was benieuwd hoe je als gemeente kan borgen dat die beveiliging op orde is. Want vaak hebben we die kennis niet in huis. Ben je afhankelijk van derde partijen. Hoe kan je als gemeente, vooral de ambtenaren dan, dat ze weten dat ze beveiligd zijn en dat is in controle is? Mevrouw Van Gent: Ik kom daar straks op terug. Ik hoop dat ik dan jouw vraag of uw vraag beantwoord in de volgende sheets. En anders dan zal ik het verder proberen toe te lichten. Wat kan de raad doen aan het... Mevrouw Kruger: Mag ik nog een vraag tussendoor? De heer Wringer heeft nog een vraag. Mevrouw Van Gent: Sorry. De heer Wringer: Dank. In 2021 hebben we natuurlijk het programma ICT verandert. Uitbesteding van het Dordtse datacenter naar een derde commerciële partij, inclusief de overschakeling naar alle software applicaties naar SaaS. Alles staat online bij een derde partij. Maar gemeente Dordrecht is nog wel verantwoordelijk en eigenaar van de data. En dat sluit wel een beetje aan op de vraag van de collega, hoe wordt daar controle op uitgeoefend? Mevrouw Van Gent: Dat zijn hele goede vragen. In de sheet hierna ga ik dat wat meer invulling geven. Want het klopt, wij als gemeente zijn eigenaar van de data. Maar los daarvan zijn wij als gemeente ook altijd eindverantwoordelijk voor onze informatiebeveiliging.

Zelfs al zouden wij onze beveiliging van A tot Z door een derde partij laten doen, en die derde partij faalt, dan zijn wij verantwoordelijk. En alleen wij zijn verantwoordelijk. Dat is zeker een ding. Ik ga daar zo gemeente specifiek op terugkomen. Even voor de raad. Over die democratische principes die onder druk kunnen komen door digitalisering. Wat kan de gemeenteraad daarmee doen? De VNG zegt eigenlijk daarover, heb het erover. Dat is eigenlijk punt één. Wees je ervan bewust dat dit soort dingen spelen. Heb het er met elkaar over. Neem een standpunt in. Volg ontwikkelingen. Dat is gewoon super zinvol. Maar ook bijvoorbeeld voor de achterban, wees je bewust van, hoe kan je je achterban bijvoorbeeld ondersteunen om weerbaarder te worden tegen cybercriminaliteit specifieke doelgroepen? Gebeurt ook dat jongeren of ouderen of ondernemers vanuit de gemeente daar hulp bij krijgen. Dat is natuurlijk gewoon een heel mooi en goed initiatief. Dat zijn allemaal dingen waar je over na zou kunnen denken om dat invulling te geven. Hoe het bij de gemeente Dordrecht precies werkt? In hoofdlijn wordt dat via de reguliere Planning & Controlcyclus verantwoord. En ook via de jaarlijkse ENSIA. Daar ga ik nu wat meer uitleg over geven. De ENSIA is een audit die vanuit het ministerie van Binnenlandse Zaken verplicht is voor alle gemeentes.

Alle gemeentes vallen automatisch onder die plicht om deel te nemen aan deze audit, de ENSIA audit. Wat is die ENSIA? Dat is eigenlijk een manier om te verantwoorden aan, in dit geval ministerie van Binnenlandse Zaken, wij als gemeente doen het op het gebied van informatiebeveiliging zo, zo of zo goed. Daarvoor is er een enorme checklist beschikbaar. Dat is de BIO, de Baseline Informatiebeveiliging Overheid.

7

En daarin stat eigenlijk heel uitgebreid uitgeschreven, waaraan moet jij als gemeente of als overheid... Wat moet jij hebben op het gebied van informatiebeveiliging? Dat staat helemaal uitgeschreven in dat document. De heer Wringer: Voorzitter, mag ik een vraag stellen? De BIO heeft natuurlijk verschillende beveiligingsniveaus. Ben ik wel benieuwd welk niveau Dordrecht hanteert? Want een van de vragen is natuurlijk, de two-factor authentication, die eigenlijk voor een overheid wel, denk ik, heel belangrijk is. Maar die gebruiken wij niet. Ik vraag me af welk niveau wij hier gebruiken op dat gebied. Mevrouw Van Gent: Binnen gemeente Dordrecht doen wij alles op niveau 2. En wij kijken altijd of dat voldoende is of dat dat hoger moet. Er zijn 3 niveaus, 1,2 en 3. Even heel globaal gezegd. 1 gebruiken wij eigenlijk niet, want wij doen liever net een stapje meer dan dat we te weinig doen. Standaard gaan wij ervan uit dat het minimaal niveau 2 is. En dan kijken wij eigenlijk per applicatie of per proces of dat geschikt is. Even over MFA. Dat is niet alleen gemeente of ENSIA specifiek. Maar je ziet gewoon in de hele markt eigenlijk dat de ontwikkeling is dat wachtwoorden iets minder belangrijk worden en twee-factor authenticatie steeds belangrijker. Daarin gaan wij als gemeente uiteraard mee, want dat is een hele goede ontwikkeling.

In principe wordt dat steeds meer een vereiste en een standaard. En dat is natuurlijk een proces. Maar dat is wel de ontwikkeling die wij volgen. Vanuit die BIO staan die eisen helemaal uitgeschreven. En die ENSIA audit wordt door een externe partij gedaan. Die komen gewoon bij ons in de keuken kijken. En die komen even controleren wat wij allemaal hebben. Wat we allemaal doen. Hoe we het doen. Of we het goed doen. We mogen ook zelf iets zeggen over wat we doen, maar daar wordt wel zeer kritisch naar gekeken of dat dan inderdaad ook klopt. En dat gaat allemaal in die audit. Daar komt een rapport eigenlijk uit, in de vorm ook van een collegeverklaring. Waarin wij als ambtelijke organisatie een mooi verslag sturen naar het college met, dit zijn de auditresultaten. Dat wordt door de auditor ook gecheckt en geaccordeerd. Het is niet dat ik mag zeggen, de auditor vond het niet zo goed, maar ik vond het wel heel goed. Hier teken maar. Dat mag niet. Dat wordt echt wel heel kritisch gecontroleerd. En dat gaat naar het college. En zij hebben dan op die manier zicht op waar wij staan. En daarna gaan die stukken ook naar de gemeenteraad. En daar mogen dan vragen over gesteld worden. Gebeurd ook. Toevallig afgelopen jaar twee vragen vanuit de gemeenteraad beantwoord over de ENSIA. De ENSIA loopt van juli tot eind april.

