Uitvoeringsagenda algoritmes en AI

1. Uitvoeringsagenda algoritmes en AI Mei 2026

Inhoudsopgave 1. Uitvoeringsagenda algoritmes en AI Inhoudsopgave 2. Inleiding Doel en focus van deze uitvoeringsagenda Hoe deze uitvoeringsagenda tot stand is gekomen Actualisatie na de Visie op Digitaal Nijmegen 3. Vertrekpunt van deze uitvoeringsagenda 4. Gedeelde taal en gezamenlijk vertrekpunt Definities 5. Uitgangspunten en maatregelen Waarde toevoegen met algoritmes en AI in werkprocessen en projecten Individueel gebruik van AI Algoritmes en AI gebruik in beleidsvorming Risicobeoordeling Architectuur en toolkeuze Datagebruik Verantwoordelijkheden en belangenafwegingen Transparantie en archivering Menselijk ingrijpen, bezwaarmogelijkheden en continuïteit Inkoop, contract- en leveranciersmanagement Monitoring, beheer, evaluatie en uitfasering Ambtelijk vakmanschap en AI-geletterdheid Financiering 6. Activiteiten in de levenscyclus algoritmes en AI Verkenningsfase Projectfase Productiefase Uitfaseringsfase 7. Aanvullende activiteiten 2026 Veiligheid (security) Gebruik van generatieve AI AI-geletterdheid Criteria impactvolle algoritmes Transparantie over algoritmes Verantwoordelijkheidsverdeling Bijlage 1: Kaders voor deze uitvoeringsagenda Juridisch kader Overheidsbrede standpunten en kaders Gemeentelijke kaders Bijlage 2: Betrokken rollen in de levenscyclus algoritmes en AI Bijlage 3: Mythes en fabels over AI Bijlage 4: Referenties en geraadpleegde literatuur

1 2 3 3 4 4 5 7 7 10 10 11 11 12 12 13 13 13 13 14 14 14 15 16 17 19 19 20 21 21 22 22 23 23 24 25 25 27 30 32 33 34

2

2. Inleiding Algoritmes en AI-systemen1 vormen inmiddels een bijna vanzelfsprekend onderdeel van het dagelijks leven van Nijmegenaren. Denk bijvoorbeeld aan: • Sociale media die algoritmes inzetten om voor jou relevante content en advertenties te selecteren; • Banken die met behulp van algoritmes kredietbeoordelingen doen; • Navigatiesystemen zoals Google Maps die de snelste route berekenen. Deze systemen leveren gemak, tijdswinst, een betere entertainmentervaring of nieuwe inzichten op, maar beïnvloeden ook gedrag, de manier waarop we anderen en de wereld zien en doen soms suggesties op basis van vooroordelen die in de gebruikte data verborgen zitten. Automatisering is niet nieuw. Ook overheidstaken worden al decennialang ondersteund met algoritmes. De toegankelijkheid van deze techniek en de schaal waarop we als overheid onze taken automatiseren is de laatste jaren echter exponentieel gegroeid. Ook is er meer aandacht voor de maatschappelijke impact. Daarnaast verandert de manier van automatisering de laatste jaren: Tot een paar jaar geleden was automatisering vooral regelgebaseerd: een proces dat een vooraf gedefinieerde beslisboom volgt. ChatGPT heeft kunstmatige intelligentie (AI) - automatisering op basis van kansberekening - naar het grote publiek gebracht en heeft bovendien de schijnwerpers gezet op één specifieke vorm daarvan: generatieve AI.

Steeds meer leveranciers integreren nu ook (vormen van) kunstmatige intelligentie in hun applicaties. Voor ons als overheid levert dit nieuwe vraagstukken op, zoals: • Waar automatisering eerst betekende ‘het technisch mogelijk maken van een vooraf gedefinieerd proces’ betekent het nu ook ‘het genereren van output op basis van kansberekening en waarschijnlijkheid.’ Dit betekent een fundamentele verandering van werk. • De data die gebruikt worden om AI-modellen te trainen zijn niet neutraal en leveren dus ook ethische vraagstukken op. • De inzet van algoritmes en AI bevordert de productiviteit van mensen en efficiency, maar niet altijd de kwaliteit van het werk. • Het gebruik van algoritmes en AI zorgt voor uitdagingen in vakmanschap en verhoudingen op afdelingen, bijvoorbeeld omdat er een groter verschil ontstaat in productiviteit tussen collega’s. • Automatisering heeft als bijeffect dat de uitvoering van processen minder zichtbaar voor mensen wordt, maar we moeten kunnen blijven uitleggen hoe beslissingen tot stand zijn gekomen.

Doel en focus van deze uitvoeringsagenda We willen de kansen van nieuwe technologieën benutten om opgaven voor de stad te realiseren, maar ook voorkomen dat Nijmegenaren verstrikt raken in een systeemwerkelijkheid. We willen bewust omgaan met de mogelijkheden en bijsturen op de risico’s waar nodig. Hoewel de impact van algoritmes en AI zich uiteraard niet laat

1

Zie hoofdstuk 4 onder ‘Definities’ voor onze definitie van deze begrippen.

3

beperken tot de gemeentelijke taakuitvoering, focussen we ons in deze uitvoeringsagenda wel op het gebruik van algoritmes en AI door de gemeentelijke organisatie. We beschrijven in deze uitvoeringsagenda: • vanuit welke uitgangspunten en onder welke voorwaarden we deze vormen van automatisering willen inzetten; • de maatregelen en activiteiten om dit waar te kunnen maken. Het gebruik van AI door Nijmegenaren of externe partijen waarmee wij geconfronteerd worden vormt geen onderdeel van deze uitvoeringsagenda. Wel hebben we aandacht voor ethische aspecten, transparantie, architectuur, menselijk ingrijpen en opleidingseisen.

Hoe deze uitvoeringsagenda tot stand is gekomen Voor deze uitvoeringsagenda hebben we op meerdere manieren inspiratie opgedaan. We hebben: • Uitgebreid literatuuronderzoek gedaan naar juridische aspecten, Europese en landelijke ambities, standpunten, initiatieven, handreikingen en toolboxen; • Beleid van andere gemeenten vergeleken; • Ideeën met andere gemeenten uitgewisseld in de landelijke werkgroep algoritmes en AI en tijdens congressen; • Gesproken met verschillende hoogleraren en universitair docenten van de Radboud Universiteit; • Interne stakeholders betrokken om uitgangspunten te toetsen; • Advies gevraagd aan de Adviescommissie Digitale Ethiek. Tot slot hebben we ook generatieve AI zelf gebruikt om sommige teksten leesbaarder te maken en aanvullende bronnen te zoeken. We hebben geen AI gebruikt om tot uitgangspunten voor dit beleid te komen.

