Rapport rekenkamer Algoritmes en AI 2025

Naast het zijn van een organisatiebrede vraagbaak vervult de expertisegroep AI op dit moment een adviserende rol bij AIinitiatieven binnen de gemeente. De expertisegroep AI is een multidisciplinaire groep die bestaat uit afgevaardigden met een deskundigheid in informatieveiligheid, architectuur, inkoop, wetgeving, ethiek, privacy, (strategisch) beleid, financiën, HR en control. Daarnaast is er vaste participatie uit 22 23

Gemeente Eindhoven (2025). Afwegingskader AI - Principes en maatregelen – Verantwoord inzetten van AI, p.16. Gemeente Eindhoven (2025). Afwegingskader AI - Principes en maatregelen – Verantwoord inzetten van AI, p.15.

pagina 12/60

Nota van bevindingen

de drie sectoren. In totaal bestaat de expertisegroep uit ongeveer vijftien mensen. Op dit moment is er rond de expertisegroep geen governance ingericht, maar functioneert deze als uitvoerend en adviserend team onder opdracht van de CIO. De formele governance rondom AI is nog in ontwikkeling. In dit kader zal worden vastgesteld waar verantwoordelijkheden voor beoordeling, toetsing en compliance komen te liggen. De toekomstige rol van de expertisegroep wordt hierin meegenomen. De community AI bestaat uit een veel bredere groep medewerkers. De community is opgezet als een open netwerk: iedereen met interesse in AI mag zich aansluiten. Het doel is om medewerkers en betrokkenen samen te brengen rond het thema AI, om kennis te delen, ethische reflectie te stimuleren en verantwoorde toepassingen te ontwikkelen. Verder noemt de gemeente onder dit principe het voornemen om een gedragscode voor medewerkers op te stellen hoe generatieve AI verantwoord in de praktijk kan worden gebruikt. 24 Meer informatie over de gedragscode staat onder paragraaf 2.4.

2.3.4

Principe 4 - Datakwaliteit en privacybescherming

Als belangrijk onderdeel van het vierde principe ‘Datakwaliteit en privacybescherming’ wordt het vastleggen van gegevensverwerking in het verwerkingsregister genoemd. In een verwerkingsregister staat informatie over persoonsgegevens die worden verwerkt. Het bijhouden van een verwerkingsregister is onder de Algemene Verordening Gegevensbescherming (AVG) een verplichte maatregel voor overheden. Op de website van de gemeente staat aangegeven dat het verwerkingsregister openbaar wordt in 2025.25 Bij het schrijven van dit rapport was het register nog niet online vindbaar. Van een aantal gegevensverwerkingen heeft de gemeente specifieke privacyverklaringen opgenomen op de gemeentelijke website.26

2.3.5

Principe 5 - Continu leren en verbeteren

In het kader van het principe ‘Continu leren en verbeteren’ werkt de gemeente aan het inrichten van een intranetpagina (ook wel: Vibes pagina) waar informatie over AI beschikbaar komt voor medewerkers. Uit de interviews blijkt dat de gemeente ook al invulling geeft aan deze maatregel: de expertisegroep AI levert informatie aan welke door een communicatieadviseur wordt gedeeld.27 Daarnaast publiceert de gemeente trainingen over AI op het interne leernetwerk, genaamd Studytube, om de AI-geletterdheid van haar medewerkers te verbeteren. Deze trainingen gaan onder andere over de kansen en risico’s van AI, contentcreatie met AI en ChatGPT28. De trainingen over de AVG, privacy en AI zijn facultatief en dus niet verplicht.29 De organisatie is voornemens om, zodra de gedragscode is vastgesteld de trainingen verplicht te stellen. Daarnaast is de organisatie voornemens om maatwerktrajecten aan te bieden binnen de organisatie, waarbij gebruik wordt gemaakt van casuïstiek uit Eindhoven om de inhoud zo relevant en toepasbaar mogelijk te maken. Tegelijkertijd wordt er in de 24

Gemeente Eindhoven (2025). Gedragscode gebruik Artificiële Intelligentie (AI) in het algemeen en Generatieve AI (Gen AI) in het bijzonder: Hoe (gen)AI in de praktijk verantwoord te gebruiken. 25 Gemeente Eindhoven. Geraadpleegd op 7 oktober 2025, via: https://publicaties.eindhoven.nl/. 26 Een privacyverklaring is een document dat bedoeld is om betrokkenen/externen te informeren over hoe en waarom hun persoonsgegevens worden verwerkt, terwijl een verwerkingsregister een intern document waarin is vastgelegd welke gegevens worden verwerkt en wie daarvoor verantwoordelijk is. Beide zijn verplicht volgens de AVG als een organisatie persoonsgegevens verwerkt. 27 Rekenkamer Eindhoven (2025). Interview. 28 Na afronden van de onderzoeksactiviteiten heeft de gemeente de training ChatGPT voor medewerkers verwijderd uit Studytube, omdat deze toepassing niet is goedgekeurd voor gebruik binnen de organisatie. 29 Rekenkamer Eindhoven (2025). Interview. pagina 13/60

Nota van bevindingen

praktijk nog weinig geëxperimenteerd met AI-toepassingen, in afwachting van het vaststellen van het beleid. Tot slot, om de inventarisatie van algoritmes en AI-systemen meer structureel te maken in plaats van incidenteel, werkt de gemeente aan een meldpunt waarmee medewerkers met één druk op de knop een algoritme of AI-systeem dat in gebruik is kunnen melden.30

2.4

Richtlijnen en uitvoering: Gedragscode gebruik AI en generatieve AI

De gedragscode heeft als doel om handvatten aan alle medewerkers van de gemeente Eindhoven te geven over zorgvuldig gebruik van Artificiële Intelligentie (AI) en met name Generatieve AI (GenAI) in hun werk. De gedragscode is van toepassing op alle mogelijke AI-toepassingen. De gemeente beschouwt Generatieve AI, zo staat vermeld in de uitgangspunten, als een ontwikkeling met zowel mogelijkheden als risico’s. Maar dit vraagt wel om een doordacht en weloverwogen gebruik door medewerkers. Hier moet de gedragscode bij helpen. Het is belangrijk dat medewerkers de gedragscode kennen en naleven. Daarvoor voorziet de gemeente dat de gedragscode wordt geïntegreerd in het introductieprogramma voor nieuwe medewerkers en in de opleiding Digitale Bewustwording aan de Eindhoven Academy. Dit is echter nog niet gebeurd omdat er nog geen besluitvorming over heeft plaatsgevonden. Over het besluitvormingsproces wordt onder paragraaf 2.5 verder ingegaan. De (niet vastgestelde) gedragscode kan als volgt worden samengevat 31: •

De regels in de gedragscode zijn van toepassing op alle mogelijke AI-toepassingen, waarbij medewerkers alleen officieel aangeboden AI-toepassingen van de gemeente mogen gebruiken.

•

Medewerkers mogen geen persoonsgegevens en geen bedrijfsinformatie delen met AItoepassingen, tenzij het gaat om een AI-toepassing die door de gemeente zijn goedgekeurd, geregistreerd en beveiligd. In dat geval mag de toepassing uitsluitend worden gebruikt voor het doel zoals beschreven in het AI/algoritmeregister.

•

Medewerkers worden gestimuleerd om de door de AI-toepassing gegenereerde resultaten te controleren en meerdere bronnen te raadplegen. De AI-toepassing is niet de expert, dat is de medewerker

•

Medewerkers worden aangemoedigd om open te zijn over het gebruik van AI-toepassingen en om te vermelden wanneer ze AI hebben gebruikt.

2.5

Onvoltooid besluitvormingsproces

In dit hoofdstuk hebben we beschreven hoe de gemeente de afgelopen jaren heeft gewerkt aan het ontwikkelen van beleid, met name op het gebied van het verantwoord inzetten van AI. Nog niet alle voornemens of plannen zijn uitgevoerd, met name omdat het afwegingskader en de gedragscode nog niet zijn vastgesteld. Het gevolg van het uitblijven van besluitvorming over het AI-beleid is dat veel ontwikkelingen niet verder kunnen worden gebracht. In de gevoerde gesprekken is gezegd dat er geen AI-toepassingen worden ontwikkeld of ingekocht voor productie zolang er nog geen formeel besluit is genomen over het AI-beleid. Het is wel toegestaan om behoeften te verkennen en 30 31

Rekenkamer Eindhoven (2025). Interview. Gemeente Eindhoven (2025). Gedragscode gebruik Artificiële Intelligentie (AI) in het algemeen en Generatieve AI (Gen AI) in het bijzonder - Hoe (Gen) AI in de praktijk verantwoord te gebruiken, p. 5.

pagina 14/60

Nota van bevindingen

initiatieven te toetsen aan eigen toetsingscriteria, zolang dit niet leidt tot implementatie of ingebruikname. Dit heeft niet geleid tot concrete resultaten. Hier wordt verder op ingegaan binnen hoofdstuk 3.