De nieuwe resultaten komen dan ergens na april weer richting de gemeenteraad. Dat is eigenlijk hoe wij dat voor een groot deel checken, waar wij staan als gemeente. En uiteraard gebruiken we dat dan ook weer als input voor verbeteringen. Mevrouw Kruger: Ik begrijp dat het... Je wilde dat nog even aanvullen? Mevrouw Vermeulen: Kleine toevoeging. De ENSIA is langs de auditcommissie gegaan. Die heeft vragen gesteld. Mevrouw Van Gent: Sorry. Mevrouw Vermeulen: Geeft niet. Die is doorgestuurd aan de raad met het antwoord op de toelichtende vraag.

8

Mevrouw Van Gent: Klopt. U had ook een vraag? Mevrouw Kruger: Nee, dat was hetzelfde. Mevrouw Van Gent: Dat was dezelfde. Dat klopt. Nu ik het hoor, denk ik, ja, dat is helemaal hoe het zit. Dat is even over hoe wij als gemeente checken waar we staan. Hoe gaan wij om met die externe leveranciers? In feite kijken wij per leverancier waar wij een contract mee aangaan... Gaan wij eigenlijk, heel simpel gezegd, kijken, voldoen zij aan die BIO? En dat is onze plicht als gemeente om dat te checken voor alles wat we uitbesteden. Voldoen zij aan die Basis Informatiebeveiliging voor Overheden? Dat controleren wij, op basis bijvoorbeeld ook weer van auditrapporten. Of er zijn verschillende manieren om dat te doen. Maar dat is hoe wij dat invulling geven en die verantwoordelijkheid pakken om ook voor de hele keten van toeleveranciers daar zicht op te houden. Is dat zo een beantwoording voor u? Ja. Hoe kunt u zich weren als gemeenteraadslid? We hebben het al kort gehad natuurlijk over phishing. Herken phishing. Gemeenteraadsleden zijn daar ook gewoon kwetsbaar voor. Bijvoorbeeld journalisten die via Twitter proberen iemand iets te ontlokken, wat dan heel interessant kan lijken voor een gemeenteraadslid om daar iets mee te doen. Wees jullie ook gewoon bewust van actualiteiten omtrent phishing, want het is een beetje een modegevoelig ding.

Ik denk dat we allemaal bijvoorbeeld wel de WhatsApp-fraude kennen. Dat mensen dan appen, mam, ik ben mijn telefoon kwijt en ik moet iets betalen bijvoorbeeld. Dat is dan op een gegeven moment een beetje een mode ding. Maar het is gewoon heel nuttig om te weten wat er speelt. Want op het moment dat je iets herkent, dan ben je alert. En dat is natuurlijk belangrijk. Herken misinformatie en doe aan feitencontrole. Zeker op social media op het moment dat er een nieuwsbericht voorbijkomt wat je raakt, wat je misschien boos maakt of waarvan je denkt, daar wil ik echt niets over zeggen, even nadenken, klopt het eigenlijk wel? Want dingen die heel erg op je gemoed spelen, daar is vaak iets mee. Dat is vaak niet zomaar dat dat voorbijkomt. Dat is heel goed om daar bewust van te zijn. En om even op die krantenkop terug te komen, neem ook gewoon vooral je tijd. Op het moment dat je het gevoel hebt dat je onder druk wordt gezet of dat je zelf voelt, het moet, eigenlijk moet je bijna nooit gelijk echt iets. Die tijd even nemen om na te denken, misschien om te vragen aan iemand anders van, ik heb dit gekregen, maar ik vind het een beetje gek. Wat vind jij ervan? Dat dat kan zo’n enorm verschil maken of je wel of niet slachtoffer wordt van iets of dat je wel of niet je energie steekt in iets wat totaal niet blijkt te kloppen bijvoorbeeld.

En uiteraard gebruik mobiele en ICT-apparatuur veilig. Daar ga ik in deel drie nog het een en ander aan praktische tips over geven. Maar het is gewoon goed om veilig met je digitale spullen om te gaan, want dat voorkomt een hele hoop ellende. Maar daar ga ik in het derde deel nog even praktisch wat invulling aan geven. De heer Uysal: Toch nog een vraag over ENSIA. Ik weet niet of dat helemaal met dat te maken heeft. Maar sommige gemeentes hebben een commissie die dan toeziet op die persoonsgegevens. Ik weet of wij dat als Dordrecht ook hebben. Maar hoe verhoudt zich dat, die commissie tot die ENSIA en tot die verantwoording van de gemeente? En raadt u dat ook aan dat iedere gemeente dat doet? Is dat waardevol?