Actualisatie na de Visie op Digitaal Nijmegen Eind 2026 zal de Visie op Digitaal Nijmegen aan de gemeenteraad worden voorgelegd ter besluitvorming. Met de startnotitie Visie op digitaal Nijmegen is daarover al het bestuurlijk gesprek gestart. Tot die tijd nemen we de doelenboom, ingediende moties en ambtelijk vastgestelde richtlijnen als kaders voor deze uitvoeringsagenda. Omdat deze uitvoeringsagenda vooruitloopt op de Visie op Digitaal Nijmegen zal de uitvoeringsagenda ook uitgangspunten bevatten. Hiermee voorkomen we dat gemaakte keuzes en geplande activiteiten op zichzelf staan. Uiteindelijk zullen deze uitgangspunten verplaatst worden naar de aangekondigde Visie op Digitaal Nijmegen. Na vaststelling van de Visie op Digitaal Nijmegen zal deze uitvoeringsagenda dus worden geactualiseerd. Ook zal dan de frequentie van actualisatie van deze uitvoeringsagenda worden bepaald. Net als AI zelf heeft deze uitvoeringsagenda dus een lerend karakter. We zien dit document daarom als startpunt van een grotere ontwikkeling en zeker niet als eindpunt.

4

3. Vertrekpunt van deze uitvoeringsagenda Een gemeente heeft twee grote verantwoordelijkheden: • Enerzijds wordt van ons verwacht dat we overheidstaken zo efficiënt en effectief mogelijk uit voeren om maatschappelijke opgaven aan te pakken. • Anderzijds zijn we een grootbezitter van allerlei data en zijn we verantwoordelijk voor de bescherming van onze burgers, hun data en hun grondrechten. We moeten dus op zoek naar manieren om nieuwe technologieën te kunnen gebruiken, maar moeten ook vangrails inbouwen die de verleiding beteugelen om algoritmes en AI zo uitgebreid te gebruiken dat het de grondrechten van Nijmegenaren aantast. We zoeken naar een gezonde balans tussen beide verantwoordelijkheden vanuit het volgende vertrekpunt:

Verbetering van de kwaliteit van de uitvoering Algoritmes en AI kunnen ons op verschillende manieren helpen in de uitvoering van ons werk. Zo kunnen we onderzoek en data-analyses doen die met andere methoden niet mogelijk zijn. Sommige toepassingen kunnen een zinvollere invulling van het werk opleveren. We willen de mogelijkheden van algoritmes en AI inzetten om onze taken beter uit te kunnen voeren en de kwaliteit van onze producten en diensten te vergroten. Het inzetten van meer algoritmes en AI is geen doel op zich.

Bewuste omgang met algoritmes en AI We hebben niet de ambitie om koploper te zijn bij het gebruik van algoritmes en AI. Wel hebben we een grote ambitie in de bewuste omgang ermee. Onze doelstellingen zijn erop gericht tot deze bewuste omgang met algoritmes en AI te komen. We willen niet meer digitaliseren, maar beter digitaliseren.2

Doorvertaling van Europese, landelijke en lokale kaders Het aantal Europese en landelijke richtlijnen groeit en neemt de komende jaren alleen maar toe. Veel van deze kaders zijn nog algemeen van aard of hebben enkel de status van ambitie of aanbeveling. Wat dit concreet betekent voor de gemeentelijk uitvoering is vaak nog niet uitgekristalliseerd. Met deze uitvoeringsagenda geven we met concrete activiteiten richting aan onze inzet van algoritmes en AI vanuit het besef dat de komende jaren aanscherping en verdere uitwerking nodig zal zijn. Ook geeft deze uitvoeringsagenda aan waar en wanneer we van landelijke of Europese kaders afwijken.

Een veilige omgeving om kansen en risico’s te verkennen Onze gemeente werkt met veel gevoelige informatie en processen die direct ingrijpen in het leven van Nijmegenaren. We kunnen het daarom ons niet veroorloven om zonder vangrails te experimenteren met nieuwe technologieën. Deze uitvoeringsagenda beschrijft niet alleen de bestuurlijke, maar ook organisatorische uitgangspunten van waaruit we de kansen en risico’s van algoritmes en AI verantwoord willen verkennen.

2

Coalitieakkoord 'Ons Nijmegen, Stad van Iedereen', Gemeente Nijmegen, juni 2022

5

Lerend vermogen vergroten over de impact van algoritmes en AI Hoewel algoritmes al diep zijn doorgedrongen in ons dagelijkse (werkende) leven is het nog een zoektocht naar de exacte impact. Dat geldt op maatschappelijk, bestuurlijk als op managementniveau, maar ook in beleidsmatige en uitvoerende zin. Deze eerste uitvoeringsagenda is dan ook het startpunt van een langdurig leertraject. Van gemeenteraad tot uitvoerend ambtenaar en van adviseurs bedrijfsvoering tot medewerkers van inhoudelijke afdelingen.

6

4. Gedeelde taal en gezamenlijk vertrekpunt De wereld van algoritmes en AI is dynamisch, kent veel jargon en is omgeven door hoge verwachtingen en beloftes. Ook zijn er grote verschillen in kennisniveaus. Vaak worden termen door elkaar heen gebruikt of anders begrepen. Het risico op spraakverwarring is dus groot. Dit hoofdstuk biedt de definities van waaruit we werken. In bijlage 3 nuanceren we daarnaast een aantal hardnekkige mythes over AI-systemen.

Definities Algoritme Wij hanteren de definities van de Algemene Rekenkamer: Een algoritme is een set van regels en instructies die een computer geautomatiseerd volgt bij het maken van berekeningen om een probleem op te lossen of een vraag te beantwoorden. Dit kan resulteren in uitvoering van een overheidstaak. De rol van de mens en mate van automatisering kan per algoritme verschillen.

Automatisering Automatiseren is in zekere mate het vervangen van menselijk handelen door een zelfstandig systeem. We verdelen dit onder in 6 automatiseringsniveaus:3 De professional handelt en controleert zonder technologie

De professional hee volledige controle

De professional monitort de technologie

De professional monitort incidenteel, maar kan controle al jd terug nemen

Controle en monitoring van een professional is voor bepaalde taken niet meer nodig

De technologie signaleert wanneer controle van een professional nodig is

De technologie vraagt indien nodig om controle van een professional

De technologie gee ondersteunende informa e

De technologie controleert specifieke taken

De technologie controleert een brede setaan t aken

De technologie controleert de meeste taken autonoom

De technologie controleert alle taken autonoom

Geen automa sering

Assisterende automa sering

Gedeeltelijke automa sering

Condi onele automa sering

Hogema te van automa sering

Volledige automa sering

1

2

3

4

5

6

3

Geïnspireerd op AI in het onderwijs, NOLAI juni 2024

7

1. 2. 3. 4. 5. 6.

Geen automatisering: Het proces is volledig handmatig. De mens voert dus alle handelingen uit. Assisterende automatisering: De mens voert het volledige proces uit. Het systeem ondersteunt hierin. Gedeeltelijke automatisering: De mens voert een deel van de handelingen uit, het systeem doet de rest. De mens kan ingrijpen in de taken die het systeem overneemt. Conditionele automatisering: De mens monitort het geheel en voert beperkt taken uit. Het systeem voert een groot deel van het proces uit. Hoge mate van automatisering: De mens kan taken overnemen, maar hoeft meestal niets te doen. Het systeem voert het gehele proces uit. Volledige automatisering: De mens heeft geen rol. Het systeem voert het proces uit.

