Rapport rekenkamer Algoritmes en AI 2025

Nota van bevindingen

Bijlage E

Casussen

Passport for Work Korte beschrijving Het initiatief Passport for Work (PfW) is ontstaan uit een Europese subsidie. PfW moet helpen werkzoekenden en werkgevers beter bij elkaar te brengen, zodat meer mensen aan het werk kunnen gaan. Het initiatief is tot stand gekomen vanuit een samenwerking tussen negen publiekprivate organisaties waarbij de gemeente de penvoerder is geweest. Het is een competentietool voor de doelgroep met een Mbo-1 en Mbo-2 niveau die verder van de arbeidsmarkt af staat. Het instrument bestaat uit een digitale vragenlijst en gamified testen. De resultaten leiden tot een zogeheten skillprint: een overzicht van 57 soft skills. Op basis hiervan worden passende beroepen voor de persoon gerangschikt. De skillprint kan worden gebruikt door de werkzoekende in een traject met een jobcoach of bemiddelaar. Werkgevers kunnen via een werkgeversmodule toegang krijgen tot een (anonieme) skillspool en contact leggen met kandidaten, zonder dat de achtergrond of het cv vooraf bekend is. Proces De tool is online beschikbaar en in principe kan iedereen gebruikmaken van PfW. Dat kan op eigen initiatief, maar ook op doorverwijzing. PfW wordt ingezet door professionals van netwerk- en subsidiepartners van de gemeente. Zij krijgen training om met de tool te werken en kunnen de resultaten gebruiken voor trajecten. De focus ligt op werkoriëntatie.

Het instrument staat los van uitkeringsbeslissingen. Ook kan er gereageerd worden op vacatures zonder PfW te gebruiken. Rollen en verantwoordelijkheden De verantwoordelijkheden rondom PfW zijn verdeeld over verschillende organisaties. De gemeente Eindhoven vervult een centrale rol, momenteel als penvoerder. Er bestaat een samenwerkingsovereenkomst tussen de EU en de gemeente Eindhoven en een partnerovereenkomst tussen de gemeente Eindhoven en de andere organisaties. De gemeente heeft een maatschappelijke business case102 laten opstellen voor het vervolg van PfW. De maatschappelijke business case is juli 2024 is vastgesteld door het college B&W van Eindhoven. Op basis van die business case heeft de gemeente het voornemen om de verantwoordelijkheden voor PfW over te dragen aan een stichting en deze te subsidiëren. Hiervoor wordt een uitvoeringsovereenkomst opgesteld tussen de gemeente en de stichting. De stichting moet gevormd worden door Organiq en Building Changes, twee marktpartijen uit de originele samenwerking waarbij de gemeente een toezichthoudende functie zal gaan vervullen. De business case beschrijft dat deze nieuwe werkvorm de gemeente de mogelijkheid geeft om afspraken te maken met de stichting over o.a. het voldoen aan wet- en regelgeving op het gebied van privacy103.

De overige partners die bij de subsidie betrokken waren moeten nog instemmen met de verdere afspraken tussen de gemeente en de stichting. Op dit moment verzorgt Organiq zowel het functioneel (o.a. autoriseren van rollen en rechten) als het technisch beheer (zoals hosting) van het instrument. Building Changes is verantwoordelijk voor de

102 103

Adlasz (2024). Maatschappelijke business case Passport for Work. Adlasz (2024). Maatschappelijke business case Passport for Work, p. 35-36.

pagina 55/60

Nota van bevindingen

normen die worden gebruikt door het algoritme voor het samenstellen van het skillpaspoort. De normgroepen volgen een normaalverdeling en worden periodiek gecontroleerd. Privacy, ethiek en risico’s De gemeente heeft privacyrisico’s in kaart gebracht door het opstellen van DPIA’s. Hier zijn verschillende versies van. In onderstaande opsomming zijn de verschillende versies chronologisch toegelicht: • •