9

Mevrouw Van Gent: ENSIA en persoonsgegevens zijn niet per se dezelfde dingen, want ENSIA gaat heel erg echt over het beveiligen van de hele digitale infrastructuur. Zijdelings zit privacy daar wel in. Maar specifiek toezicht op persoonsgegevens en hoe daarmee om te gaan, valt niet helemaal dan weer volledig onder ENSIA. Dat is zeker nuttig om dat op een andere manier ook vorm te geven. Wordt ook gedaan binnen de gemeentes. Heel veel aandacht, ook voor privacy. Hoe dat toezicht het beste vorm kan krijgen, dat vind ik heel moeilijk om te zeggen. Want ik weet niet zo goed wat er allemaal mogelijk is en wat best practices zijn. Dat vind ik heel moeilijk eigenlijk om dat te beantwoorden wat de beste manier is. Maar dat het waardevol is om specifiek op persoonsgegevens ook toezicht te houden, los van ENSIA, dat is zeker waardevol en ook heel belangrijk. Want alleen met ENSIA ga je dan wel te kort door de bocht, want er is geen privacy audit. Het is echt informatiebeveiliging. De heer Wringer: Dank, voorzitter. Ik denk dat mijn collega het heeft over een ethische commissie die sommige steden hebben. Wat ook daar belangrijk is, is natuurlijk een algoritmeregister. Heeft Dordrecht dat? En waar kunnen we dat vinden eventueel? Mevrouw Van Gent: Hier gaat Sander straks heel veel over vertellen. Deze ga ik even voor hem... De heer Brabander: Hou hem vast.

Mevrouw Van Gent: Dan denk ik weer, dit weet ik. Dan ga ik iets roepen en dan word ik straks gecorrigeerd. Ik hou dat even bij Sander. Dan kunnen we door naar het tweede deel. Heel erg bedankt voor jullie aandacht voor het informatiebeveiligingsdeel. Ik kom straks nog even terug voor wat extra's over de iPad. Mevrouw Kruger: Verder heeft niemand meer nu een korte vraag nog? Ja, dat dacht ik al. Mijnheer Groenewege. De heer Groenewege: Nog even over informatiebeveiliging. Ik vroeg me af of data van de gemeente op servers staat die in handen is van buitenlandse bedrijven? En dan vooral Amerikaanse bedrijven of Chinese bedrijven. Of staat het op servers in handen van Europese bedrijven of in eigen beheer? Mevrouw Van Gent: Is een hele goede vraag. De data van de gemeente Dordrecht mag niet buiten de Europese Unie opgeslagen, omdat dat vanuit de AVG verboden is. Daar wordt streng op toegezien, ook op het moment dat wij met de partijen samenwerken, is dat altijd een check die bij inkoop al gedaan wordt. En op het moment dat een leverancier dat niet kan garanderen, mogen wij daar geen zaken mee doen. De heer Groenewege: Voorzitter, maar ook servers in Europa kunnen in handen zijn van Amerikaanse bedrijven. Is dat dan ook een tweede check van, zijn die servers wel in handen van Europese bedrijven?

10

Mevrouw Van Gent: Als het gaat om... Wij checken, staat de data fysiek in Europa? Dat wordt gecheckt. Of er dan een eigenaarschap weer van een externe of van een ander land... Dat weet ik niet helemaal in wat voor detailniveau dat wordt uitgevraagd. Misschien is het handig om deze vraag even via de griffie te stellen aan de ambtelijke organisatie. Want ik ben echt van informatiebeveiliging en cybersecurity in dat soort dingen. En privacy is echt ook wel een vak apart. Er zijn mensen die dat heel veel beter weten dan ik. De voorzitter: Een goede tip. En het staat genoteerd, hoor ik. Verder nog iemand? Dan gaan we over naar deel twee. Gaat uw gang. De heer Brabander: Dank u wel, voorzitter. Ik zal mezelf toch nog een keer heel kort voorstellen. Ik ben Sander Brabander, Chief Data Officer voor de Drechtsteden. En hou me eigenlijk dagdagelijks bezig met het verder brengen van de regio op het gebied van stad en regio op het gebied van data en datagedreven werken. Die knip in die twee ook een beetje. Zodat we ook als organisaties, als gemeenten, en voor een stukje ook onze uitvoeringsorganisaties, optimaal maar verantwoord data kunnen inzetten voor onze maatschappelijke opgaven en diverse opgaven waar we natuurlijk voorstaan en natuurlijk ook het goed functioneren van onze interne organisatie. Dat is in sommige gevallen misschien net zo belangrijk.

En het afgelopen jaar stond natuurlijk voor veel overheden, bedrijven in het teken van de versnelde vaart op het gebied van AI. Zeker de komst van ChatGPT, zullen de meesten hier iets over gehoord hebben, al dan niet mee gespeeld. Ik zie al wat mensen knikken. En dat heeft ook binnen Dordrecht en in de regio de nodige aandacht gekregen. Rond de zomer heb ik dat stokje voor nu nog even opgepakt. Vandaar dat ik dat combineer. Ik begin even bij de basis. Waar hebben we het dan eigenlijk over, als we het over kunstmatige intelligentie hebben? Is toch wel een begrip. Het gaat ook al terug tot eind jaren 40. Het is absoluut geen nieuwe ontwikkeling. Eind jaren 40 start het onderzoek al op dit vlak. En er zijn veel formele definities. Maar om het simpel te houden, zeker in de digitale wereld, zie je toch vaak dat daarmee bedoelt wordt een stukje software om taken uit te voeren of problemen op te lossen, waarvan we verwachten dat er normaal sproken menselijke intelligentie, menselijke interactie nodig is. Dat is heel breed. Het is niet allemaal eng en geavanceerd. Een standaard als dit, dan dat constructie telt al. En je ziet daar, bijvoorbeeld als je zoekmachines gebruikt, Google of op een Bol.com of dat soort dingen, de resultaten die je krijgt, daar zitten gewoon algoritmes achter die... Of je Twitter of je X tegenwoordig, moet ik zeggen, of welk platform dan ook.