We spreken over automatische besluitvorming wanneer er sprake is van niveau 5 of 6. Hierbij voert het automatische systeem de volledige taak uit en heeft de mens op z’n hoogst een monitorende rol. Daarnaast is van belang dat de handeling of het besluit resulteert uit de volledige geautomatiseerde stap. Een proces waarin tussenstappen op niveau 5 of 6 zitten, maar de laatste betekenisvolle stap door een mens wordt uitgevoerd is geen voorbeeld van automatische besluitvorming.4

Kunstmatige intelligentie/ Artificial Intelligence (AI) Voor deze uitvoeringsagenda sluiten we aan bij de definitie van AI zoals die in de AIverordening wordt gehanteerd: Een AI-systeem is een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en dat na het inzetten ervan aanpassingsvermogen kan vertonen, en dat, voor expliciete of impliciete doelstellingen, uit de ontvangen input afleidt hoe output te genereren zoals voorspellingen, inhoud, aanbevelingen of beslissingen die van invloed kunnen zijn op fysieke of virtuele omgevingen. Bij een regelgebaseerd algoritme worden instructies door mensen gegenereerd. Bij AI is dat anders. Daar worden de instructies automatisch geleerd uit data. De instructies die door mensen worden gegeven spelen een kleinere rol. Een AIsysteem kan bijvoorbeeld aan de hand van bestaande teksten leren nieuwe teksten te genereren. Hoe het AI-systeem teksten genereert is dan niet van tevoren bepaald. AI-systemen zijn dus algoritmes omdat ze automatisch instructies uitvoeren, maar niet alle algoritmes zijn AI.5 AI-systemen zijn onder te verdelen in verschillende vormen. De grens wordt vaak gelegd bij systemen die op basis van een statistisch proces een model ontwikkelen om voorspellingen doen.

Machine learning, deep learning en generatieve AI zijn hier allemaal vormen van, waarbij de grootte van het model het belangrijkste

4

https://www.autoriteitpersoonsgegevens.nl/documenten/handvatten-betekenisvolle-menselijke-

tussenkomst 5

Focus op AI bij de Rijksoverheid, Algemene Rekenkamer, 2024

8

onderscheid vormt. Generatieve AI onderscheidt zich doordat het model geschikt is voor veel bredere toepassing dan andere AI-modellen, en nieuwe inhoud als output heeft.

Besluitvorming De focus ligt in dit document op algoritmes. Deze zijn altijd onderdeel van een proces. Dit proces leidt tot een handeling of besluit. Het soort besluit bepaalt mede de impact en te nemen maatregelen. We onderscheiden de volgende vormen van besluitvorming waarin algoritmes een rol hebben. Beleidsvorming: Een algoritme kan bijvoorbeeld tekstdelen genereren of data analyseren ter onderbouwing. Besluiten in de zin van de Algemene wet bestuursrecht (beschikkingen). Besluiten waartegen bezwaar en beroep mogelijk zijn, die impact hebben op de rechtspositie van Nijmegenaren. Interne procesbeslissingen Interne processen, zoals postverwerking, waarbij tekstherkenning wordt ingezet. Deze hebben geen directe rechtsgevolgen maar kunnen indirect wel impact hebben. Informatievoorziening Geen besluiten in juridische zin, maar wel communicatie die gedrag kan beïnvloeden. Denk aan publieke chatbots, maar ook aan inwonerscommunicatie waarbij een tekst geschreven is met behulp van kunstmatige intelligentie.

Transparantie en uitlegbaarheid Een algoritmisch model is transparant wanneer bekend is met welke formules, handelingen, data en waarden een model output genereert. Een transparant algoritme is het tegenovergestelde van een black box-algoritme waarbij eerdergenoemde elementen niet inzichtelijk zijn. Een transparant model betekent niet automatisch dat het gebruik van het model ook begrijpelijk en uitlegbaar is. Een model is uitlegbaar wanneer uit te leggen en te begrijpen is waarom het model bepaalde output genereert. Uitlegbaarheid zorgt ervoor dat een mens kan begrijpen waarom een model iets doet zonder dat een mens de formules, handelingen, data en waarden binnen het model hoeft te kennen. Een uitlegbaar model is daarom niet per definitie transparant, en een transparant model is niet per definitie uitlegbaar.

9

5. Uitgangspunten en maatregelen De uitgangspunten en maatregelen in dit hoofdstuk moeten worden gezien binnen bestaande kaders. Een nadere toelichting op deze kaders is te vinden in bijlage 1: Kaders voor deze uitvoeringsagenda.

Waarde toevoegen met algoritmes en AI in werkprocessen en projecten Toepassing van algoritmes en AI is geen doel op zich. We zetten deze middelen in alleen daar waar ze waarde toevoegen, en ze daarvoor het meest geschikte middel zijn. • We zetten bij de inzet van algoritmes en AI altijd de maatschappelijke vraag en Nijmegenaar centraal. • We zetten algoritmes en AI in om: o kwaliteit van een product of dienst aan de Nijmegenaar te verbeteren; o risico’s voor de Nijmegenaar, medewerkers of de organisatie te verkleinen; o nieuwe inzichten op te doen voor beleidsvorming of taakuitvoering; o de tevredenheid van Nijmegenaren te vergroten; o het leerproces van medewerkers te bevorderen zodat hun ambtelijk vakmanschap verbetert; o kosten te reduceren zonder kwaliteitsverlies. • We volgen bij inzet van algoritmes en AI-systemen de stappen van de levenscyclus (zie hoofdstuk 6). • We zijn extra kritisch wanneer we AI-toepassingen inzetten in het directe contact met Nijmegenaren. • We geven de voorkeur aan toepassingen die het vakmanschap van medewerkers versterken, versnellen en ondersteunen, maar niet overnemen. • Medewerkers worden aangestuurd door leidinggevenden, niet door systemen. • We zetten algoritmes en AI in om participatie te bevorderen, niet als vervanging daarvan.

• We wegen bij de inzet van algoritmes en AI de waarden uit het ethisch waardenkader af en leggen deze afweging vast. • Generatieve AI-modellen mogen ondersteunend, maar niet leidend zijn in processen die leiden tot een besluit die valt onder de Algemene Wet Bestuursrecht (Awb) zodat we kunnen blijven voldoen aan de Algemene Beginselen van Behoorlijk Bestuur (ABBB).

Uitgesloten toepassingen Omdat het gebruik van algoritmes en AI kan leiden tot grote gevolgen, vinden we de risico’s te hoog voor een aantal toepassingsgebieden. Ook zijn er wettelijke kaders waarbinnen we moeten blijven. • We gebruiken geen verboden AI-systemen zoals genoemd in de AI-verordening.

10

• We laten een zelflerend systeem nooit zelfstandig een beslissing nemen over een Nijmegenaar of medewerker.6 • We gebruiken geen algoritmes om gedrag of eigenschappen van Nijmegenaren en medewerkers te voorspellen en hen in te delen in groepen (profilerende algoritmes). • We gebruiken geen impactvolle algoritmes die gedrag van Nijmegenaren en medewerkers afdwingen (“automatisering van de deugd”). • We gebruiken geen AI in afbeeldingen en video’s in externe communicatie zonder hierover transparant te zijn overal waar deze gebruikt worden.