2.5.1

Beleidsdossier AI en algoritmes

De gedragscode en het afwegingskader zijn opgenomen in het UitvoeringsprogrammaBestuursAkkoord (UPBA). Dat betekent dat deze beleidsstukken door het college moeten worden vastgesteld en daarna met de gemeenteraad worden gedeeld. Voordat dit kan plaatsvinden, wordt het beleid door de ambtelijke organisatie voorbereid. Het sluitstuk van het ambtelijke voorbereidingsproces is besluitvorming in de directieraad (DR). De stappen in het besluitvormingsprocessen worden in het onderstaande figuur samengevat:

Ambtelijke voorbereiding

Ambtelijke afstemming

Besluitvorming in directieraad

Besluitvorming in college van B&W

Ter informatie naar de gemeenteraad

Tot op heden is het besluitvormingsproces niet voltooid. De besluitvorming is niet verder gekomen dan de DR. Om inzicht te geven hoe het besluitvormingsproces tot nu toe is gelopen wordt hieronder een overzicht op een tijdlijn gegeven. Dit overzicht laat zien dat besluitvorming over een nieuwe technologie als AI weerbarstig kan zijn omdat er vanuit verschillende gremia andere opvattingen en perspectieven op het beleid bestaan. De rekenkamer oordeelt op deze plek niet over de vraag welke opvattingen en/of perspectieven valide zijn of de overhand zouden moeten hebben, maar vindt het belangrijk om inzichtelijk te maken hoe dit proces en bijbehorende afwegingen binnen Eindhoven verlopen. Het proces geeft ook een inkijk in de cultuur van de organisatie. Het traject van besluitvorming speelt sinds de zomer van 2023. Het AI-beleidsdossier dat door het CIO-office is voorbereid bestaat uit drie onderdelen: (1) de gedragscode, (2) het afwegingskader en (3) de rapportage over Responsible AI. Het voornemen bestond om het volledige beleidsdossier in één keer bij de DR aan te bieden. Er is voor gekozen om de stukken te scheiden en afzonderlijk aan te bieden aan de DR, te beginnen met de gedragscode. De reden hiervoor is dat de gezamenlijke bundel van stukken als complex werd ervaren.

De wens van de toenmalige directeur was om de besluitvorming in delen op te knippen, zodat het beter behapbaar zou worden voor behandeling. Dat zou dan gevolgd worden door het afwegingskader. De gedragscode is nog niet vastgesteld, de andere stukken zijn nog niet formeel aan de DR voorgelegd.

2.5.2

AI gedragscode

De tijdlijnen hieronder hebben betrekking op het besluitvormingsproces rondom de gedragscode. De reconstructie van de tijdlijn is tot stand gekomen op basis van afgenomen interviews en documentstudie van conceptversies van beleidsstukken, verslagen en uitgebrachte adviezen. De reconstructie is niet uitputtend, maar is zoals gezegd illustratief om de complexiteit van het besluitvormingsproces inzichtelijk te maken. Er zijn twee figuren opgenomen waarmee de tijdlijn schematisch wordt weergegeven. Deze figuren zijn ondersteunend aan de tekst.

pagina 15/60

Nota van bevindingen

Voorjaar 2024 •Afstemming DSO •Reflectie ethische commissie •Eerste advies FG •Geen agendering in DR

Zomer 2023 •CISO-team schrijft concept-gedragscode

Najaar 2023 •Interne afstemming (advies CPO, communicatie, P&O, ethisch team) Figuur 3: Tijdlijn zomer 2023 - voorjaar 2024

Zomer 2023 De gedragscode wordt in eerste instantie geschreven door leden van het Chief Information Security Office (CISO-team). Voor het schrijven van de eerste versie laat de gemeente zich inspireren door voorbeelden van andere gemeenten. Daarnaast wordt ervoor gezorgd dat de gedragscode aansluit op bestaand beleid en andere personeelsregelingen. Najaar 2023 De eerste conceptversie wordt in het najaar voorgelegd aan specialistische disciplines op het gebied van privacy (o.a. de centrale Privacy Officer) en over de inhoud wordt afgestemd met het intern ethisch team en de Sector Personeel en Organisatie (P&O). Tot slot is er nog een advies van de Sector Communicatie om ervoor te zorgen dat de gedragscode in heldere taal en begrijpelijk is opgeschreven. Voorjaar 2024 Het resultaat van deze inspanningen is een conceptversie van de gedragscode die in het voorjaar van 2024 wordt afgestemd in het overleg tussen directieleden en sectorhoofden (DSO). Hier wordt de gedragscode goed ontvangen.32 Er vindt bredere afstemming over de gedragscode plaats, te beginnen bij de ethische commissie.

De ethische commissie reageert met waardering op de concepttekst van de gedragscode en heeft enkele aandachtspunten, waaronder de vraag hoe de functionaris gegevensbescherming (FG) en de Ondernemingsraad (OR) worden betrokken.33 De CIO ziet meerwaarde in het betrekken van de OR en vraagt aan het einde van het voorjaar eerst een eerste advies aan de FG. De FG waardeert de gedragscode als een belangrijke stap voor de gemeente Eindhoven, maar plaatst enkele kritische kanttekeningen.34 De FG benadrukt dat de titel van de gedragscode verwarrend is, omdat deze alleen generatieve AI betreft terwijl er ook nog andere vormen van AI kunnen worden gebruikt. De FG adviseert om concrete plannen te maken voor kennisopbouw en een lerende organisatie. Verder wordt geadviseerd om verificatie en controle van AI-gebruik altijd vast te leggen, privacyregels duidelijker te formuleren en kwetsbare groepen explicieter te benoemen. 32

Rekenkamer Eindhoven (2025). Interview. Ethische Commissie (februari, 2024). Verslag Ethische Commissie Brainport Smart District en Eindhoven. 34 Gemeente Eindhoven (april, 2024). Reactie Functionaris Gegevensbescherming (FG) bij DR dossier concept “Gedragscode gebruik Artificiële Intelligentie (AI). Hoe AI in de praktijk te gebruiken. 33

pagina 16/60

Nota van bevindingen

De CIO bespreekt de gedragscode met de directeur algemene dienstverlening binnen wiens portefeuille dit onderwerp valt. De directeur moet inschatten of het dossier rijp genoeg is voor agendering en besluitvorming. Er wordt voor gekozen om eerst de adviezen en aandachtspunten van de ethische commissie en FG te laten verwerken. Daarnaast zou de gedragscode inhoudelijk nog tekort schieten, zo werd er te weinig vanuit de praktijk geredeneerd waardoor hij onvoldoende behulpzaam was voor medewerkers bij concrete situaties.35

Najaar 2024

Najaar 2025

•Tweede advies FG •Advies ethische commissie •Afstemming OR

•Gesprek met FG •Besluitvorming in DR (verwacht)

Voorjaar 2025 •Voorgenomen besluit DR •Advies OR Figuur 4: Tijdlijn najaar 2024 - najaar 2025

Najaar 2024 Het CIO-office past de concept gedragscode aan en vraagt op 19 november 2024 aan de FG opnieuw om een advies. Dit advies wordt op 26 november 2024 gegeven. De FG is in het tweede advies kritisch op de methodieken (zoals de bouwblokken en de SIA) die worden voorgesteld om in te zetten voor de bescherming van persoonsgegevens: deze schieten tekort en zijn niet ‘AVG-proof’.36 De ethische commissie adviseert ook op de gedragscode en stuurt een brief aan het college van B&W met drie adviezen37: #

Aanbeveling

Toelichting

1

Stel publieke waarden centraal bij het experimenteel toepassen van AI

De ethische commissie raadt de gemeente aan om de brede maatschappelijke afweging aangaande de inzet van AI in een raadsvoorstel op te nemen.