De resultaten die je krijgt, de berichtjes die je ziet, daar zitten gewoon algoritmes achter. Die filteren. Of die kijken naar, waar heb jij behoefte aan? Dat is gelijk het linkje naar de tweede term, die we toch even introduceren, machine learning. Machine leren. Hoe je op de zelflerende algoritmes... Algoritmes zijn met de hand helemaal ingebouwd. Als dit, dan dat. En bij machine learning is er sprake van dat het algoritme wat bestaande instructies krijgt en vervolgens eigenlijk op de data leert. Het haalt zelf uit een dataset patronen. En kan op basis van patroonherkenning veel platgeslagen beslissingen ondersteunen, nemen. Dan gaan we al een heel gevaarlijk gebied in. Maar het kan op basis van dat getrainde voorspellingen doen. Daar komt het eigenlijk op neer.

11

Afgelopen jaar, wat ik zei, stond heel erg in het teken eigenlijk van een specifieke vorm van kunstmatige intelligentie, generatieve AI. Algoritmes en AI die teksten, afbeeldingen, noem maar op, kan maken. Is dat een vraag? Geef wat teksten. Een instructie noemen ze ook wel een prompt. En daar komt of een nieuwe tekst uit of... Ik zal zo straks nog wel wat voorbeelden geven. Maar tegenwoordig kan je ook afbeeldingen, video's... Laat ik straks ook nog wel iets van zien. Een diversiteit aan content creëren. Dat raakt ook weer die phishingmails, waar Andrea het net over had. En uiteindelijk gaan eigenlijk al die creatieve algoritmes, die machinealgoritmes allemaal uit als ze trainen, noemen we dat. Geef ze data en door meer, niet altijd waar... Maar vaak is de gedachte, de meer data je erin stopt, de beter het wordt. Maar dat is even de gedachte. Dan nog wat bekende voorbeelden. Iedereen die Facebook, Spotify, Google, Netflix... Je kijkt twee keer een actiefilm en krijgt alleen maar suggesties voor actiefilms. Maar dat volgt uit het algoritme. Je kan in dat soort situaties in ook wel... Dat doen ze toch een beetje. Een filterbubbel. Je zoekt een aantal keren op een bepaald iets en je blijft dat soort inhoud krijgen. Op YouTube hetzelfde. In allerlei apps ook. Is ook maatschappelijk best wel een probleem voor mensen die...

Ook al onderzoek geweest naar bijvoorbeeld mensen in de tienerleeftijd. Die maken zich zorgen over hun gewicht en die gaan dingen zoeken. En die blijft uiteindelijk in een hele bubbel zitten met berichten over hoe vreselijk het wel niet is en wat je allemaal moet doen. En wat niet altijd de beste tips zijn met de influencers van tegenwoordig. Een ander voorbeeld zijn natuurlijk de virtuele assistenten. Iedereen die een iPhone of Androidtelefoon heeft of andere smaken, heeft er een virtuele assistent op zitten. Of dat Siri is, in het geval van Apple, of een Google Assistant op Android. En straks ook zelfs binnen Windows, als je thuis c.q. privé, krijg je gewoon een soort ChatGPT-achtige assistent binnen je Windows. Dat gaat best wel hard. Ik zie u al nee schudden. De heer Bootsman: Heel eerlijk, want ik zie daar best ook nog wel een gevaar in. En het gaat zo snel op het moment. Ik bedoel, ik ben ict'er geweest. En ik weet veel van dit soort dingen, maar ik gebruik het liever nog even niet. Want ik zie zeker met die datahonger van bepaalde... Dat dat echt een probleem kan zijn. De heer Brabander: Ik kom daar zo meteen nog verder op terug, maar absoluut. Een andere, we zijn steeds meer met slimme sensoren bezig. Volgens mij recent hebben we één of meerdere pratend prullenbakken hier ook in Dordrecht geïntroduceerd. Daar zitten natuurlijk slimme vulgraadsensoren in.

Die geven een signaaltje terug. Je stopt er iets in. Dat is een mooie als dit, dan dat constructie. Stop er een zak in. Als er een zak ingaat, dan zegt hij, dank u wel. Ik moest gelijk aan de Efteling denken toen ik het nieuwsartikel zag. Maar hetzelfde geldt ook natuurlijk bij zelfrijdende auto's. Tesla's, een andere slimme auto’s, daar zit een enorme hoeveelheid sensoren in, die constant de omgeving scannen. Of het dan een radar is of andere vormen van sensoren, camera's, dat soort dingen. En ook vanuit de gemeente of het bedrijfsleven hier kijkt steeds vaker ook naar, hoe kunnen bijvoorbeeld in de binnenstad drukte monitoren? Binnenstad consortium is ook met wat vraagstukken bezig, begreep ik. Dat zijn wel voorbeelden van waar het wordt ingezet. Ik heb een aantal voorbeelden. Deze is heel recent. Een aantal voorbeelden die ook wat risico's aangeven, maar gaan proberen een beetje balans met de gedachte erachter te brengen.

12

Hebben jullie misschien ook meegekregen, afgelopen week was dit, twee weken terug. Een automobilist die een boete kreeg, omdat op basis van die foto gedetecteerd werd dat hij met een telefoon aan zijn oor zat. Dan is al de vraag van, is daar wel een menselijke interactie bij geweest. Heeft iemand die foto beoordeeld? Is dit geautomatiseerde besluitvorming geweest? Wat eigenlijk helemaal niet mag. Maar het zijn voorbeelden van waar een algoritme getraind is. En als je puur naar de uitkomst kijkt, statistisch gezien kan ik me voorstellen dat dit lijkt, voor zo’n model, alsof je een telefoon vast hebt. Als er geen mens naar kijkt, is dit best lastig om te herkennen voor een algoritme. De gedachte erachter kan natuurlijk best zijn van, zo kunnen we meer de veiligheid vergroten, veiligheid op de weg, we kunnen mensen nog beter bewustmaken van, dit moet je niet doen. Maar vanuit de statistiek zou je dit als een soort false positive zien. Het lijkt een geval van iemand die belt, maar dat is helemaal niet het geval. Hele kleine telefoon misschien, dat zou ook nog kunnen. Deze ook recent. Dat is een supermarktondernemer. Volgens mij was het een Jumbo, zonder voorkeur voor supermarkt. Maar die dacht, de oplossing tegen winkeldiefstal. We installeren wat slimme camera's en met de algoritmes monitoren we dan alle paden.