Individueel gebruik van AI Individueel gebruik van AI komt in de hele organisatie voor. Een voorbeeld is het gebruik van AI-chatbots door individuele medewerkers om ad hoc vragen te stellen en opdrachten uit te voeren. • De eerder vastgestelde richtlijnen bij het individueel gebruik van AI-systemen blijven van toepassing: o Verdiep je in de mogelijkheden en beperkingen van AI o Je bent zelf verantwoordelijk o We delen geen gevoelige informatie met openbare AI-systemen (waaronder chatbots als ChatGPT, Gemini en Copilot)7 o Zorg ervoor dat je de output kan beoordelen o Gebruik AI niet meer dan nodig is o We doen een verkenning als we AI onderdeel willen maken van een werkproces • We hanteren NimmAI (onze interne AI chatbot) als voorkeursapp voor de organisatie waarin – met in achtneming van de overige richtlijnen – wel gevoelige informatie gedeeld mag worden. • We maken geen gebruik van risicovolle AI-oplossingen uit een land met een offensief cyberprogramma tegen Nederlandse belangen (bijvoorbeeld DeepSeek).

Algoritmes en AI gebruik in beleidsvorming In het beleidsvormingsproces kan het gebruik van AI nuttig zijn, bijvoorbeeld in de onderzoeksfase, of om teksten te redigeren. Van belang is dat het proces inzichtelijk blijft, en dat gemaakte afwegingen herkenbaar zijn. • We zijn open in het gebruik van AI in beleidsvorming: of en waarvoor AI of algoritmes zijn gebruikt.

6

We continueren hiermee het uitgangspunt uit het manifest ‘Open en Weerbaar’ waarbij we de term

zelflerend definiëren als een op data getraind algoritme waarbij de inhoud zonder menselijke tussenkomst tot stand is gekomen. 7

We wijken hierbij af van overheidsbrede standpunt voor inzet van generatieve AI. We willen zicht

houden op nieuwe ontwikkelingen die in dergelijke toepassingen vaak als eerste worden geïmplementeerd. Ook voorzien we beperkte mogelijkheden in de handhaving van het overheidsbrede standpunt. We kiezen daarom voor verantwoord en bewust gebruik gecombineerd met het bieden van een veilig alternatief voor medewerkers in de vorm van de interne AI-chatbot.

11

• We nemen de chatgeschiedenis (prompts en antwoorden) in het beleidsdossier op als AI-chatbots invloed hebben gehad op de beleidsvorming. Dit vereist net als bij andere activiteiten een inschatting van de betrokken ambtenaren. Er moet in ieder geval sprake zijn van een inhoudelijke bijdrage. Van geval tot geval zal bepaald moeten worden of daar sprake van is. Enkele voorbeelden ter illustratie: Niet opnemen in het beleidsdossier: o Grammatica-controle of tekstredactie van een tekst: Hoeft niet te worden opgenomen. Wel opnemen in het beleidsdossier: o Vertaling, samenvatting of verslaglegging, als deze een-op-een of met beperkte aanpassingen worden overgenomen. o Juridische onderbouwing van beleidskeuzes worden opgenomen wanneer AI wordt gebruikt voor bronnenonderzoek. Het gebruik van generatieve AI is ongewenst als deze gebruikt wordt ter motivering van beleidskeuzes.

Risicobeoordeling De AI Act vereist maatregelen gebaseerd op de risico-classificatie van het gebruikte algoritme.8 Daarnaast willen we zelf inzicht verkrijgen in de risico’s van AI en algoritmische toepassingen. • We doen bij de inzet van algoritmes en AI altijd een risicobeoordeling of er sprake is van een impactvol algoritme (zie hoofdstuk 7. Levenscyclus algoritmes en AI) • We toetsen bij een nieuw algoritme en AI-systeem altijd aan het dan geldende juridische kader, het privacy- en informatieveiligheidsbeleid en de uitgangspunten in deze uitvoeringsagenda. • We wegen bij de verkenning van een nieuw algoritme en AI-systeem of een gesprek met het intern ethisch team nodig is en leggen de gemaakte afweging uit het gesprek ook vast.

Architectuur en toolkeuze Waar mogelijk willen we aansluiten bij bestaande principes en werkwijzen. • We volgen het reguliere proces voor verkenningen van ICT-wijzigingen (iPortfolio) om toepassing van algoritmische en AI-systemen te prioriteren, selecteren en implementeren. Aandachtspunt is wel de wendbaarheid in dit proces bij de beoordeling van nieuwe ontwikkelingen. • We kiezen bij gelijke kwaliteit voor de minst complexe oplossing. • We bouwen zelf geen AI-systemen voor hoog risico categorieën. • We laten de uitgangspunten uit de Gemeente Nijmegen Architectuur (GNA) ook leidend zijn bij toepassingen van algoritmes en AI. • We maken en onderhouden altijd een beschrijving van het volledige werkproces als we taken automatiseren. • We kiezen zoveel mogelijk voor Europese leveranciers en oplossingen die dezelfde waarden delen. • We kiezen zoveel mogelijk voor open standaarden, open source en nemen maatregelen tegen vendor lock in’s. 8

Zie bijlage 1.

12

Datagebruik Als we zelf AI-systemen trainen kan dat alleen als de brondata op orde is. • We gebruiken alleen geanonimiseerde gegevens van Nijmegenaren en medewerkers om AI-systemen te trainen. • We gebruiken geen algoritmische systemen zonder zicht op datakwaliteit als: o de voorgestelde toepassing een automatiseringsniveau 4 of hoger heeft; en o de toepassing wordt gebruikt in een proces dat leidt tot een besluit in de zin van de Algemene Wet Bestuursrecht (Awb). • We zorgen ervoor dat de data waarmee een systeem is getraind een juiste, representatieve en evenwichtige weergave van de werkelijkheid geven.

Verantwoordelijkheden en belangenafwegingen • De ambtelijk proceseigenaar is ook eigenaar van het algoritme en AI-systeem dat ten dienste staat van het betreffende proces. • We registeren het gebruik van AI-systemen op één centrale plek zodat we gemeentebreed overzicht houden over de gebruikte AI-systemen. • Bij het gebruik van algoritmes en AI blijft de proceseigenaar altijd eindverantwoordelijk voor de kwaliteit en beheersing van de risico’s ook als deze door derden wordt uitgevoerd. • We laten de directie beoordelen of er een bestuurlijke belangenafweging nodig is bij het in gebruik nemen van een algoritme of AI-systeem als: o de voorgestelde toepassing een automatiseringsniveau 4 of hoger heeft; en o de toepassing wordt gebruikt in een proces dat leidt tot een besluit in de zin van de Algemene Wet Bestuursrecht (Awb).

Transparantie en archivering Het risico op ‘black box’-uitvoering is groter als we meer automatiseren. Om dat te voorkomen stellen we voorwaarden op het gebied van transparantie: • Wanneer we algoritmes en AI inzetten zijn we open en transparant over: o welke gegevens we verwerken en waarom; o aan welke doelen ze bijdragen; o hoe een algoritme ondersteunt in het nemen van besluiten. • We publiceren deze informatie zo dat de Nijmegenaar deze gemakkelijk kan vinden. • We bewaren alle gebruikte versies van algoritmes zodat historische beslissingen waarbij een algoritme is gebruikt ook reproduceerbaar zijn. • We leggen verantwoording af over deze systemen. Dit doen we door het uitvoeren van DPIA’s en mensenrechtentoetsen, het vastleggen van intern ethische gesprekken over toepassingen.

Menselijk ingrijpen, bezwaarmogelijkheden en continuïteit Omdat een algoritmisch systeem nooit alle mogelijkheden zal omvatten, zorgen we dat alternatieven bestaan, en we de Nijmegenaar ondersteunen waar algoritmes negatief uitpakken. Daarnaast hebben we oog voor zogenoemde “automation bias”, de neiging van mensen om te veel te vertrouwen op de beslissingen van algoritmische systemen.