•

• •

•

In mei 2021 is een eerste DPIA opgesteld voor PfW 104. Omdat deze inhoudelijk niet voldeed is er gekozen om het opstellen van een volgende versie uit te besteden. In november 2021 is een tweede versie opgesteld met ondersteuning van Privacy Company105. Deze versie bevat een hoofdstuk met maatregelen dat gezien kan worden als de PUM. Nadat een aantal maatregelen uitgevoerd waren is er in november 2022 een geactualiseerde versie van de DPIA opgesteld door Privacy Company, inclusief een overzicht met maatregelen106. Deze DPIA is echter nooit formeel vastgesteld. In januari 2025 is een nieuwe DPIA107 opgesteld voor PfW, inclusief nieuwe PUM108. De FG heeft een advies gegeven op deze DPIA109. In mei is de DPIA aangepast en ook de PUM110 herzien. Uit de ontvangen documentatie blijkt dat de maatregelen uit de PUM niet zijn uitgevoerd door de gemeente, maar worden belegd bij de op te richten stichting. Dit is een van de kritiekpunten van de FG op deze laatste versie van mei 2025. De gemeente heeft er inmiddels voor gekozen om het opstellen van de DPIA uit te besteden aan dezelfde externe partij. Dit proces loopt.

De DPIA moet straks de basis worden van toezichthoudende rol van de gemeente naar de stichting 111. De maatschappelijke business case stelt dat de gemeente en de stichting goede afspraken moeten maken over welke maatregelen er nog worden genomen vóórdat de stichting de exploitatie en doorontwikkeling ter hand neemt en welke er daarna door de stichting worden genomen. Ook moeten er afspraken worden gemaakt over hoe de stichting kan blijven voldoen aan de privacy regels en hoe dit wordt ingeregeld.112 Voor PfW is er geen SIA113 uitgevoerd. De gemeente geeft aan dat dit instrument nog niet werd ingezet ten tijde van ingebruikname van PfW. Uit de DPIA blijkt dat er bovendien specifieke testen zijn uitgevoerd om naar de informatiebeveiliging van de tool te kijken. Hierop scoort PfW 99/100 punten114, waar de gemeente Eindhoven een minimale score van 80/100 punten eist.

104

Gemeente Eindhoven (2021). Rapport Data Protection Impact Assessment – AVG. Risico’s en maatregelen bij Passport for Work. 105 Privacy Company (2021). Gemeente Eindhoven - DPIA PoC Passport for Work. 106 Privacy Company (2022) Gemeente Eindhoven - Update DPIA Passport for Work 107 Gemeente Eindhoven (2025). Data Protection Impact Assessment. Passport for Work 108 Gemeente Eindhoven (2025) Planning uitvoeren maatregelen (PUM) bij Passport for Work 109 FG gemeente Eindhoven (2025). Reactie Functionaris Gegevensbescherming (FG) bij Data Protection Impact Assessment (DPIA) Passport for Work 110 Gemeente Eindhoven (2025) Planning uitvoeren maatregelen (PUM) bij Passport for Work 111 Gemeente Eindhoven (2025). Casusbespreking. 112 Adlasz (2024). Maatschappelijke business case Passport for Work, p. 35. 113 Om de risico’s met betrekking tot informatiebeveiliging in kaart te brengen maakt de gemeente gebruik van de Security Impact Assessment (SIA). 114 Gemeente Eindhoven (2025). Casusbespreking. pagina 56/60

Nota van bevindingen

Er zijn gesprekken met de ethische commissie geweest, maar dit heeft niet geleid tot een formeel advies. Er zijn geen voornemens om het ethisch team of commissie te betrekken in de overdracht van PfW naar de stichting.115