En als iemand verdacht gedrag vertoont of dingen in zijn zak steekt of wat dan ook, dan nemen we dat op. En dan kunnen we daar een medewerker op afsturen en die klant aanspreken of apart houden. Daar zitten best wel wat ethische vraagstukken aan vast, kunt u zich voorstellen. Vanuit veiligheid en inderdaad derving voorkomen zou je zeggen, vanuit het bedrijfsbelang is er iets voor te zeggen. Maar er zijn wel grote twijfels over de mate waarin privacy geborgd is en gewoon het bredere ethisch verantwoord handelen hiervan. Dit is van afgelopen voorjaar ook. Ook al veel onderzoeken naar geweest. Ook met eigenlijk de komst van ChatGPT. Zowel leerlingen, maar ook docenten en anderen zijn het gaan toepassen. Moeten we dit verbieden? Moet we het omarmen? Zijn onze docenten er klaar voor? Moeten we ons onderwijs aanpassen? Gaan we het blokkeren en zeggen, dat mag allemaal niet? Weet je wel. Is dat vol te houden? Is best wel een belangrijke vraag. Volgens mij is daar ook hier niet echt een antwoord op. Je ziet de onderwijsinstellingen daar op verschillende manieren mee omgaan. Maar het is absoluut iets om goed over na te denken. We maken ons vaak al zorgen over het taalniveau in Nederland en het taalniveau ook op scholen, taalonderwijs. Op het moment dat je ze nog meer geautomatiseerd teksten laat schrijven, kan je ze andere vaardigheden leren. Dat is absoluut waardevol.

Maar als iemand nog minder gaat schrijven, gaat het niveau dan niet nog verder omlaag? Hetzelfde geldt voor medewerkers in een organisatie of binnen overheden, beleidsmakers. Op het moment dat die... Ga je een beleid niet hoeven schrijven, want je geeft een instructie in de rol van prachtig geschreven beleidsteksten op B1-niveau uit. Verlies je niet op een gegeven moment toch het gevoel van een goede tekst schrijven? Hoe snel gaat dat achteruit? Dat gaat nog breder dan onderwijs. En dat is wel een interessante vraag voor een organisatie, maar ook maatschappelijk gezien. En ook kijken van, welke invloed kan je erop hebben, met de ontwikkelingen die inderdaad zo snel gaan? Zeker. Er zitten ook absoluut... Wat ik zei, er zitten... Je kan mensen helpen. In dit geval ook een voorbeeld van een systeem wat dyslexie makkelijk kan opsporen. Je kan eerder erbij zijn en kinderen bepaalde begeleiding geven. De voorzitter: Misschien dan even via het...

13

Mevrouw Lammens-Oostdijk: Ik dacht dat het zo ook wel verstaanbaar was. Je kan natuurlijk ook, als je die teksten ziet, zie je weer ander woordgebruik. En dat is wel handig dat je dan denkt, dat zijn woorden die ik ook kan gebruiken. Terwijl normaal gesproken zou je die woorden nooit gebruiken De heer Brabander: Klopt. Mevrouw Lammens-Oostdijk: En dat is natuurlijk wel een voordeel van AI. De heer Brabander: En het kan helpen als voorbeeld hoe je zelf tekst kan... Maar het is dan hoe je het gebruikt. Mevrouw Lammens-Oostdijk: Je moet het echt als hulp gebruiken. De heer Brabander: Klopt. En het is inderdaad hoe je het gebruikt en hoe je het inzet. Gebruik je het ter inspiratie of om het werk over te nemen? En daar zit ook verschil. Mevrouw Lammens-Oostdijk: Inspiratie is een goede... De heer Brabander: Dat is helemaal goed. Mevrouw Lammens-Oostdijk: Dank je wel. De heer Brabander: Aan al deze ontwikkelingen, dat zal ik zo nog vaker benoemen, zit... Er is altijd een balans. En er zitten heel veel voordelen aan deze ontwikkelingen. Er zitten risico's, afwegingen, consequenties aan, in wat voor soort dan ook. Maar het is niet allemaal negatief. Absoluut niet. Deze is natuurlijk al jaren terug, maar blijft een vaak genoemd voorbeeld, de toeslagenaffaire. Dat heeft natuurlijk een enorm persoonlijk drama opgeleverd voor een enorme groep mensen.

Dat willen we absoluut niet nog een keer. Daar hebben we hopelijk als overheid van geleerd. Het wordt niet voor niks geregeld als voorbeeld gehouden. Het blijft ons bij. Hier zie je het ook wel, vaak wordt naar het algoritme gewezen. Toch vanuit mijn rol ga er wat... Hier was ook de data zelf niet goed. Als je het hebt over trainen, de dataset waar een algoritme op traint, hier was naast het algoritme zelf de data zelf ook... Daar was ook van alles fout. Het is niet alleen algoritme geweest. Maar ook daar is het een belangenafweging. Nog los van hoe het nu heeft uitgepakt en de enorme negatieve consequenties als je zegt, we hebben al een doel, fraude beperken en ook in die zin minder geld verliezen. Ook als overheid zou je natuurlijk best kunnen zeggen, weet je, we gaan een soort toetsing aan de deur... Er zijn best redenen te bedenken om een algoritme wat aan de deur toetst te verantwoorden. Alleen belangenafweging is daarbij essentieel. En die is duidelijk. Daar is het nodige fout gegaan. Dat willen we maar zeggen. Een voorbeeld van iets van de inzet van AI en een algoritme die we in Dordrecht zal gebruiken en ook in de regio breed. De chatbot Gem. Ik weet niet of jullie allemaal... Jullie hebben allemaal natuurlijk weleens op onze website Gem gebruikt. Daar kan je mee chatten. Bepaalde antwoorden kunnen al gegeven worden.