13

• We zorgen ervoor dat een medewerker altijd in kan grijpen op een algoritmisch systeem. • We richten systemen in op een manier die medewerkers ondersteunt en blijft uitdagen, waardoor het ambtelijk vakmanschap versterkt in plaats van ondermijnd wordt. • We zorgen ervoor dat tegenspraak op algoritmisch ondersteunde beslissingen mogelijk en gemakkelijk is voor medewerkers en Nijmegenaren. • Medewerkers moeten anoniem kunnen rapporteren over negatieve effecten van de inzet van AI. • We zorgen ervoor dat Nijmegenaren een besluit dat met behulp van een algoritme is genomen ook aan kan vechten. • We leggen in continuïteitsplannen vast hoe het leveren van een dienst of product ook zonder het gebruik van het algoritme of AI-systeem gewaarborgd is.

Inkoop, contract- en leveranciersmanagement We sluiten aan bij bestaande afspraken voor IT-projecten. • De voorwaarden zoals opgesteld in de Gemeentelijke Inkoop bij IT (GIBIT) zijn leidend bij de inkoop van algoritmes en AI. • Contracten worden centraal beheerd door contractmanagement van de afdeling I&A.

Monitoring, beheer, evaluatie en uitfasering Als we AI of algoritmes inzetten in werkprocessen richten we dit in volgens de in hoofdstuk 6 beschreven levenscyclus. • We richten monitoring in en evalueren periodiek op de: o technische werking van het systeem; o informatieveiligheid van het systeem; o effectiviteit van het systeem voor de gestelde doelen; o potentiële bijeffecten (zowel positief als negatief); o benodigde bijscholing van gebruikers; o communicatie en transparantie over het gebruikte systeem. • We houden documentatie, versiebeheer, ontwerpkeuzes en verslagen van evaluatiemomenten in één dossier bij. • We zorgen ervoor dat iedere versie van een algoritme dat in productie is geweest beschikbaar blijft om historische beslissingen te kunnen reproduceren. • Stadscontrol monitort of processen de levenscyclus van algoritmes en AI blijven volgen. • Bij uitfasering van de oplossing zorgen we ervoor dat voldaan wordt aan de archiveringsvereisten van het nationaal archief.9

Ambtelijk vakmanschap en AI-geletterdheid Het versterken van ambtelijk vakmanschap is uitdagend in een organisatie waarin meer AIsystemen worden gebruikt. Het levert kansen op om meer waardevol werk te doen, maar

9 Het nationaal archief werkt momenteel aan een

handreiking archiveren algoritmes. Als deze

beschikbaar is werken we daar deze uitvoeringsagenda op bij in de volgende versie.

14

verkeerd gebruik levert risico op voor het ambtelijk vakmanschap van huidige én toekomstige medewerkers. Het vereist ook dat het kritisch beoordelingsvermogen van medewerkers niet verloren gaat. • We zorgen ervoor dat algoritmes onze medewerkers blijven uitdagen in plaats van dat het hun vakmanschap uitholt. • We zien AI-geletterdheid als onderdeel van het ambtelijk vakmanschap van medewerkers en sturen daarop via het Mijn Ontwikkelplan van medewerkers. • We geven volgens de uitgangspunten in de ambtelijke visie op digitale vaardigheden op meerdere niveaus invulling aan AI-geletterdheid via: o Gemeentebrede bewustwordingscampagnes en basiscursusaanbod; o Een AI-community van al meer geoefende medewerkers waarin goede en minder goede voorbeelden worden gedeeld; o Specifieke opleidingen en bijscholing als standaard onderdeel van de levenscyclus van algoritmes en AI-systemen (zie hoofdstuk ‘Levenscyclus algoritmes en AI’)

Financiering • We volgen voor algoritmes en AI de bestaande financieringsstructuren die ook voor andere ICT-oplossingen gelden: o Eenmalige kosten voor hard- en software worden betaald uit het investeringsbudget dat beheerd wordt door de CIO. o Structurele kosten worden gefinancierd door afdelingen zelf en afgedragen aan het softwarebudget concern dat beheerd wordt door ICTcontractmanagement. • We financieren gemeentebrede opleidingen in AI gebruik met centrale opleidingsbudgetten. • We financieren opleidingen voor afdelingsspecifieke toepassingen uit budgetten van afdelingen zelf. • We benutten het werkbudget van de opgave digitale transformatie voor individuele bewustwordingscampagnes of inspiratiebijeenkomsten.

15

6. Activiteiten in de levenscyclus algoritmes en AI

16

Er bestaat al een werkwijze voor het beoordelen, voorbereiden en uitvoeren van ICTprojecten die breed bekend is in de gemeentelijke organisatie: het iPortfolioproces. Bij het toepassen van algoritmes en AI in werkprocessen en projecten sluiten we zoveel mogelijk aan bij dit bestaande proces van ICT-verkenningen. Veel van onderstaande stappen en activiteiten in de levenscyclus worden al uitgevoerd met reguliere ICT-projecten en zijn dus al geborgd. In het geval van algoritmes en AI worden soms wel aanvullende activiteiten gevraagd afhankelijk van de impact van de voorgestelde toepassing. Voor een deel van de nieuwe activiteiten geldt dat we deze direct kunnen toepassen na vaststelling van deze uitvoeringsagenda. Sommige activiteiten vragen nog om een inventarisatie of om doorontwikkeling. In bijlage 1 is een eerste inventarisatie gedaan van de betrokken rollen in de levenscyclus.

Verkenningsfase 1. Probleemanalyse Activiteiten die we uitvoeren in deze stap: • We leggen de voorgestelde toepassing vast in ons portfoliomanagementsysteem • We beoordelen het voorgestelde ICT-project op basis van het gemeentebrede afwegingskader. • We doen een impactanalyse of de toepassing potentieel valt onder een hoog risico AIsysteem of impactvol algoritme en gebruiken daarvoor de tool van Algorithm Audit. • We stellen de doelen van de toepassing vast in de verkenning in het portfoliomanagementsysteem en checken of deze in lijn zijn met uitgangspunten uit deze uitvoeringsagenda Algoritmes en AI. Activiteiten die we in 2026 oppakken: • We integreren de levenscyclus algoritmes en AI in het al bestaande iPortfolioproces. • We voeren bij nieuwe projecten de analyse uit of een toepassing een hoog risico AIsysteem of impactvol algoritme bevat. Daarbij is deze periode ook bedoeld om de werkwijze om tot deze beoordeling te komen nader uit te werken.