2

Innoveer maatschappelijk verantwoord met oog voor uiteenlopende betrokkenen

De ethische commissie adviseert de gemeente om een systematische werkwijze te ontwikkelen waar continu aandacht is voor de vraag welke (ongewenste) effecten de technologie heeft voor wie.

3

Experimenteer beleidsmatig

De ethische commissie raadt de gemeente aan om niet alleen op het individuele leren in te zetten, maar ook het collectief leren te stimuleren door doelen van experimenten duidelijk vast te leggen en deze systematisch te delen in en buiten de organisatie. Bron: Ethische Commissie (10 november 2024). Advies over toepassing van Generatieve AI.

35

Rekenkamer Eindhoven (2025). Interviews. Gemeente Eindhoven (november, 2024). Advies Functionaris Gegevensbescherming (FG) bij concept DR dossier “Verantwoorde inzet van algoritmes en AI in Eindhoven”. 37 Ethische Commissie (november, 2024). Advies over toepassing van Generatieve AI. 36

pagina 17/60

Nota van bevindingen

Tot slot vindt er in het najaar van 2024 afstemming plaats met de OR. Hieruit wordt duidelijk dat de OR gebruik wil maken van hun adviesrecht, omdat het hier gaat om de invoering van een belangrijke technische voorziening.38 Voorjaar 2025 Om de OR het adviesrecht te laten uitoefenen moet de DR een adviesaanvraag doen bij de OR. Daarvoor moet eerst een zogeheten voorgenomen besluit door de DR over de gedragscode worden genomen. Dat betekent dat de DR een voorgenomen besluit heeft genomen om de gedragscode vast te stellen. Het is standaard procedure dat de adviezen van de OR en de FG verwerkt moeten worden, voordat de gedragscode formeel in de DR geagendeerd kan worden.39 Het advies van de OR volgt in het voorjaar van 2025. De OR onderschrijft het belang van duidelijke regels voor het gebruik van generatieve AI, maar plaatst ook kanttekeningen bij de uitvoerbaarheid en striktheid van sommige regels in de gedragscode. Een voorbeeld is het verbod om met persoonsgegevens in generatieve AI te werken. De OR vraagt om meer duidelijkheid, betrokkenheid van medewerkers, aandacht voor scholing en AI-geletterdheid en een concreet plan voor communicatie en evaluatie.

De gedragscode wordt gesteund, mits deze punten worden meegenomen, zo staat in hun advies geschreven.40 Najaar 2025 Het CIO-office is met het advies van de OR aan de slag gegaan bij het opstellen van de volgende versie van de gedragscode. Deze versie met input van de OR is nogmaals voorgelegd aan de FG41. Ten tijde van het schrijven van deze rapportage 42 was niet bekend wanneer de gedragscode uiteindelijk voor definitieve besluitvorming in de DR zou worden geagendeerd, maar vanuit verschillende kanten is wel de verwachting uitgesproken dat besluitvorming spoedig zou gaan plaatsvinden.4344

2.5.3

Mogelijke verklaringen

De vraag die na deze reconstructie blijft hangen is waarom het besluitvormingsproces zo’n langdurig proces is. De tijdlijn laat zien hoeveel stations in de totstandkoming de gedragscode zijn langsgegaan waarbij het verwerken van alle feedback een tijdrovend proces blijkt. De indruk kan ontstaan dat de DR pas wil instemmen met de gedragscode als alle neuzen dezelfde kant op staan. De DR stelt dat consensus binnen alle afdelingen van de gemeente geen voorwaarde is om met de gedragscode kunnen instemmen.45 De DR maakt een belangenafweging en heeft de mogelijkheid om gemotiveerd van een advies af te wijken. Afwijken van advies was echter niet aan de orde, zo wordt aangegeven, omdat de gedragscode inhoudelijk moest worden verbeterd, zoals hierboven genoemd.46 Uit het rekenkameronderzoek komt bovendien naar voren dat er geen sprake is van een gebrek aan bereidwilligheid of een gevoelde noodzaak bij diverse betrokkenen. Iedereen die is geïnterviewd heeft uitgesproken dat de komst van de gedragscode zeer gewenst is. 38

Rekenkamer Eindhoven (2025). Interview. Rekenkamer Eindhoven (2025). Interview. 40 Gemeente Eindhoven (mei, 2025). Advies Ondernemingsraad bij gedragscode generatieve AI. 41 Het verzoek om nogmaals voor te leggen is gedaan in juli 2025. Dit is gebeurd op verzoek van de toenmalige directeur. Daarna hebben nogmaals twee gesprekken plaatsgevonden met de FG over de nieuwste versies. 42 De rapportage is geschreven in oktober 2025. 43 Rekenkamer Eindhoven (2025). Interviews. 44 Volgens de planning in november 2025 wordt de gedragscode in het vierde kwartaal 2025 geagendeerd voor definitieve besluitvorming in de DR. 45 Rekenkamer Eindhoven (2025). Interview. 46 Rekenkamer Eindhoven (2025). Interview. 39

pagina 18/60

Nota van bevindingen

In de gevoerde gesprekken worden drie andere verklaringen genoemd: •

•

•

Behoedzaam gedrag: de gemeente Eindhoven stond van maart 2023 tot en met maart 2025 onder verscherpt toezicht van de Autoriteit Persoonsgegevens (AP) vanwege zorgen over de omgang met persoonsgegevens en privacy.47 Het verscherpt toezicht heeft veel impact gehad op de organisatie, veel breder dan het onderdeel privacy.48 De nadruk is meer komen te liggen op het secuur afwegen en onderbouwen van voorstellen. De gemeente is veel bewuster van haar verantwoordelijkheid bij (het verwerken van) persoonsgegevens. Bij AItools is het vaak onduidelijk wat er gebeurt met persoonsgegevens. Dat heeft ertoe geleid dat de gemeente een stuk kritischer is in wat ze wel en niet wil toestaan op het gebied van AI. Tijdens interviews wordt benadrukt dat er geen doelbewuste strategie wordt gekozen om risico-avers te handelen, maar wel wordt gezien dat de gemeente behoedzaam en voorzichtig te werk gaat.49 De nadruk is de afgelopen jaren sterker komen te liggen op het orde brengen van randvoorwaarden. Dat kan vertragend werken, maar is juist nuttig, zo wordt door betrokkenen gezegd. Beperkte capaciteit: de tweede verklaring hangt samen met het eerste punt.

Het CIO-office, dat verantwoordelijk was voor het AI-beleidsdossier, heeft de afgelopen jaren veel tijd en aandacht gestoken in de verbeteropdrachten rond privacy.50 Er was gemiddeld genomen minder capaciteit bij het CIO-office waardoor het besluitvormingsproces vertraging heeft opgelopen. Personele wisselingen: een laatste verklaring is van personele aard. In de periode tussen 2023 en 2025 is de directeur algemene dienstverlening drie keer gewisseld. Een ad-interim directeur vervulde deze functie van januari 2025 – aug 2025 waarbij AI op dat moment niet de hoogste prioriteit genoot.51

47

De AP heeft het verscherpt toezicht in maart 2025 onder voorwaarden beëindigd. Per 13 oktober 2025 is het officieel beëindigd. Hier heeft het college de raad per raadsbrief van op de hoogte gesteld. 48 Rekenkamer Eindhoven (2025). Interviews. 49 Rekenkamer Eindhoven (2025). Interviews. 50 Rekenkamer Eindhoven (2025). Interviews. 51 Rekenkamer Eindhoven (2025). Interviews. pagina 19/60

Nota van bevindingen

3.

Gebruik van algoritmes en AI-systemen

In dit hoofdstuk komt aan bod welke algoritmes en AI-systemen de gemeente Eindhoven gebruikt. Daarmee wordt de volgende onderzoeksvraag beantwoord: Welke algoritmes en AI-systemen gebruikt de gemeente en met welk doel?

3.1

Algoritmes in het algoritmeregister

In het landelijk algoritmeregister publiceren Nederlandse overheidsorganisaties informatie over (impactvolle) algoritmes die ze gebruiken die een grote invloed kunnen hebben op mensen, processen of besluiten. Denk bijvoorbeeld aan een algoritme dat wordt gebruikt bij het toekennen van subsidies of het opleggen van boetes. Daarnaast is het mogelijk om hoog-risico AI-systemen52 in het landelijk algoritmeregister te publiceren. De informatie uit het algoritmeregister geeft inzicht in hoe het algoritme werkt, welke data gebruikt worden en welke risico’s dit kent. 53 Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) hanteert voor het landelijke algoritmeregister richtsnoeren om overheden te helpen bepalen welke algoritmes in het algoritmeregister thuishoren. 54 Daarnaast hanteert het ministerie het uitgangspunt publiceren, tenzij. Hiermee wordt bedoeld dat BZK overheidsorganisaties aanmoedigt om hun algoritmes te publiceren als er twijfel of discussie bestaat.