En het kan eventueel doorverwijzen naar medewerkers, als het nodig is. Maar kan je tegenwoordig ook inloggen en beveiligen. Is dat al geïmplementeerd? Nee? Werd nog getest.

14

Op het moment dat je bijvoorbeeld met DigiD kan inloggen en dat je nog andersoortige gesprekken kan gaan voeren. Maar dit is Al, algoritmes. Heel veel getraind. Of in ieder geval getraind? Voorgeprogrammeerd. Maar het is een voorbeeld van AI die wij inzetten. U heeft een vraag? De heer Uysal: Ja. Dit is een heel simpel voorbeeld van hoe je AI kan gebruiken. Ik was ook wel benieuwd of onze gemeente gebruik maakt... We hadden het net over de risico's. Maar AI biedt natuurlijk ook kansen en mogelijkheden. Ik was benieuwd of onze gemeente ook gebruik maakt van inhoudelijke algoritme. Bijvoorbeeld bij een aanvraag van een bijstandsuitkering of dat soort dingen, waarbij je eigenlijk een heleboel dingen kan doen zonder menselijke interventie. De heer Brabander: Als we kijken gewoon naar de definitie van algoritme, zie je dat op dit moment er bijna geen software is. En er bijna geen oplossingen zijn waar dat niet op een of andere manier inzit. Dan heb ik het niet over de zelflerende en enge algoritmes, maar gewoon inderdaad, als dit, dan dat constructies. Op het moment dat er nu iemand een aanvraag indient in het sociaal domein, is er van alle domeinen... Vaak zie je dat in die applicaties, waar dat dan landt, binnenkomt dat daar algoritmes inzitten die toetsen van... Exact inhoudelijk zit ik niet in wat hij precies toetst.

Maar die een aantal variabelen toetst van, is die wel woonachtig hier of niet? En valt deze wel binnen de scoop van waar wij zorg aanbieden? Dat soort zaken. Dat zijn meer regel gebaseerde algoritmes, noem ik het maar even. En die zitten in allerlei vak applicaties. Dat is gewoon meer procesondersteuning die niet werk overnemen, maar het net wat simpeler maken voor de ambtenaar. Als het gaat om echt... Volgens mij hebben we dat vorig jaar in ieder geval dat... November. Maar ik weet niet of dat ook naar de raad gegaan is. Zijn er ook wel wat vragen op een gegeven moment beantwoord, naar aanleiding ook van een Woo-verzoek, rondom het gebruik van risicovolle algoritmes. En met het beeld wat we op dit moment hebben, is dat niet het geval. Geen hoog risico conform de nieuwe hoog risico definitie. Ook in de AI-act, kom ik ook zo op terug. En tegelijkertijd zijn we ook nog bezig dat breder in kaart te brengen. We weten dat in de meeste processen zit wel iets, alleen het echt goed te achterhalen, dat vraagt ook afstemming met al onze leveranciers en al die dingen. Echt achterhalen van wat voor soort algoritme is dit? Is dit risicovol? Dat is nog lopend. Sorry? En de kansen... En wat je ziet, is dat op dit moment, en dan doe ik een beetje een voorzetje voor iets van later, maar qua kansen waar we nu naar kijken, is dat inderdaad ChatGPT natuurlijk helemaal hot is.

Er is wel wat gecontroleerd geëxperimenteerd, zullen we maar zeggen. En er wordt gewerkt, ambtelijk, aan wat spelregels voor de ambtelijke organisatie om te kijken, hoe kunnen we dit, ook in lijn met wat de Rijksoverheid recent gepubliceerd heeft, verantwoord inzetten? Want de geest is uit de fles, zeg ik altijd. Dit is niet terug. Dit kan je niet blokken. Dit is er. Als je het zakelijk blokkeert, dan kan iemand op zijn privételefoon er wel bij. We zijn wel echt aan kijken, hoe kunnen we zorgen dat we op een verantwoorde manier de kansen die dit soort technologie biedt benutten? Maar dat is nog lopende ook. De heer Uysal: Dat is zeker een duidelijk antwoord. Een vervolgvraag. Dit zit natuurlijk heel erg in de uitvoering. En ik ben gewoon als raadslid heel erg benieuwd in hoeverre wij als raadslid, als raad dan grip kunnen houden op dit soort processen.

15

Want vaak hoor je alleen maar als het echt faliekant misgaat. Dan is inderdaad de geest uit de fles. Maar je zou natuurlijk als raad in je controlerende functie dat aan de voorkant willen beperken, voorkomen. Hoe kunnen wij daar als raad grip op houden? De heer Brabander: Wat nu in voorbereiding is, is onder andere ook een beleidstraject op dit vlak. Want dat gaan we toch zien, hoewel er wettelijke kaders zijn en er nog meer komen, er zijn wel wat keuzes om te maken. En in dat beleidstraject willen we ook samen met... Dat doen we regionaal, maar we willen ook bestuurlijk en ook graag samen met jullie als raad opstellen. Samen kijken van, hoe kunnen jullie die rol invullen? Wat vinden jullie belangrijk? Dat raakt ook meer de publieke waardendiscussie. Dat is altijd de belangenafweging, zodat we dat een goed plekje kunnen geven. Ook die processen goed kunnen inrichten, zodat ieder zijn eigen rol goed kan invullen in dit speelveld. We zijn gewoon, dat zie je in heel veel gemeenten nu in Nederland, toch een beetje nog zoekende. De heer Wringer: Dank, voorzitter. Ook even een bruggetje. AI werkt natuurlijk alleen maar goed als je het data voert. Hoe meer data, hoe beter AI wordt. Dit is ook een ergernis van mij, en ik denk ook bij meerdere raadsleden, op onze RIS staan heel veel pdf-documenten die zijn ingescand. Die zijn niet toegankelijk en niet machine readable.