2. Ontwerp Activiteiten die we uitvoeren in deze stap: • We leggen in het ontwerp minimaal vast: o de procesbeschrijving waar het algoritme of AI-systeem onderdeel van uit maakt; o het automatiseringsniveau waarbinnen de toepassing valt; o de wijze waarop menselijk controle wordt geborgd; o hoe de verantwoordelijkheden belegd zijn over de toepassing. • We beoordelen: o de juridische haalbaarheid en noodzaak van een Data protection impact assessment (DPIA) en impact assessment mensenrechten en algoritmes (IAMA); o of de toepassing voldoet aan geldende architectuur- en informatieveiligheidseisen; o of we de toepassing inkopen of zelf ontwikkelen;

17

of een gesprek met het intern ethisch team nodig is of advies gevraagd moet worden aan het de Adviescommissie Digitale ethiek; o of de voorgestelde oplossing aan de directie moet worden voorgelegd en/of het college van Burgemeester en Wethouders. Activiteiten die we in 2026 oppakken: • We beoordelen of de Gemeentelijke Architectuur Nijmegen geactualiseerd moet worden op vereisten voor de inzet van algoritmes en AI. • We werken met de coördinator digitale ethiek criteria uit wanneer het voeren van een gesprek met het intern ethisch team nodig is. o

• We werken aan criteria waaronder we een IAMA moeten uitvoeren en op welke manier we dit kunnen samenbrengen met de huidige werkwijze voor DPIA’s.

3. Dataverkenning en -preparatie Activiteiten die we uitvoeren in deze stap: • We voeren de datakwaliteitstoets van het Datahuis uit als:10 o de voorgestelde toepassing een automatiseringsniveau 4 of hoger heeft; en o de toepassing wordt gebruikt in een proces dat leidt tot een besluit die valt onder de Algemene Wet Bestuursrecht (Awb). • We voeren indien nodig een gesprek met het intern ethisch team of vragen de Adviescommissie Digitale Ethiek om het college over de toepassing te adviseren. • We beoordelen: o of de datakwaliteit voldoende is voor de voorgestelde toepassing; o de transparantievereisten van de voorgestelde toepassing (zie uitgangspunten); o de inkoop- en contractvoorwaarden. Activiteiten die we in 2026 oppakken: o We lijnen de prioritering van het programma Datakwaliteit uit met de algoritme en AI-projecten op het iPortfolio.

4. Inkoop of ontwikkeling Activiteiten die we uitvoeren in deze stap: • We beoordelen: o of de financiering (eenmalig en structureel) is geborgd; o welke opleiding medewerkers nodig hebben bij het in productie nemen van de oplossing. • De CIO beoordeelt of de verkenning zorgvuldig is uitgevoerd en neemt het besluit of de oplossing ingekocht of ontwikkeld kan worden. • We stellen een plan van aanpak op voor de uitvoering van het project. • De oplossing wordt ingekocht of ontwikkelt. Activiteiten die we in 2026 oppakken: • We werken aan criteria die we hanteren bij de beslissing om een oplossing in te kopen of zelf te ontwikkelen.

10

Binnen het Programma datakwaliteit worden datasets al onderworpen aan datakwaliteitstoetsen.

Als een algoritme of AI-systeem aan de gestelde voorwaarden voldoet is een datakwaliteitstoets voorwaardelijk voor productiegang. 18

Projectfase 5. Verificatie en validatie Activiteiten die we uitvoeren in deze stap: • We voeren een productie- en gebruikerstest van het systeem uit. • We leggen documentatie, versiebeheer en ontwerpkeuzes vast. • We richten het functioneel en technisch beheer in. • We richten de monitoring en periodieke datakwaliteitschecks in, daarbij nemen we ook de kwaliteit van uitvoer (o.a. foutmarges) mee. • We leggen de frequentie van monitorings- en evaluatiemomenten vast. Activiteiten die we in 2026 oppakken: • We werken de minimale vereisten voor monitoring van algoritmes en AI-systemen verder uit. • We verkennen de mogelijkheden voor het kunnen uitvoeren van bias-toetsen (vooringenomenheid) op algoritmes en AI-systemen.

6. Implementatie Activiteiten die we uitvoeren in deze stap: • De functionaris gegevensbescherming (FG) geeft een advies over DPIA en indien nodig IAMA. • De proceseigenaar neemt een besluit over de productiegereedheid van de toepassing. • We leiden medewerkers op in het gebruik en controle van de toepassing. • We communiceren intern en indien nodig ook extern over de ingebruikname van de toepassing. • We voldoen aan de transparantievereisten. • We stellen de bezwaarmogelijkheden voor Nijmegenaren vast. • We melden de ingebruikname van de toepassing bij het gemeentelijke AI-team en registeren de toepassing. • We nemen de toepassing in gebruik. Activiteiten die we in 2026 oppakken: • We bekijken of we delen van opleiding kunnen hergebruiken bij nieuwe toepassingen. • We werken de rol en verantwoordelijkheden van de functionaris gegevensbescherming (FG) verder uit. • We organiseren één centrale plek waar we impactvolle algoritmes en AI-systemen registreren.

Productiefase 7. Monitoring en beheer Activiteiten die we uitvoeren in deze stap: • Gebruikers, leidinggevenden, beheerders en leveranciers voeren periodiek evaluatiegesprekken en evalueren ten minste de volgende aspecten: o technische werking en robuustheid van de toepassing; o informatieveiligheid van het systeem; o effectiviteit van het systeem voor de gestelde doelen; o gesignaleerde of potentiële bijeffecten (zowel positief als negatief); 19

o benodigde bijscholing van medewerkers; o communicatie en transparantie over het gebruikte systeem. • Een verslag van de evaluatie wordt vastgelegd in het dossier waarin ook de documentatie, het versiebeheer en ontwerpkeuzes zijn vastgelegd. • Stadscontrol controleert periodiek of de levenscyclus algoritmes en AI op de betreffende toepassing nog steeds gevolgd wordt. Activiteiten die we in 2026 oppakken: • We richten de controlfunctie van Stadscontrol op algoritmes en AI verder in. • We werken de registratie van algoritmes en AI-systemen verder uit.

Uitfaseringsfase 8. Uitfaseren Activiteiten die we uitvoeren in deze stap: • We ontvlechten de oplossing uit de productieomgeving • We archiveren het algoritme. Activiteiten die we in 2026 oppakken: • We beoordelen aan de hand van de handreiking Archiveren algoritmes (nog in ontwikkeling bij het Nationaal Archief) welke aanvullende stappen hiervoor nodig zijn.

20

7. Aanvullende activiteiten 2026 Om uitvoering te geven aan genoemde uitgangspunten en maatregelen gaan we naast de implementatie van de levenscyclus AI en algoritmes ook de volgende activiteiten uitvoeren. We richten ons hierbij met name op de activiteiten die het komend jaar worden uitgevoerd. Niet alle activiteiten kunnen in één keer worden uitgevoerd. Een deel van de activiteiten zijn daarom verkennend van aard, om later in de doorontwikkeling van de uitvoering een vaste plaats te krijgen in onze werkprocessen.

Veiligheid (security) AI-systemen uit een land met een offensief cyberprogramma tegen Nederlandse belangen gebruiken we niet Aansluitend op het I-veiligheidsbeleid gebruiken we deze systemen niet. Dit is ook het geval als deze worden uitgevoerd in een beschermde omgeving, bijvoorbeeld als een taalmodel uit een dergelijk land lokaal worden uitgevoerd. • We nemen in de trainingen AI-geletterdheid op dat deze toepassingen niet gebruikt mogen worden. • We richten monitoring in, zodat gebruik van nu nog onbekende AI-systemen uit deze landen zichtbaar wordt. • Bekende toepassingen uit deze lijst worden op netwerkniveau geblokkeerd. In het vastgestelde MDM11-beleid wordt ook rekening gehouden met deze toepassingen.