55 In mei 2023 is de gemeente Eindhoven aangesloten bij het landelijk algoritmeregister, waarin zij tot op heden (slechts) twee algoritmes gepubliceerd heeft, namelijk 1) een algoritme dat wordt gebruikt bij het uitvoeren van parkeercontroles56 en 2) een algoritme dat de gemeente gebruikt om werkzoekenden met een afstand tot de arbeidsmarkt op basis van een vaardighedenprofiel te koppelen aan mogelijke banen in de regio. 57 Met twee algoritmes publiceert Eindhoven significant minder algoritmes dan andere gemeentes.58 Gevraagd naar het lage aantal gepubliceerde algoritmes stelt Eindhoven dat er kritisch word gekeken naar de vraag of het om een impactvol algoritme of hoog-risico AI-systeem gaat.59 Alleen algoritmes die als hoog-risico of impactvol worden aangemerkt, worden gepubliceerd. Voor deze keuze is bestuurlijk akkoord verkregen.60 Het is duidelijk dat andere gemeenten ruimhartiger zijn geweest in het interpreteren van de uitgangspunten dan Eindhoven.

52

Een hoog-risico AI-systeem is volgens de Europese AI-verordening een systeem dat een aanzienlijk risico vormt voor de gezondheid, veiligheid of fundamentele rechten van mensen. Ze worden gebruikt in gevoelige domeinen zoals onderwijs en beroepsopleidingen, werkgelegenheid en personeelsbeheer, essentiële publieke en private diensten, rechtshandhaving en migratie en biometrische identificatie. 53 Het Algoritmeregister. Geraadpleegd via: https://algoritmes.overheid.nl/nl 54 Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (2025, mei). Handreiking Algoritmeregister, p. 9. Op dit moment is het registreren van algoritmes nog vrijwillig, maar de overheid werkt wel aan een wettelijk kader dat meer duidelijkheid geeft over het verplicht registreren van bepaalde algoritmes. 55 In het algoritmeregister wordt onderscheid gemaakt tussen drie categorieën algoritmes die overheidsorganisaties kunnen registreren: (1) impactvol, (2) hoog-risico AI-systemen en (3) overig. 56 Parkeercontrole. Geraadpleegd via https://algoritmes.overheid.nl/nl/algoritme/gm0772/17713131/parkeercontrole 57 Passport for Work. Geraadpleegd via: https://algoritmes.overheid.nl/nl/algoritme/gm0772/81748730/passport-for-work 58 In vergelijking: Amsterdam heeft in totaal 62, Utrecht 45, Den Haag 40 en Rotterdam 22 algoritmes gepubliceerd (peildatum: 10 oktober 2025) 59 Rekenkamer Eindhoven (2025). Interview.

60 Gemeente Eindhoven (2023). Collegebrief: Publicatie algoritmes in landelijk algoritmeregister. pagina 20/60

Nota van bevindingen

3.2

Intern algoritmeregister

Ondanks dat Eindhoven slechts twee algoritmes in het openbare algoritmeregister heeft gepubliceerd, bestaat er intern een uitgebreider overzicht. In dit niet-openbare interne overzicht staan, naast de hoog-risico- en impactvolle algoritmes, ook de overige algoritmes van de gemeente61. Die staan samengevat in het zogenoemde ‘intern algoritmeregister’. In het intern algoritmeregister staan naast de twee eerder genoemde, nog de volgende zeven algoritmes62: Naam

Portefeuille en sector

Korte omschrijving

Aangifte verwerken

Algemene Dienstverlening, Publiekscontacten

Algoritme dat bepaalt of een aangifte geautomatiseerd verwerkt kan worden of dat een gemeentemedewerker hier naar moet kijken.

Vroegsignalering en schulden

Sociaal Maatschappelijke Opgaven, Sociaal Maatschappelijke Ondersteuning

Algoritme dat op basis van voorgeselecteerde criteria bepaalt op welke manier inwoners met schuldenopbouw benaderd worden.

Aanvraag collectieve zorgverzekering gemeente

Sociaal Maatschappelijke Opgaven, Sociaal Maatschappelijke Ondersteuning

Algoritme om het administratieve aanvraagproces voor een collectieve zorgverzekering bij de gemeente te automatiseren.

GemChat

Algemene Dienstverlening, Publiekscontacten

Algoritme binnen een chat waarmee vragen en informatieverzoeken van bewoners buiten kantooruren worden beantwoord of worden doorgeleid naar een medewerker.

Anonimiseeroplossing63

Algemene Dienstverlening, Facilitaire en Administratieve Ondersteuning

Algoritme dat wordt ingezet om persoonsgegevens in documenten te anonimiseren

ANPR-auto

Algemene Dienstverlening, Publiekscontacten

Algoritme dat wordt gebruikt om openstaande aanslagen met een executoriale titel te vorderen die niet op een andere wijze kunnen worden geïnd. Dit gebeurt in samenwerking met de Politie

Signalen

Algemene Dienstverlening, Publiekscontacten

Algoritme dat wordt ingezet om meldingen openbare ruimte van bewoners te categoriseren en door te geleiden naar de juiste plek binnen de gemeente voor afhandeling Tabel: Algoritmes uit het interne algoritmeregister van Eindhoven

Ondanks dat het interne algoritmeregister van de gemeente meer inzicht biedt in de in gebruik zijnde algoritmes komt het aantal nog niet in de buurt van wat de G4-gemeenten openbaar hebben gepubliceerd. Eindhoven maakt vaker dan andere gemeenten de inschatting dat een algoritme niet impactvol is, blijkens de publicatie van een soortgelijk algoritme in het landelijk algoritmeregister door een andere gemeenten. Zo is het algoritme dat voor vroegsignalering schulden wordt gebruikt door zeven andere gemeenten wél gepubliceerd, waarvan door vijf gecategoriseerd als impactvol algoritme.64 Dit geldt 61

Dit register is niet intern opengesteld. Gemeente Eindhoven (juli, 2025). Intern algoritmeregister. 63 De gemeente Eindhoven merkt deze oplossing aan als een algoritme, terwijl veel andere gemeenten die als een vorm van AI zien. 64 Het landelijk algoritmeregister. Geraadpleegd op 10-11-2025 via: https://algoritmes.overheid.nl/nl, zoekterm ‘vroegsignalering’ 62

pagina 21/60

Nota van bevindingen

ook voor GemChat. Deze virtuele assistent is door twaalf andere gemeenten gepubliceerd, waarvan door zeven als impactvol algoritme gecategoriseerd.65 De gemeente is zich bewust van het relatief lage aantal geïdentificeerde algoritmes. Onder leiding van het CIO-office wordt geprobeerd de inventarisatie van de in gebruik zijnde algoritmes structureel op orde te brengen.66 Hiervoor wordt onder andere een aanmeldpunt op intranet opengezet waarin medewerkers uit alle sectoren melding kunnen maken van een algoritme en/of AI-systeem dat in gebruik is. Daarnaast onderneemt het CIO-office zelf initiatief door in gesprek te gaan met proceseigenaren en strategisch informatiemanagers binnen verschillende gemeentelijke sectoren om zo een vollediger overzicht te hebben waar algoritmes worden gebruikt. Een dergelijk overzicht is bij het CIO-office niet volledig aanwezig, omdat sommige IT-toepassingen decentraal (door de sectoren) zijn ingekocht.67 De gemeente Eindhoven heeft wel geïnvesteerd in de volledigheid en uitgebreidheid van de informatie die over de algoritmes beschikbaar is. Het intern algoritmeregister is rijk aan informatie.

Per algoritme zijn verschillende informatiecategorieën beschreven, waaronder het type algoritme, het doel en impact, de afwegingen, de manier waarop menselijke tussenkomst is geregeld 68, vormen van risicobeheer, de gegevens die met het algoritme worden verwerkt en informatie over de technische werking. De gemeente Eindhoven heeft bijgedragen aan het ontwikkelen van een internationale standaard: de Algorithmic Transparency Standard.69 De standaard (nog in bèta-versie) is een gestandaardiseerd raamwerk dat overheden helpt om op een duidelijke en consistente manier informatie te verstrekken over algoritmes die zij gebruiken in hun besluitvormingsprocessen.