Wordt daaraan gewerkt? Want dat is een hele vervelende voor ons om te zoeken. Sowieso werkt het zoeksysteem op het RIS heel slecht, maar ook dat zou weer met AI verbeterd kunnen worden. En dan in een koppeling met het oude RIS, kan je mooi een tijdlijn van onderwerpen eruit grijpen. De heer Brabander: Ik heb persoonlijk het antwoord niet op die vraag, maar misschien is dat ook nog goede om te noteren, als dat kan, om later even uit te zoeken en op terug te komen. De voorzitter: Die nemen wij zeker mee. En ik heb zelf altijd de oplossing door gewoon op internet te zoeken. Dan vind je de stukken heel snel. Mijnheer Bootsman. De heer Bootsman: Dank u. Google Search werkt inderdaad goed. Maar ik wilde nog even een kleine aanvulling geven op de vraag van de heer Wringer. Want het feit dat je met die ingescande documenten zit, zijn ook veelal openbare documenten. En het zorgt ervoor dat slechtziende mensen daar geen kennis van kunnen nemen. Het is ook een groot toegankelijkheidsissue. Want slechtziende mensen maken gebruik van voorleessoftware, over het algemeen. Die wilde ik nog even erbij gezegd hebben. De heer Brabander: Goede aanvulling. Dank. De voorzitter: En dan heb ik zelf even als voorzitter toch ook een vraag, als dat mag. Al die zaken die ingevoerd worden, wordt daar een ethische norm langs gelegd? Want ik hoor nu... De heer Uysal zegt, dat is leuk voor de Sociale Dienst.

Dan kan je dingen misschien wat makkelijker doen. Terwijl juist van de week was het in het nieuws van dat menselijke contact, meer het maatwerk, je moet de mensen zien om te zien wat er ook speelt. Zo’n chatbot kan aan mij alleen maar van, ik snap uw vraag niet. Dat krijg ik altijd, ik snap uw vraag niet. Stel hem nog een keer.

16

De heer Brabander: Herkenbaar. De voorzitter: Verschrikkelijk. Ik bedoel, toch voor bepaalde dingen vraag ik me af of het ethisch wel verantwoord is.. De heer Brabander: In de voorbeelden die we daarnet hadden over de proces ondersteunende regel gebaseerd... Op een gegeven moment, dat is ingebakken. Daar is het, zover mij bekend, niet gebeurd. In het kader van de beleidsregels, waar we net over hadden, gaan we ook kijken inderdaad rondom de, wat ik zeg, publieke waarde kant, mar ook ethische processen of processen rondom ethiekborging en de discussie daarom, dat nemen we ook daarin... Is het idee in ieder geval, om dat ook mee te nomen om dat goed te gaan inrichten binnen de organisatie en het liefst regiobreed. Er is op dit moment niet een vast proces. Dat wil niet zeggen dat er niet over nagedacht wordt. Want langs zeker de privacy lijn... En er zijn verschillende disciplines die wel daarin meedenken. Of het vanuit de privacyhoek of de verwijzingshoek of datahoek, daar wordt wel over nagedacht, maar nog wat in stukjes. Andrea? Mevrouw Van Gent: Ik wilde inderdaad aanvullen dat ervan uit zowel data als privacy altijd heel scherp wordt gekeken naar het ethische aspect. Die voelen ook zelf die verantwoordelijkheid heel erg om dat te doen. Maar ik wilde ook even onder de aandacht brengen dat de VNG hier een heel mooi standpunt, vind ik, over heeft geschreven.

En zij zeggen eigenlijk, luister, wij zijn verantwoordelijk voor het borgen van die democratische waarden. Menselijk contact, zicht op besluitvorming. En die moet jij als gemeente gaan pakken, boven alle technische kansen en mogelijkheden en noem maar op. Landelijk worden daar best wel veel handvatten vanuit de VNG ook gegeven aan gemeentes, om dat invulling te geven. Dat loopt. En wij volgen daarin ook vaak de initiatieven van de VNG, die dat, vind ik, heel goed doen. De heer Brabander: Dank voor de aanvulling. Zeker. Absoluut. Dan een aantal hebben grote kansen. Kom ik zo nog wel op wat voorbeeldjes. En de nodige risico's. Je ziet eigenlijk vanuit diverse gremia op Europees en nationaal niveau, waar ook wel gewerkt wordt aan ofwel wettelijke kaders, verordeningen. De AI-verordening speelt al een lange tijd op Europees vlak. In het voorjaar, fingers crossed, wordt dat eindelijk definitief en gaat hij in. Rijksoverheid gaat kaders bieden ook of eisen stellen aan zowel de leveranciers als de gebruikers van AI, conform... Er zitten wat formele definities in en een risicoclassificatie. Dat gaat voor nu, gezien de tijd, even te ver. Maar daar staat duidelijk gedefinieerd, dit is een hoog risico of dit is verboden. Dat mag überhaupt niet. Het is een hoog risico, dat mag, mits. Een gemiddeld risico, dat mag. Dan hoef je iets minder mitsen. En dit is een laag risico.

De vulgraadsensor, bijvoorbeeld, in een ondergrondse container, mits dat los gebruikt wordt. Puur, hoe vol is hij? Als hij niet functioneert, zou dat impact kunnen hebben op burgers natuurlijk. Dat hij vol is en iemand probeert hem open te doen. Maar wordt niet als een hoog risico gezien. De Rijksoverheid heeft ook eind vorig jaar een standpunt ingenomen. In ieder geval een voorlopig standpunt als het gaat om generatieve AI, ChatGPT en vergelijkbare oplossingen. Een heel uitgebreid stuk. Maar de kern is, nu binnen de Rijksoverheid presteren is gewoon niet-gecontracteerde oplossingen. Als in, er is geen contract afgesloten met een partij waar je voorwaarden aan kan verbinden.