Aangifte verwerken Korte beschrijving Voor het verwerken van aangiftes van verhuizingen naar Eindhoven en binnen de stad wordt gemaakt van algoritmes. Het algoritme controleert de verhuisaangiftes en bepaalt welke aangiftes aanleiding geven voor extra onderzoek. Als er geen bijzonderheden zijn, wordt de verhuizing automatisch door de gemeente verwerkt. Op dit moment wordt ongeveer 90% van alle aangiftes digitaal gedaan. Door middel van het algoritme worden deze aangiftes op een meer uniforme wijze beoordeeld dan als een mens dat handmatig zou doen. Daarnaast brengt het algoritme efficiëntievoordelen. Door toedoen van het algoritme hoeven er slechts tien tot vijftien aangiftes per dag handmatig te worden gecontroleerd. Het bespaart daarmee mensuren, de doorlooptijd neemt af en het kwaliteitsniveau gaat omhoog. Hiermee verbetert de dienstverlening richting de inwoner, zo stelt de gemeente. Proces Als een burger via het digitaal loket een aangifte doet van diens verhuizing, dan wordt deze aangifte opgenomen in het zaaksysteem. Het algoritme controleert de online aangifte. Als er geen bijzonderheden zijn, wordt de verhuizing verwerkt in de Basis Registratie Personen (BRP). Dit houdt in dat de aanpassing in de BRP automatisch wordt uitgevoerd. Formeel is dit een besluit van de gemeente op basis van de Algemene wet bestuursrecht (Awb).

Als de controle door het algoritme een signaal oplevert wordt de aangifte niet automatisch verwerkt, maar klaargezet voor een medewerker. De medewerker controleert dan of de aangifte in orde is. Mocht de aangifte in orde zijn, dan wordt deze alsnog verwerkt. De medewerker kan ook vragen om aanvullende documentatie en eventueel de aangifte afwijzen. Het algoritme is onderdeel van de module Inzicht van het bedrijf Centric en toetst de online aangiftes aan de hand van controles van de Landelijke Aanpak Adreskwaliteit (LAA). Binnen LAA 116 worden verschillende risicosignalen gebruikt die kunnen duiden op een foutieve adresinschrijving. De algoritmes van Centric maken dus hiervan gebruik. Daarnaast heeft Eindhoven enkele eigen criteria toegevoegd aan het systeem. Zo bestaan er adressen waarbij inschrijving alleen mogelijk is met voorafgaande toestemming van de eigenaar. 117 De gemeente controleert op dit moment circa tien tot vijftien gevallen per dag handmatig, wat neerkomt op zo’n vijftien à twintig procent van alle verhuisaangiftes. 118 Bij de aangiftes die handmatig worden gecontroleerd wordt onder meer gekeken hoe vaak de persoon verhuisd is en of er adresonderzoeken zijn geweest op vorige adressen. De controle wordt uitgevoerd door de materiedeskundige en een andere ervaren medewerker.

Er wordt steekproefsgewijs meegekeken met medewerkers die gesignaleerde aangiftes beoordelen. 119

115

Gemeente Eindhoven (2025). Casusbespreking. De signalen worden centraal gegenereerd door het ministerie van BZK. 117 Gemeente Eindhoven (2025). Casusbespreking. 118 Per jaar verwerkt Eindhoven zo’n 33000 verhuisaangiftes, waarvan 27000 digitaal. 119 Gemeente Eindhoven (2025). Casusbespreking. 116

pagina 57/60

Nota van bevindingen

In het intern algoritmeregister van de gemeente staat dat dit algoritme een informerende functie heeft. In het geval van een positief resultaat, waarbij de controle door het algoritme geen signaal oplevert, wordt de aangifte echter automatisch verwerkt zonder menselijke tussenkomst. In dat geval heeft het algoritme een besluitvormende functie. Rollen en verantwoordelijkheden Het proces ‘aangifte verwerken’ is onderdeel van het overkoepelende proces ‘Verwerken behandelen aangifte migratie'. Het sectorhoofd publiekscontacten is verantwoordelijk voor dit proces. Het technisch en functioneel beheer van het zaaksysteem is bij Centric belegd, waarmee een verwerkersovereenkomst is opgesteld. De gemeente kan wel zelf het beheer uitvoeren over de Module Inzicht. De gemeente heeft elke zes weken operationeel overleg met de leverancier. Er zijn Service Level Agreements (SLA’s) opgesteld en tactisch accountmanagers hebben eens per half jaar contact. Binnen de afdeling Informatisering & Beheer (I&B) houden service delivery managers en contractmanagers toezicht op de samenwerking.120 Privacy, ethiek en risico’s Het is belangrijk dat de criteria kloppen die binnen het systeem bepalen of een aangifte automatisch verwerkt kan worden of handmatig gecontroleerd moet worden. Deze criteria zijn eerder door een brede werkgroep met andere gemeente die ook van het algoritme gebruik maken geëvalueerd.