3.3

AI-initiatieven

In hoofdstuk 2 zijn de beleidskaders van Eindhoven voor algoritme- en AI-gebruik toegelicht. Daarin is ook uitgelegd dat het beleid nog niet formeel is vastgesteld. De consequentie van het niet vaststellen van beleid is dat de ambtelijke organisatie op dit moment geen formele stappen zet bij de ingebruikname van AI-systemen. Desalniettemin is de gemeente wél gestart met het in kaart brengen van de functionele behoeften en wensen naar AI binnen de sectoren. Onder leiding van het expertisegroep AI (zie voor een uitleg hoofdstuk 2) is bij sector- en afdelingshoofden opgehaald of zij ideeën, wensen en behoeften hebben om met AI hun processen te ondersteunen. Dit heeft geresulteerd in een uitgebreide lijst met 33 mogelijke initiatieven. In de tabel hieronder staan enkele van deze initiatieven ter illustratie genoemd. Let wel: deze hebben nog geen formele status en worden op dit moment niet verder ontwikkeld. Daarmee bedoelen we dat ze in een onderzoeksfase zijn en dus nog niet worden ingekocht en/of worden geïmplementeerd in productie. Ze geven inzicht in wat voor soort ideeën en behoeften er binnen de sectoren m.b.t. AI-ondersteuning bestaan70:

65

Het landelijk algoritmeregister. Geraadpleegd op 10-11-2025 via: https://algoritmes.overheid.nl/nl, zoekterm ‘virtuele assistent’. 66 Rekenkamer Eindhoven (2025). Interview. 67 Rekenkamer Eindhoven (2025). Interview. 68 Bij algoritmes verwijst menselijke tussenkomst naar momenten waarop mensen actief betrokken zijn bij het ontwerp, de toepassing, het toezicht of de beoordeling van een algoritme. 69 Autoriteit Persoonsgegevens (juli, 2025). Aan de slag met algoritmeregistratie, p. 4. 70 Gemeente Eindhoven (juli, 2025). Lijst met AI-initiatieven. pagina 22/60

Nota van bevindingen

Tabel 1: Voorbeelden van AI-initiatieven die zijn geïnventariseerd Naam

Portefeuille en sector

Korte omschrijving

ChatEindhoven

Algemene dienstverlening, CIOoffice

Een gecontroleerde versie van ChatGPT die draait in de IT-omgeving van Eindhoven voor alledaagse werkzaamheden zoals het samenvatten van beleidsstukken en verbeteren van teksten

Dynamische content op de website

Algemene dienstverlening, Communicatie

Een onderdeel van de gemeentewebsite dynamisch laten vullen op basis van AI. Bijvoorbeeld als het vriest informatie over strooiwagens op de startpagina

Slimme verlichting in de stad

Ruimtelijk economische opgaven, Ruimtelijk beleid & ontwikkeling

Wens om te kijken of met AI kan worden gekomen tot een Intelligent Lichtsysteem Eindhoven. Idee om armaturen / verlichting in de stad slim aan te sturen op basis van sensoren en activiteit. Bijvoorbeeld de kleur verlichting in de winkelstraat veranderen als de winkels gesloten zijn

Dienstverlening aan ondernemers

Ruimtelijk economische opgaven, Economie & cultuur

AI gebruiken om producten en diensten aan ondernemers aan te bieden en de next best action aan te bieden. Bijvoorbeeld: ik wil in de zomer een evenement organiseren, AI helpt bij wat je allemaal nodig hebt om dit te mogen organiseren

Beheer van de openbare ruimte

Ruimtelijk economische opgaven, Stadsbedrijf

Er wordt nagedacht of AI kan ondersteunen bij het beheren van de openbare ruimte, zoals in de groenvoorziening

Faciliteren van klantcontact

Algemene dienstverlening, Publiekscontacten

Er wordt nagedacht over de inzet van AI voor het soepeler afhandelen van klantcontact. Bijvoorbeeld bij het beantwoorden van vragen, het bieden van ondersteuning aan callcenter medewerkers of het analyseren van klantgesprekken

De lijst laat zien dat binnen de ambtelijke organisatie veel ideeën bestaan over ondersteuningsmogelijkheden met AI. Uit de gevoerde gesprekken in het kader van dit onderzoek blijkt dat er binnen de sectoren een groeiend geloof is dat AI hen kan helpen om processen efficiënter te maken. Medewerkers laten weten dat er bovendien een toenemende noodzaak is om maatschappelijke opgaven slimmer uit te voeren, zoals het bouwen van extra woningen en het versnellen van de energietransitie.71 Er komt veel werk op de gemeente af en de verwachting is dat het aantal medewerkers niet navenant zal stijgen. Hiervoor wordt binnen de sectoren nadrukkelijk naar AI als mogelijke oplossing gekeken.

3.4

Uitwerken van AI-initiatieven

De expertisegroep AI vervult een adviserende rol bij het uitwerken van AI-initiatieven. Vanuit een multidisciplinair perspectief draagt de groep bij aan kennisontwikkeling, het delen van inzichten en het ondersteunen van initiatiefnemers op gebied van AI. Door middel van de begeleiding en coördinatie van de expertisegroep is de hoop dat besluitvorming over nieuwe initiatieven kan worden versneld.72 Tot dusver is de rolneming van de expertisegroep AI echter nog niet geformaliseerd, in afwachting van vaststelling van de besluitvorming over het beleid (zie hoofdstuk 2).

71 72

Rekenkamer Eindhoven (2025). Interview gemeente. Rekenkamer Eindhoven (2025). Interview gemeente.

pagina 23/60

Nota van bevindingen

Het merendeel van de AI-initiatieven binnen Eindhoven wordt op dit moment in afwachting van het vaststellen van het formeel beleid niet uitgewerkt. Van vier initiatieven wordt de behoefte verder uitgewerkt: 1. ECHO Dembrane: een AI-tool die verslagen van participatiebijeenkomsten automatisch notuleert. Deze tool neemt gesprekken op en genereert samenvattingen die gebruikt worden als terugkoppeling naar bewoners en in besluitvorming.73 2. Gebruik van Microsoft Copilot: deze tool kent een integratie met Microsoft 365 dat binnen de gemeente wordt gebruikt. Copilot is een digitale assistent met specifieke toepassingen binnen applicaties als Word, PowerPoint en Outlook kent. Eindhoven wil kijken of medewerkers met behulp van Copilot efficiënter kunnen werken. 3. DocAI: de leverancier die het systeem levert voor het afhandelen van WOZ-bezwaren van nocure-no-pay-bedrijven heeft een AI-module gebouwd om het afhandelproces efficiënter te maken. Eindhoven kijkt of ze dit willen gaan gebruiken. 4. Herkennen van verdrinkingsgevallen in zwembaden: de gemeente is benaderd door een bedrijf (Ocuma) dat software heeft ontwikkeld om toezichthouders in het zwembad te ondersteunen bij het vroegtijdig herkennen van mogelijke verdrinkingsgevallen. Ocuma ontwikkelt hiervoor een AI-gestuurd observatiesysteem dat het bedrijf graag in twee Eindhovense zwembaden wil beproeven.

3.5

Gebruik van generatieve AI door ambtenaren

Ondanks dat het AI-beleid (afwegingskader en gedragscode) nog niet zijn vastgesteld, gebruiken medewerkers wel op eigen initiatief generatieve AI. 74 De technologie heeft een grote aantrekkingskracht op medewerkers van de gemeente, blijkt uit de interviews, omdat het kan helpen bij veel dagelijkse taken zoals het schrijven van beleidsnotities, raadsvoorstellen of communicatieuitingen. Daardoor wordt er op grote schaal van generatieve AI-tools gebruik gemaakt. Het is niet duidelijk hoeveel medewerkers hier met een gemeenteaccount gebruik van maken. Wat wel duidelijk is, is dat er al veel data met deze chatbots wordt gedeeld.75 Dit duidt op intensief gebruik onder medewerkers. Ter illustratie: tijdens een interview is genoemd dat over een periode van 90 dagen ruim 30 gigabyte aan data richting ChatGPT is verstuurd. De data bestaan onder meer uit prompts, maar ook door medewerkers geüploade documenten of andere gemeentelijke bestanden. 76 Het is mogelijk dat dit gaat om openbare documenten, maar het valt niet uit te sluiten dat hier bestanden met persoonsgegevens en / of bedrijfsgevoelige gegevens tussen zitten” Het gebruik van generatieve AI binnen Eindhoven levert een vreemde situatie op, zo wordt ook door medewerkers van de gemeente aangegeven. Enerzijds is het gebruik van dit soort tooling beleidsmatig (nog) niet toegestaan, zolang het AI-beleid nog niet is vastgesteld.