We zetten AI-systemen zoveel mogelijk onder Europese controle in Bij de inzet van nieuwe AI-systemen proberen we zoveel mogelijk controle en flexibiliteit in te bouwen. Dat betekent dat deze bij voorkeur worden gehost bij Europese leveranciers. Bij het gebruik van taalmodellen kiezen we bij gelijke geschiktheid voor Europese modellen. • De interne AI-tool/chatbot gebruikt modellen die in Europese datacenters gehost worden. • We evalueren of in Europa ontwikkelde modellen geschikt zijn als onderliggende modellen voor onze toepassing. • We hebben de voorkeur voor leveranciers die een ‘bring your own model’-model hanteren: bij de inkoop van nieuwe toepassingen die gebruik maken van taalmodellen verkennen we de mogelijkheden de toepassing aan te sluiten op onze bestaande taalmodellen, om beheer te kunnen voeren op de gebruikte modellen.

Een besluit in de zin van de Algemene wet bestuursrecht wordt nooit automatisch genomen zonder expliciete beslissing van de directie Automatische processen kunnen een rol hebben in het besluitvormingsproces, maar een bestuursrechtelijk besluit wordt altijd door een mens genomen. Als we hiervan willen afwijken wordt deze keuze altijd aan de directie voorgelegd. De directie beoordeelt daarbij ook of een bestuurlijke keuze noodzakelijk is. De diversiteit aan vormen en impact van besluiten is namelijk groot, daarom kiezen we ervoor de beoordeling in eerste instantie bij

11

Mobile device management

21

de directie te leggen. De portefeuillehouder wordt over deze afweging wel altijd geïnformeerd. • In de verkenningsfase van het I-Portfolio wordt de controle op automatische besluitvorming voorafgaand aan de implementatie gedaan, waarbij waar nodig een beslissing van de directie wordt gevraagd. Zie daarvoor hoofdstuk 6.

Gebruik van generatieve AI • We stellen een interne AI-tool/chatbot beschikbaar aan alle medewerkers. Alleen deze wordt gebruikt bij vertrouwelijke of privacygevoelige toepassingen. Hiervan kan alleen worden afgeweken als via het iPortfolio-proces een gemotiveerde keuze voor een ander systeem is gemaakt in een specifiek werkproces. • In de interne AI-tool/chatbot maken we geen gebruik van modellen uit landen met een offensief cyberprogramma tegen Nederland. We evalueren daarnaast of zo open mogelijke - bij voorkeur Europese - modellen geschikt zijn voor toepassing in onze organisatie. • We nemen het gebruik van generatieve AI in beleidsvorming mee in het handboek en de leermodule beleidsontwikkeling. Daarbij is ook aandacht voor de archivering van relevant gebruik van generatieve AI. • We verkennen de mogelijkheden van de interne AI-tool/chatbot voor toepassingen met interne documenten, bijvoorbeeld als interne kennisbank voor een specifiek uitvoeringsterrein. • We verkennen wat de beste manier is om transparantie te bevorderen over het gebruik van generatieve AI in externe communicatie. • Het gebruik van generatieve AI als onderdeel van besluitvorming zorgt al snel voor niet-herleidbare beslissingen, wat op gespannen voet staat met onder andere het motiveringsbeginsel.

Daarom gebruiken we geen generatieve AI in deze processen, als dit de reproduceerbaarheid en uitlegbaarheid van het besluit beïnvloedt.

AI-geletterdheid AI- geletterdheid is onderdeel van Mijn Ontwikkelplan Doelgedragingen op het gebied van AI-geletterdheid zijn onderdeel van Mijn Ontwikkelplan. • We formuleren minimale basisvaardigheden voor algoritmes en AI die we van al onze medewerkers verwachten. • We verkennen voor specifieke doelgroepen binnen de organisatie of aanvullende vaardigheden gedefinieerd kunnen worden per doelgroep. We ondersteunen het behalen van de vereiste kennis en vaardigheden met onder andere: • Verzorgen van leeraanbod op ons leerplatform. • Het verzorgen van presentaties en workshops bij bureaus. • Scholing op AI-geletterdheid wordt onderdeel van de implementatie van nieuwe toepassingen. • Het bevorderen van een leergemeenschap van medewerkers op het gebied van AI en algoritmes.

22

• We maken verantwoord AI gebruik ook onderdeel van het introductieprogramma van nieuwe medewerkers.

Alle medewerkers volgen een basistraining AI en algoritmes Een bepaald niveau van AI-geletterdheid is noodzakelijk voor alle medewerkers, ook als zij niet direct algoritmische systemen gebruiken. • Om dit minimumniveau te halen wordt van iedere medewerker verwacht dat hij de basistraining algoritmes en AI volgt die centraal zal worden aangeboden.

Als in een werkproces een AI-systeem wordt toegepast zijn de medewerkers die betrokken zijn bij dit proces voldoende AI-geletterd om dit systeem te gebruiken Medewerkers moeten voldoende begrip van het AI-systeem hebben om het correct toe te passen, om risico's in het gebruik te herkennen en de output op waarde te kunnen schatten. • In de implementatie van de levenscyclus algoritmes en AI wordt AI-geletterdheid van de betrokken medewerkers opgenomen als standaard-onderdeel van de productiefase.

AI-Community We bouwen interne communicatie uit om verantwoord gebruik van algoritmes en AI te bevorderen. Dit naast de activiteiten genoemd onder ‘AI-geletterdheid’. • We werken aan een actieve ‘AI-community’, waarin medewerkers de ruimte krijgen met elkaar in gesprek te gaan en van elkaar te leren. • We verkennen komend jaar in welke vorm deze community ondersteund wordt en begeleiding krijgt.

Criteria impactvolle algoritmes We gaan in 2026 aan de slag met criteria voor impactvolle algoritmes. We gaan gebruik maken van de volgende criteria om de mogelijke impact te bepalen: • De risicoclassificatie uit de AI Act. • Het niveau van automatisering. • De fase van het besluitproces waarin de automatisering plaatsvindt. • Hoe sturend het algoritme is in de uiteindelijke handeling of het besluit. • De concrete invloed van het besluit op de Nijmegenaar. • De mate van impact op de Nijmegenaar.

Transparantie over algoritmes We zorgen ervoor dat randvoorwaarden vervuld zijn om transparantie vorm te geven. Dit doen we door in de algoritme-levenscyclus een impact-inschatting van gebruikte algoritmes te doen. In 2026 voeren we verder de volgende activiteiten uit: • Verkennen of verslagen van uitgevoerde IAMA’s of soortgelijke middelen bij impactvolle algoritmische toepassingen openbaar gepubliceerd kunnen worden.

23

• We publiceren ten minste 15 nieuwe privacy- en algoritmeverklaringen op themaniveau.12 • We verkennen de meest effectieve plaatsen om te verwijzen naar deze verklaringen. Denk daarbij aan: o de aanvraagpagina op nijmegen.nl; o brieven en andere communicatie over besluiten; o relevante pagina’s op Mijn Nijmegen. • Om overzicht te behouden publiceren we daarnaast in het landelijk algoritmeregister verwijzingen naar deze gepubliceerde verklaringen.