17

Gratis versies van ChatGPT en vergelijkbare tools zijn binnen de Rijksoverheid niet toestaan. Is alleen toegestaan mits er echt een contract is. Als iemand zegt, wij doen een aanbesteding en daar komt, ik noem maar wat, ChatGPT Enterprise uit. En we hebben voorwaarden daaraan en dat is getoetst en enzovoort. Zou dat mogen? Binnen de overheid wordt veel met de Microsoft-omgeving gewerkt. Daar zitten vergelijkbare oplossingen in, met Enterprise voorwaarden. Grootzakelijk gebruik voorwaarden. Dan zie je wel dat dat alsnog getoetst... Maar dat dat geaccepteerd wordt, mits dat er aan de voorwaarden voldaan wordt. Er staan nog meer dingen in. Maar voor wie interesse heeft, zeker een interessant stuk om te lezen. En ChatGPT is een voorbeeld van, noemen we, een taalmodel. Het is echt getraind. Een algoritme getraind op heel veel tekst, taal. Maar de bulk van die teksten, komen eigenlijk uit Amerikaanse bronnen of Duitse bronnen. En wat uit andere landen. Eigenlijk maar twee procent, heel weinig, uit Nederland. Op het moment dat je... Afhankelijk van de vraag die je stelt... Het kan mooie teksten schrijven als het op inhoud gaat. Stel je vraagt, ik wil een beschrijving van een bruiloft, krijg je al snel een beschrijving van een Amerikaanse bruiloft, want daar is het op getraind. Afhankelijk van hoe je het wil gebruiken, is het niet altijd even handig.

En zitten er de nodige ethische bezwaren aan van, weet je, het is getraind op weliswaar data die op internet stond, maar auteursrechten, privacygevoelige dingen. Het stond open, maar dat zegt niet dat je het mag gebruiken. Daar zitten wat zorgen bij. Vanuit de Nederlandse overheid en het bedrijfsleven, TNO en dergelijke, is gezegd, we moeten eigenlijk een soort GPT NL. Nederlands taalmodel getraind op Nederlandse teksten, conform de Nederlandse ethische normen, zullen we maar zeggen. Westerse normen. Met toestemming van dataeigenaar et cetera. Om in ieder geval voor de Nederlandse overheid en Nederlandse bedrijven een taalmodel te hebben, waar we zelf regie over hebben en weten hoe het werkt. Om een aantal van de ethische vraagstukken te tackelen. Dat gaat relatief gezien niet bijzonder veel... Het gaat om tien miljoen, volgens mij. Tien miljoen euro. In de schaal van waar een OpenAI, de ontwikkelaar van ChatGPT, in investeert, is dat niet heel veel geld. Ontwikkelingen gaan sneller. Gaan we even kijken of het filmpje gedrukt kan worden. Ik weet niet of het... Kan ik daar klikken gewoon? Ik denk, daar wordt hij bediend. Ik denk, het is zo... Perfect. [Er wordt een filmpje afgespeeld] De heer Brabander: Hier is geen cameraman bij te pas gekomen. Dat hangt een beetje ervan af, maar je moet wel vrij concreet zijn inderdaad wat je ziet. Maar je ziet dat het beeld...

Dit is eigenlijk het zusje van ChatGPT. Sora is ook van OpenAI. Is vorige week of anderhalve week, twee weken terug uitgekomen. Je ziet eigenlijk, er zitten nog wat dingetjes in die niet helemaal kloppen. Maar je ziet hoe hard dat het eigenlijk het afgelopen jaar gegaan is. Vorig jaar waren er schrijversstakingen in Amerika, ook voor films en filmscripts en dat soort zaken. Hier gaan de cameramensen waarschijnlijk... Dat is wel een ding. Er wordt wel over gesproken. Ik heb ook wel in media de stukken gelezen. Die mensen staan daar soms ook wel positief in. Je hebt in de film, los van dat je de hoofdpersoon ziet en dat soort dingen, op de achtergrond vaak allemaal elementen die nu toch ook wel met de computer gemaakt worden.

18

In The Lord of the Rings, misschien bekend, die massa’s orcs die dan rondwandelen. Die zijn echt niet met de hand... Zijn echt geen acteurs die daar staan. Dat is allemaal met de hand erin gezet. Daar zou je dan nu van kunnen zeggen, geef hem een veld vol met orcs. Dat kost aanzienlijk minder werk, terwijl het eigenlijk een beetje de bij dingen... De randdingen, daar wordt ook wel weer kansen in gezien. Het werk verandert, zullen we maar zeggen. Even kijken of dit het doet. Het gaat heel snel. En is constant de vraag, hoe raakt dit uiteindelijk bedrijven, mensen, ook de economie? Wat gaat dit betekenen qua banen? Werk verandert. Maar gaat er werk af? Komt er werk bij? Hoe gaat het verschuiven? En omdat het zo hard gaat, heb je ook niet eindeloos tijd om dat te onderzoeken. We staan erbij, terwijl het gebeurt. Die gaat één keer te hard, denk ik. Wat voorbeelden ook van kansen even, die eventueel voor de organisatie van het bestuur en de raad misschien wel relevant kunnen zijn. Vaak worden natuurlijk hele prachtige beleidsstukken geschreven door de organisatie, rapportages, ENSIArapportages, noem het op. Van alles wordt opgeschreven. Soms lang, soms kort. Samenvatten. Een nieuwe inhoud genereren is soms een dingetje. Samenvatten kan het bijvoorbeeld heel goed. Komen we zo nog wel met een voorbeeldje. Het vertalen. Vaak is het getraind op meerdere talen.