Maar de tooling wordt al wel volop op de werkvloer gebruikt. In de praktijk worden nu aan dit gebruik niet of nauwelijks richtlijnen voor gebruik meegegeven, anders dan ‘gebruik je gezonde verstand’. Dit kent een aantal risico’s, zo wordt aangegeven.77 Allereerst maken de meeste medewerkers gebruik van nietgecontracteerde, gratis tools. Hierdoor heeft Eindhoven geen grip op de gegevens die medewerkers 73

Deze AI-toepassing is voor dit rekenkameronderzoek geselecteerd voor verdiepend casusonderzoek. De bevindingen hierover staan in hoofdstuk 5. 74 Generatieve AI is een vorm van artificiële intelligentie die nieuwe content kan creëren, zoals tekst, afbeeldingen, audio en video op basis van een opdracht, een zogenoemde 'prompt', van een gebruiker. De bekendste voorbeelden van generatieve AI zijn chatbots als ChatGPT (OpenAI), Copilot (Microsoft) en Gemini (Google). 75 Rekenkamer Eindhoven (2025). Interview gemeente. 76 Rekenkamer Eindhoven (2025). Interview gemeente. 77 Rekenkamer Eindhoven (2025). Interview gemeente. pagina 24/60

Nota van bevindingen

met deze tools delen. De gebruiksgegevens kunnen eveneens door de bedrijven achter de tools gebruikt worden voor trainingsdoeleinden. Ook weet de gemeente niet goed waar de data die met deze tools worden gedeeld, worden opgeslagen en of dat goed beveiligd is. Hierdoor zijn datalekken niet uit te sluiten, waar eventueel ook persoonsgegevens en bedrijfsgevoelige documenten van Eindhoven tussen zitten.78 Er zijn nog geen situaties waargenomen waar dit risico werkelijkheid is geworden. Een derde risico is dat de gemeente geen keuze heeft gemaakt voor een AI-tool die organisatiebreed gebruikt mag worden. Hierdoor wordt er op de werkvloer een grote verscheidenheid aan AI-tools door medewerkers gebruikt. Hier kunnen ook tools tussen zitten waarvan de gemeente niet wil dat ze gebruikt worden. Een voorbeeld hiervan is DeepSeek, een chatbot die door Chinese ontwikkelaars is gemaakt. De AP heeft nadrukkelijk voor het gebruik van deze app gewaarschuwd, vanwege ernstige zorgen die er bestaan over het privacybeleid van het Chinese bedrijf en over de manier waarop DeepSeek met de persoonlijke gegevens van de gebruikers lijkt om te gaan.79 De gemeente heeft de toegang tot DeepSeek geblokkeerd, maar het is niet met zekerheid te zeggen dat medewerkers het niet meer gebruiken.80 Het brede gebruik van generatieve AI-tools laat zien dat er wel een functionele behoefte onder medewerkers bestaat.

Binnen de gemeente leeft daarom de wens om op korte termijn een organisatiebrede tool te selecteren en daar juridische contracten voor af te sluiten. Zo worden de veiligheidsrisico’s bovendien verkleind. Maar zolang het AI-beleid niet is vastgesteld, blijft de huidige situatie met bijbehorende risico’s status quo.

78

Rekenkamer Eindhoven (2025). Interview gemeente. Autoriteit Persoonsgegevens (januari, 2025). AP: pas op met gebruik chatbot DeepSeek. 80 Rekenkamer Eindhoven (2025). Interview gemeente. 79

pagina 25/60

Nota van bevindingen

4.

Rol van de gemeenteraad

Uit het vorige hoofdstuk wordt duidelijk dat Eindhoven in verschillende processen en diensten gebruik maakt van algoritmes en voorbereidingen treft voor het gebruik van AI-toepassingen. Dit biedt kansen voor efficiëntere dienstverlening, maar roept ook belangrijke vragen op over transparantie, rechtvaardigheid en controle. Voor de gemeenteraad is het belangrijk om sturing aan deze vragen te geven: om te waarborgen dat technologie in dienst staat van publieke waarden en om inwoners te beschermen tegen ongewenste effecten van de inzet van deze techniek. De gemeenteraad heeft daarom een rol bij algoritmes en AI. Deze rol is expliciet meegenomen in dit rekenkameronderzoek. In dit hoofdstuk worden twee onderzoeksvragen beantwoord: In hoeverre voert de gemeenteraad proactief zijn sturende, controlerende en volksvertegenwoordigende verantwoordelijkheid uit? En hoe wordt de raad betrokken bij en geïnformeerd over (de uitvoering van) het beleid ten aanzien van algoritmes?

4.1

Opvattingen van raadsleden

Voor het onderzoek hebben we tijdens een aparte bijeenkomst met raadsleden van gedachten gewisseld over algoritmes en AI en de rol van de raad daarbij. De uitnodiging voor de bijeenkomst is aan alle raadsleden verstuurd met het verzoek om vanuit iedere fractie één of twee leden af te vaardigen. Vanuit een groot deel van de partijen heeft een afvaardiging deelgenomen.81 Tijdens de bijeenkomst is een fictieve casus besproken die zich toespitste op AI. Dat is de reden dat hieronder ook uitsluitend naar opvattingen over AI wordt verwezen. Het karakter van de bijeenkomst was informerend en inventariserend en niet gericht op het innemen van standpunten. De bevindingen in deze paragraaf moeten daarom niet gelezen worden als ‘opvattingen van de gemeenteraad’, maar als opvattingen van raadsleden. Raadsleden zien kansen voor AI, maar benadrukken dat het gebruik alleen mogelijk moet zijn wanneer aan bepaalde randvoorwaarden wordt voldaan en afdoende waarborgen worden getroffen. Bij het stellen van kaders staat voor de raadsleden centraal dat de inzet van AI niet ten koste mag gaan van waarden zoals privacy, transparantie, recht op menselijk contact, recht op bezwaar, digitale autonomie en neutraliteit (minimaliseren van bias). Als volksvertegenwoordigers wijzen de raadsleden op het belang van vertrouwen. Vertrouwen in de overheid is kwetsbaar: het kan door één fout snel verloren gaan.

Daarom moet de gemeente zorgvuldig te werk gaan bij het gebruik van een nieuwe technologie als AI. Maar dit moet in de ogen van raadsleden innovatie niet in de weg staan. Burgers verwachten digitaal met de gemeente zaken te kunnen doen en snel geholpen te worden. De spanning tussen zorgvuldigheid en snelheid is een belangrijke uitdaging, zo werd tijdens de bijeenkomst benadrukt. De twee hoeven elkaar niet in de weg te staan, maar er moet wel een goede afweging tussen worden gemaakt. Raadsleden vinden het belangrijk dat het gebruik van AI niet als een doel op zich moet worden benaderd. De neiging kan bestaan dat de gemeente zich te veel laat leiden door de mogelijke ‘hype’

81

Aan de bijeenkomst hebben raadsleden van de volgende fracties deelgenomen: GroenLinks, VVD, PvdA, D66, SP, Volt, PvdD en LPF. Vanuit de fractie Ouderen Appèl heeft een commissielid deelgenomen. Er was geen vertegenwoordiging vanuit het CDA, Forum voor Democratie en 50Plus.

pagina 26/60

Nota van bevindingen

die nu rondom AI bestaat. Het is volgens raadsleden belangrijk om te starten vanuit maatschappelijke opgaven en van daaruit te bezien of AI een bijdrage kan leveren in het oplossen daarvan. Wanneer duidelijk is welk probleem moet worden opgelost en welke risico’s dat met zich meebrengt, kan de inzet van AI verantwoord worden overwogen. Ten aanzien van de controlerende rol van de raad is tijdens de bijeenkomst met name over risico’s gesproken. Raadsleden hebben benadrukt dat AI niet waardenvrij is: AI en algoritmes zijn niet neutraal. Ze worden ontworpen, getraind en toegepast door mensen en organisaties die bepaalde keuzes maken, en die keuzes zijn altijd gebaseerd op waarden, overtuigingen en belangen. Raadsleden wijzen op de noodzaak van controlemechanismen en een duidelijke inrichting van rollen en verantwoordelijkheden binnen de organisatie. Daarnaast benoemen zij de behoefte aan (periodieke) training en opleiding van medewerkers, zodat zij deskundig genoeg zijn om met AI om te gaan. De ethische commissie speelt een belangrijke rol voor de raad. De commissie kan de raad ondersteunen bij de controlerende taak en de inzet van AI op veilige en zorgvuldige wijze. Raadsleden vinden het belangrijk dat ze worden betrokken wanneer afwegingen moeten worden gemaakt tussen verschillende waarden. Ze willen niet slechts achteraf worden geïnformeerd.