De gemeente Eindhoven kan daarnaast keuzes maken om eigen criteria toe te voegen. Er vindt momenteel geen periodieke evaluatie plaats van de criteria, zo geeft de gemeente aan. Er is een DPIA121 uitgevoerd in mei 2022. Er is een addendum voor de DPIA opgesteld voor het ‘sub proces geautomatiseerd verwerken van verhuizingen’. In dit document wordt aandacht besteed aan het feit dat in het proces risicoprofielen worden gebruikt. De gemeente heeft aangegeven bezig te met een vernieuwde versie van de DPIA waarin er meer aandacht besteed gaat worden aan dit specifieke algoritme binnen de Module Inzicht.122 De PUM is van 2023. Een voorbeeld van een risico en de beheersmaatregel die de gemeente treft, staat in het onderstaande kader’: Risico Beheersmaatregel “Zodra een aangifte in het ‘bakje’ voor een controle valt, beoordeelt een medewerker van de gemeente Eindhoven de aangifte. Deze beoordeling wordt gedaan op basis van verschillende factoren – zoals logica in de verhuizing en levenspad - maar bestaat daarmee deels uit aannames. Deze aannames kunnen niet bepaald worden op basis van objectieve kenmerken, dus speelt het onderbuikgevoel van de medewerker hier ook een rol. Hierin schuilt het risico van een onterechte weigering. En die kent in dit geval ook direct (rechts)gevolgen voor de betrokkene”

“Om dit (onoverkoombare) risico te mitigeren, is het van belang dat een onterechte afkeuring nog niet definitief is. Dit houdt in dat een betrokkene altijd de optie moet hebben in beroep te gaan. Dit is momenteel al geregeld doordat betrokkenen de optie hebben bij het stadskantoor langs te gaan om in bezwaar te gaan. Op deze optie wordt men in de afwijzingsbrief ook gewezen

120

Gemeente Eindhoven (2025). Casusbespreking. Gemeente Eindhoven (2022) DPIA Verwerken behandelen aangifte migratie. 122 De FG is niet in de gelegenheid gesteld om een advies uit te brengen op het addendum van de DPIA. . 121

pagina 58/60

Nota van bevindingen

Uit de casusbespreking is duidelijk geworden dat de gemeente ook een SIA heeft uitgevoerd. Uit de ontvangen documentatie blijkt dat het SIA formulier zeer beperkt is ingevuld. Een volledige classificatie voor het proces van aangifte verwerken ontbreekt. Er zijn geen specifieke maatregelen benoemd in dit document en daarmee ontbreekt ook het beeld op enige voortgang omtrent de beheersingsmaatregelen. De gemeente ziet geen specifieke risico’s voor dit algoritme. Er zijn sinds de ingebruikname van het algoritme nog weinig incidenten geweest, zo geeft de gemeente aan. De gemeente heeft het algoritme niet geclassificeerd als hoog risico en heeft daarom geen IAMA doorlopen. Ook het ethisch team is niet betrokken bij dit algoritme.