Dat betekent niet dat raadsleden vragen om inzage in alle algoritmes en AI-toepassingen. Een risicoparagraaf bij voorstellen waarin AI en/of algoritmes aan bod komen zou een mogelijkheid zijn, zo is tijdens de bijeenkomst gezegd.

4.2

Informatievoorziening aan de raad

Op dit moment wordt de raad niet structureel of periodiek geïnformeerd over algoritmes en/of AItoepassingen, buiten de rapportage van de FG om82 en het periodieke bericht dat de gedragscode is uitgesteld. De gemeenteraad wordt namelijk periodiek geïnformeerd over het uitvoeringsprogramma bestuursakkoord. In 2024 was de gedragscode AI in de termijnkalender opgenomen voor Q4. In 2025 stond de gedragscode wederom opgenomen, nu voor Q2. In de afgelopen vijf jaar is één collegebrief83 gestuurd over het aansluiten van de gemeente Eindhoven op het landelijk algoritmeregister. De collegebrief vertelt dat de gemeente Eindhoven sinds 1 juli 2023 is aangesloten op dit register. Hiermee geeft Eindhoven invulling de ambitie uit het bestuursakkoord “Samen morgen mooier maken”, waarin transparantie over het gebruik van algoritmes ook genoemd wordt. In het algoritmeregister wil Eindhoven publiekelijk verantwoorden welke keuzes de gemeente maakt en waarom. Door algoritmes openbaar te maken, wordt inzichtelijk welke regels en instructies computersystemen hanteren bij het nemen van besluiten, zo staat in de collegebrief genoemd. Dit sluit bovendien aan bij de gemeentelijke iStrategie, waarin het toetsen van digitaliseringsactiviteiten aan publieke waarden en het mensgericht en transparant omgaan met data en algoritmes belangrijke uitgangspunten zijn.

Als bijlage bij de collegebrief worden twee algoritmes met de gemeenteraad gedeeld die de gemeente heeft gepubliceerd. Het gaat om Passport for Work en Kentekenherkenning. Ruim twee jaar na dato zijn dit nog steeds de enige twee algoritmes die Eindhoven heeft gepubliceerd. 84

82

Een voorbeeld hiervan is het Jaarbericht 2024 van de Functionaris Gegevensbescherming. Gemeenteraad Eindhoven (juli, 2023). Collegebrief Publicatie algoritmes in landelijk algoritmeregister. 84 Voor meer informatie over het landelijk algoritmeregister zie hoofdstuk 3. 83

pagina 27/60

Nota van bevindingen

Ten slotte heeft de gemeenteraad, net als andere geïnteresseerden, kennis kunnen nemen van de reflecties van de ethische commissie. Deze zijn immers openbaar.

4.3

Moties en raadsvragen van raadsleden

De afgelopen vijf jaar zijn er de volgende raadsvragen en moties ingediend over het onderwerp algoritmes en AI. •

•

•

•

Motie ‘Computer Says No’ (23 februari 2021) 85: de aanleiding van deze motie is de toeslagenaffaire, die heeft laten zien hoe het gebruik van data en algoritmes door de overheid kan leiden tot verregaande gevolgen in de levens van mensen. De motie roept het college van B&W op om een openbaar algoritmeregister in te richten waarin beschreven wordt welke algoritmes de gemeente gebruikt, voor welk doel, op basis van welke datasets en welke beslissingen ermee gemaakt worden. Het college heeft door middel van de eerder genoemde collegebrief invulling aan deze motie gegeven. Motie ‘Doe het veilig en ethisch verantwoord’ (14 maart 2023)86: in deze motie wordt opgeroepen tot een morele waardenafweging bij de inzet van data, risicovoorspelmodellen en digitale technologie in het veiligheidsbeleid van de gemeente. De indieners roepen het college van B&W op om risicovoorspelmodellen ook op te nemen in het algoritmeregister, zodat het transparant is welke risicovoorspelmodellen er toegepast worden, voor welk doel, op basis van welke datasets en welke beslissingen ermee gemaakt worden. Raadsvraag ‘AVG- hoe staat het ermee’ (21 november 2023) 87: het lid Teklenburg van Volt heeft gevraagd naar de stand van zaken van het algoritmeregister, en in hoeverre het college van plan is om meer algoritmes te publiceren.

o Ook het lid De Bruijn van GroenLinks heeft een technische vraag gesteld over de volledigheid van het algoritmeregister. Raadsvraag ‘AI en de Woo’ (23 september 2025) 88: het lid Knoester van Forum voor Democratie heeft gevraagd naar het archiveren van communicatie met AI-tools zoals Copilot. Aanleiding is een artikel waarin een juridisch expert stelt dat gesprekken met Copilot juridisch niet verschillen van e-mails of appjes, en dus onder de Archiefwet en de Wet open overheid (Woo) kunnen vallen.

85

Gemeenteraad Eindhoven (februari, 2021). Vrije Motie Computer says no? – Openbaar algoritmeregister. Gemeenteraad Eindhoven (maart, 2023). Motie Doe het veilig én ethisch verantwoord. 87 Gemeenteraad Eindhoven (november, 2023). Raadsvragen van Inge Teklenburg (Volt) over AVG hoe staat het ermee. 88 Gemeenteraad Eindhoven (september, 2025). Raadsvragen van Nicolas Knoester (FvD) over AI en de Woo. 86

pagina 28/60

Nota van bevindingen

5.

Afwegingen en waarborgen in de praktijk

In de gemeente Eindhoven wordt bij het uitvoeren van de processen gebruik gemaakt van algoritmes en zijn er voornemens AI in te zetten. In dit hoofdstuk staan we stil bij de vraag hoe de gemeente dit op een verantwoorde wijze wil doen, welke afwegingen ze daarbij maakt en welke waarborgen ze daarvoor treft. We beschrijven de procedures en vaste werkwijzen die Eindhoven heeft ingericht. Daarnaast hebben we gekeken hoe dit in de praktijk wordt uitgevoerd aan de hand van drie casussen. Voor deze casussen is gekeken naar het proces waarbinnen het algoritme of AI gebruikt wordt en hoe de governance is geregeld. Ten slotte zijn privacy en ethische aspecten onderzocht en is gekeken naar de risico’s. Daarmee geven we antwoord op de volgende onderzoeksvragen: In hoeverre risico’s rond ethiek, privacy en governance zijn (onderkend en) geborgd? En Hoe is de organisatiestructuur ingericht rond algoritmes en AI? Hoe zijn de rollen en verantwoordelijkheden verdeeld?

5.1

Beheer(sing) van algoritmes en AI

Op basis van de interviews, documentatie en casusonderzoek zien wij dat de gemeente in algemene zin waarborgen heeft getroffen voor een veilig gebruik van algoritmes en AI die aansluit bij de wettelijke kaders en gemeentelijke ICT-huishouding. Bij de aanschaf van nieuwe IT-oplossingen of bij een (wezenlijke) wijzing in aan een reeds in gebruik zijnde applicatie past de gemeente de ‘bouwblokkenmethode’ toe. Daarnaast gebruikt de gemeente een aantal instrumenten voor de beheersing van risico’s. In de volgende paragrafen worden de bouwblokkenmethode en risicobeheersingsinstrumenten beschreven.

5.1.1

Bouwblokkenmethode

De bouwblokkenmethode wordt breed toegepast bij de ontwikkeling en ingebruikname van ICT. Het doel van deze methode is om veiligheid, privacy, transparantie en regie te waarborgen bij digitale toepassingen, waaronder algoritmes en AI-systemen. De methode bestaat uit herbruikbare integrale bouwblokken, die gebaseerd zijn op onder andere vastgestelde handreikingen van de Vereniging van Nederlandse Gemeenten (VNG) en de Informatie Beveiligingsdienst (IBD). De methode bestaat uit de volgende bouwblokken: •

Privacy: Voor het blok privacy89 geldt dat het moet dienen als hulpmiddel voor het maken van afspraken over een zorgvuldige omgang met persoonsgegevens bij externe leveranciers. Bij elke aanbesteding worden er als onderdeel van het privacy bouwblok een gegevensuitwisselingsovereenkomst90, verwerkersovereenkomst en geheimhoudingsverklaring toegevoegd.

•

Architectuur: Een architect stelt een document op waarin koppelingen en samenhang tussen componenten wordt beschreven. Zo moet de digitale oplossing worden geïntegreerd met andere IT-oplossingen via het integratieplatform van de gemeente zelf, onder andere om het risico op ongeoorloofde toegang te beperken en daarmee de privacy van individuen te beschermen.

•

IT technisch beheer: Het bouwblok technisch beheer richt zich op de technische infrastructuur en het onderhoud van systemen. De “bouwblokeigenaar”, ofwel vakinhoudelijk expert, loopt een 89 90

In het onderzoek is niet specifiek gekeken naar privacyaspecten. Een gegevensuitwisselingsovereenkomst regelt de uitwisseling van persoonsgegevens tussen partijen die elk verwerkingsverantwoordelijke zijn. Een verwerkersovereenkomst wordt afgesloten wanneer de verwerker persoonsgegevens verwerkt uitsluitend namens de verwerkersverantwoordelijke. Het verschil zit in wie de verantwoordelijkheid draagt/dragen voor de gegevens.

pagina 29/60

Nota van bevindingen

checklist bestaande uit drie onderdelen door, namelijk netwerkeisen, database eisen en technisch algemeen eisen, waarbij wordt gecheckt of de inschrijver hieraan voldoet. •

IT functioneel beheer: Net als het bouwblok technisch beheer, bestaat dit bouwblok uit een checklist met meerdere onderdelen, waaronder gebruikersbeheer, gebruikersondersteuning, beheer bedrijfsinformatie, wijzigingenbeheer en operationele ICT aansturing. Hiermee wordt onder andere gecontroleerd of de het toegangsbeheer van de oplossing goed is of kan worden ingericht.

•

Security: In dit bouwblok zijn security eisen opgenomen waarbij gecheckt wordt welke relevant zijn voor die specifieke oplossing en ook of de leverancier hieraan voldoet. Zo wordt er als onderdeel van dit bouwblok bijvoorbeeld gecontroleerd of informatiebeveiliging integraal is meegenomen bij het ontwerp en de inrichting van de digitale oplossing. Dit wordt ook wel een Security Impact Analyse (SIA) genoemd.

•

Informatiebeheer DIV (digitale informatievoorziening): In dit bouwblok zijn de eisen vanuit het referentiekader informatiebeheer opgenomen. Als onderdeel hiervan wordt onder andere de toegankelijkheid van de digitale oplossing nagegaan. De bouwenblokkenmethode helpt om risico’s te beheersen en voorkomt dat digitale oplossingen buiten het zicht van de organisatie om in gebruik worden genomen.

5.1.2

Risicobeheersingsmaatregelen

De gemeente zet daarnaast een aantal instrumenten in voor de beheersing van (privacy)risico’s, namelijk de quickscan, Data Protection Impact Assessment (DPIA) bij hoog risico verwerkingen, zoals de wet voorschrijft. Dit is overigens ook een wettelijke verplichting van de gemeente.91 Daarnaast kan, wanneer een AI-toepassing mogelijk grote gevolgen heeft voor grondrechten, zoals bij hoog risico AIsystemen, een Impact Assessment Mensenrechten en Algoritmes (IAMA) worden ingezet als grondrechteneffectbeoordeling.92 Dit proces is echter nog in ontwikkeling bij de gemeente Eindhoven. Volgens het beleidskader gegevensbescherming93 wordt voor elk nieuw of gewijzigd ‘geheel van verwerkingen’ een risicoanalyse (‘quickscan’) uitgevoerd. Op basis van de quickscan wordt bepaald of er een DPIA moet worden uitgevoerd en of het ethisch team wordt betrokken. Het is aan de proceseigenaar om te besluiten of het meerwaarde heeft om het ethisch team te vragen mee te denken, bijvoorbeeld voor een afweging van publieke waarden.94 Als uit deze analyse blijkt dat het proces mogelijk hoog risico kan inhouden voor de grondrechten van betrokkenen, voert de gemeente voorafgaand aan de verwerking een DPIA uit. De gemeente heeft een IAMA uitgevoerd en het proces daarvan geëvalueerd.

Deze evaluatie moet leiden tot een procesvoorstel voor het verantwoord toepassen van algoritmes en implementatie daarvan binnen de huidige processen. Via de Planning Uitvoering Maatregelen (PUM) worden de risico’s en te nemen maatregelen vervolgens bij elkaar gebracht. Het sectormanagement c.q. de proceseigenaar is verantwoordelijk voor het daadwerkelijk implementeren en actueel houden van de maatregelen. De privacy officer heeft 91

Een DPIA is een instrument om vooraf de privacy risico’s van een gegevensverwerking in kaart te brengen en te beperken. Het doel is om te zorgen dat de verwerking voldoet aan de AVG en dat de rechten van betrokkenen goed worden beschermd. 92 De grondrechteneffectbeoordeling is een verplichting uit de AI-verordening voor hoog-risico AI-systemen om vooraf te analyseren of en hoe een AI-systeem fundamentele rechten van mensen kan schenden. Deze beoordeling helpt risico’s voor bijvoorbeeld privacy, non-discriminatie en menselijke waardigheid tijdig te signaleren en te beperken. De IAMA is een Nederlands instrument dat is ontwikkeld door de Utrecht Data School en goed dienen als praktische invulling voor de grondrechteneffectbeoordeling onder de AI-verordening. 93 Gemeente Eindhoven (2025) Privacybeleid AVG. Beleidskader gegevensbescherming, p 7. 94 Rekenkamer Eindhoven (2025). Casusbespreking. pagina 30/60

Nota van bevindingen

hierin een controlerende en bewakende rol. Indien nodig kan er worden geëscaleerd naar de proceseigenaar. Als de planning niet haalbaar blijkt, moet er worden gekeken naar een herplanning. Op basis van de onderzochte casussen zien we dat de PUM in praktijk nauwelijks herijkt wordt. 95

5.2

Casusonderzoek

De drie onderzochte casussen voor dit rekenkameronderzoek bestaan uit twee algoritmes, namelijk ‘Passport for Work’ en ‘Aangifte verwerken’ en één AI-initiatief, namelijk ‘Echo Dembrane’. Er is bewust voor gekozen om ook een AI-toepassing onder de loep te nemen, ondanks dat deze in tegenstelling tot de andere twee casussen nog niet in gebruik is. Op die manier kan in kaart worden gebracht welke afwegingen de gemeente aan de voorkant maakt. Bij de selectie van de casussen is er gekeken naar een gevarieerde samenstelling qua domein, type (regelgebaseerd of zelflerend) en rol van het algoritme (informerend, adviserend en/of besluitvormend). Op basis van de negen algoritmes die in het interne register van de gemeente zijn opgenomen, is een shortlist opgesteld. Deze shortlist bestond uit Passport for Work, Aangifte verwerken en ANPR-auto96. Over deze drie algoritmes is een gesprek gevoerd met twee medewerkers van de gemeente. Uit dit gesprek bleek dat ANPR-auto in het beheer is van de politie en niet van de gemeente. Om die reden is dit algoritme niet geselecteerd voor verdiepend casusonderzoek. Aan de casusbesprekingen hebben medewerkers van de gemeente deelgenomen die het algoritme en/of AI-initiatief goed kennen of nauw betrokken zijn bij de uitvoering en/of risicobeheersing. Hieronder geven we iedere keer een korte beschrijving van het algoritme.

Een uitgebreide analyse is te vinden in de bijlage. Vervolgens gaan we in op de bevindingen uit het casusonderzoek.