ECHO Dembrane Korte beschrijving De afdeling Stadsbeheer wil graag het opstellen van gespreksverslagen van participatiebijeenkomsten automatiseren met behulp van AI. Hiervoor wordt naar een AI-tool van Echo Dembrane gekeken. Het opstellen van gespreksverslagen gebeurt nu nog met de hand, veelal door meerdere medewerkers. Automatisering van dat werk leidt er niet alleen toe dat arbeidsuren worden bespaard, maar ook dat er sneller een gespreksverslag beschikbaar komt. Andere gemeenten waaronder ’s-Hertogenbosch maken al van de tool gebruik. Proces en rollen en verantwoordelijkheden Echo Dembrane wordt (nog) niet door de gemeente ingezet. Voor dit onderzoek kijken we daarom hoofdzakelijk naar het proces dat de gemeente doorloopt bij het in gebruik nemen van een nieuwe toepassing. De gemeente heeft ter voorbereiding al enkele stappen gezet. Zo is een quickscan gestart, hier gaan we in de volgende paragraaf dieper op in. Op basis van de quickscan wordt bepaald of er een DPIA moet worden uitgevoerd en of het ethisch team wordt betrokken. Het is aan de proceseigenaar om te besluiten of het meerwaarde heeft om het ethisch team te vragen mee te denken, bijvoorbeeld voor een afweging van publieke waarden. Onder leiding van de expertisegroep AI is de AI-tool vergeleken met de verplichtingen uit de AIverordening.

Er is bepaald dat er geen sprake is van hoog-risico, maar dat er wel transparantieverplichtingen gelden. Omdat er geen sprake is van hoog-risico, is het niet verplicht om een IAMA te doen. Een volgende formele stap is het doorlopen van de bouwblokkenmethode. Dit gebeurt in samenwerking tussen de proceseigenaar en privacy officer van de afdeling Stadsbeheer (ook de teamleider en afdelingshoofd zijn betrokken, omdat zij eindverantwoordelijk zijn voor de inzet van de tool), een strategisch informatiemanager van het CIO-office en een afgevaardigde van de sector Informatiseren en Beheer. Ten tijde van het casusonderzoek was de gemeente nog niet met de bouwblokkenmethode gestart. De verwachting is uitgesproken dat dit enkele maanden in beslag neemt. Pas als de hele bouwblokkenmethode succesvol is afgerond, kan de AI-tool door de gemeente in gebruik worden genomen. Privacy, ethiek en risico’s Voor het initiatief is een (privacy) quickscan uitgevoerd, maar deze is niet volledig. Het is niet duidelijk of de quickscan heeft geleid tot het besluit om wel of geen DPIA uit te voeren. De quickscan is ook pagina 59/60

Nota van bevindingen

onvolledig rond de vraag of er een ethisch traject wordt ingesteld voor dit initiatief. Deze vraag is niet beantwoord. Wel is er in deze voorfase al nagedacht over mogelijke risico’s. Een risico dat de gemeente voor zich ziet, is dat deelnemers aan een participatiebijeenkomst als onderdeel van hun inbreng gevoelige of persoonlijke informatie delen. Bijvoorbeeld over politieke voorkeur. Onbedoeld worden dit soort bijzondere gegevens dan ook verwerkt, omdat met de AI-tool alles automatisch wordt getranscribeerd en wordt samengevat. Als mitigerende maatregel gaat de gemeente, als de tool daadwerkelijk in productie genomen wordt, expliciet communiceren dat er tijdens de bijeenkomst stemopnames worden gemaakt. En dat deelnemers dus goed moeten nadenken of ze bepaalde dingen wel of niet willen zeggen. Het is volgens de gemeente uiterst belangrijk om aan de voorkant deelnemers goed te informeren. Daarnaast wil de gemeente in een privacyverklaring ten behoeve van transparantie uitleggen hoe de AI-tool precies werkt. Zo kunnen mensen altijd teruglezen wat er met hun gegevens gebeurt. Deelnemers moeten expliciet toestemming geven om de tool rechtmatig te kunnen gebruiken. Als iemand geen toestemming geeft, zal de gemeente de tool niet inzetten, zo is in deze voorfase al bepaald.

Het allerbelangrijkste, zo is tijdens de bespreking aangegeven, is dat de gemeente geen onnodige drempels opwerpt om aan een participatiebijeenkomst te kunnen deelnemen.

pagina 60/60

Nota van bevindingen