Verantwoordelijkheidsverdeling Waar mogelijk sluiten we aan bij de bestaande verantwoordelijkheidsverdeling in het iPortfolio-proces. • We verkennen dit jaar of en waar hiaten of onduidelijkheden bestaan in deze verdeling. Tenzij anders vermeld is de ambtelijk proceseigenaar uiteindelijk verantwoordelijk. • De rolverdeling zoals in bijlage ‘Betrokken rollen in de levenscyclus algoritmes en AI’ beschreven wordt in de praktijk getoetst in 2026. • De Functionaris gegevensbescherming kan gevraagd en ongevraagd controleren op naleving van de afspraken zoals vastgelegd in dit document. • We richten een proces in voor medewerkers om (zonodig anoniem) te kunnen rapporteren over negatieve effecten van de inzet van AI. Als we hiervoor kunnen aansluiten bij bestaande processen heeft dat de voorkeur.

12

Voor een voorbeeld van het model: https://www.utrecht.nl/bestuur-en-

organisatie/privacy/privacyverklaring/privacyverklaring-u-hebt-uw-auto-of-scooter-geparkeerd 24

Bijlage 1: Kaders voor deze uitvoeringsagenda Op alle niveaus wordt op dit moment nagedacht over welke kaders nodig zijn voor verantwoorde inzet van algoritmes en AI. Ook hier zien we de zoektocht naar een gezonde balans tussen innovatiekracht, efficiency en effectiviteit enerzijds en het behoud van rechten, vrijheden en veiligheid van de mens anderzijds. Deze kaders variëren van recent ontwikkeld, zoals de AI-verordening en andere EU-Digitaliseringswetgeving, tot kaders waar we ons als sinds jaar en dag aan meten, zoals de algemene beginselen van behoorlijk bestuur en algemene wet bestuursrecht (Awb). In dit hoofdstuk beschrijven we de meest relevante bestaande kaders en de gevolgen ervan. Ook benoemen we als kaders op gespannen voet staan met elkaar en als zij te abstract of niet praktisch haalbaar zijn om in uitvoering te brengen. In dat geval beschrijven we hoe we er wel mee omgaan. Dit geldt voor zowel de juridische kaders als de landelijke en gemeentelijke kaders.

Juridisch kader Digitaliseringswetgeving staat niet op zichzelf. We bespreken de Europese en nationale wetgeving die het meest relevant is voor dit onderwerp, en de verplichtingen die daaruit volgen.

Europees juridisch kader In Europees verband is veel regelgeving die betrekking heeft op Algoritmes en AI. In ieder geval zijn relevant: • De Europese AI-verordening (AI Act) • Algemene verordening gegevensbescherming (AVG) • Cyberbeveiligingswetgeving (NIS 2) • Cyber Resilience Act (CRA) Van deze kaders bevat de AI Act de meeste gerichte verplichtingen voor de inzet van Algoritmes en AI. De andere wetten dragen implicaties mee waarmee rekening gehouden moet worden, maar zijn breder dan enkel voor de inzet van AI. Digitale omnibus De EU werkt momenteel aan een wetsvoorstel om digitale regelgeving te versimpelen: de digitale omnibus. Met dit pakket wil de Europese Commissie de regels voor onder andere AI (AI-verordening) en gegevensbescherming (AVG) aanpassen. Waar de EU spreekt van versimpeling spreken critici over een afzwakking van grondrechtbepalingen. Omdat de uitkomst van deze ontwikkelingen nog onzeker is, wordt deze niet meegenomen in dit document. Wel monitoren we de ontwikkelingen. Het ambitieniveau in de digitale omnibus lijkt lager te zijn dan we wenselijk vinden. We houden mede daarom de uitgangspunten uit het nu geldende juridische kader aan. De AI-verordening De AI-verordening bevat onder andere een classificatie van verschillende AI-systemen:13

13

Meer informatie: https://www.autoriteitpersoonsgegevens.nl/themas/algoritmes-ai/ai-

verordening/risicogroepen-ai-verordening

25

• Systemen met een onaanvaardbaar risico. Deze zijn verboden. Dit omvat systemen die bijvoorbeeld doen aan ‘social scoring’ op basis van persoonlijke kenmerken, ‘predictive policing’, biometrische identificatie op afstand voor handhaving (gezichtsdetectie). • Systemen met een hoog risico. Hier zitten strikte verplichtingen aan vast, om risicobeheer, datakwaliteit e.d. te waarborgen. Hoog-risico-systemen zijn bijvoorbeeld systemen gebruikt in essentiële openbare diensten of rechtshandhaving. • Systemen met een beperkt risico: Deze hebben vooral transparantieverplichtingen. Daarnaast zijn er eisen aan aanbieders van AI-modellen voor algemene doeleinden (GPAI: General purpose AI). Een aantal van deze verplichtingen is al ingegaan, andere gaan per 2 augustus 2026 in. Op dit moment is de verbodsbepaling en de verplichtingen met betrekking tot AI-geletterdheid van kracht. De verplichtingen die voortvloeien uit de AI Act zijn verder in de volgende categorieën in te delen: • Uitvoeren van een impactanalyse (Fundamental Rights Impact Assessment FRIA). • Toezicht op datakwaliteit beheer. • Menselijk toezicht. • Monitoring (risicobeheer, testen). • Registratieplicht bij sommige systemen. • Transparantie en informatieverstrekking (bijvoorbeeld bij gebruik AI-gegenereerde afbeeldingen en teksten zonder redactie).

Deze verplichtingen zijn afhankelijk van de rol van de organisatie binnen de keten en het risiconiveau van het AI-systeem. De rollen zijn te onderscheiden in gebruiksverantwoordelijke en leverancier. De gemeente zal doorgaans de rol gebruikersverantwoordelijke hebben in de keten. We krijgen de rol aanbieder in het geval wij zelf systemen ontwikkelen, of een systeem significant wijzigen. De nadruk voor aanbieders ligt op aantoonbaar verantwoord ontwerp.

Landelijk juridisch kader Naast het Europeesrechtelijk kader is er geen landelijk kader specifiek voor AI en algoritmische toepassingen. Bepaalde landelijke wetgeving verdient bijzondere aandacht als het gaat om het gebruik van Algoritmes en AI. De meest direct van invloed op deze uitvoeringsagenda:

De algemene wet bestuursrecht en de algemene beginselen van behoorlijk bestuur Bij het gebruik van AI-systemen bij het nemen van formele besluiten moeten de rechten die de Nijmegenaar heeft gewaarborgd worden. Dat betekent bijvoorbeeld dat ook in deze gevallen bezwaar mogelijk moet zijn. Het motiveringsbeginsel vereist dat we begrijpelijke besluiten nemen, waarbij de motivering herleidbaar is. Dat vereist iets van de systemen die we gebruiken in deze besluitvorming. Het gelijkheidsbeginsel kan beter gegarandeerd worden bij de juiste toepassing, maar kan helaas ook gemakkelijk uit het oog verloren worden.

26

Het intellectueel eigendomsrecht Generatieve AI staat op verschillende manieren op gespannen voet met het intellectueel eigendomsrecht. Voor het trainen van modellen wordt in veel gevallen gebruik gemaakt van bronnen zonder dat hier overeenkomsten voor bestaan. Jurisprudentie moet nog uitwijzen of dit een houdbare situatie is. In het gebruik van generatieve AI moet dus in ieder geval rekening worden gehouden met de kans dat auteursrechtelijk beschermde werken in de trainingsdata zitten, en daarmee ook in zekere vorm in de output terecht kunnen komen. Daarbij bestaat de kans dat onrechtmatig gebruik wordt gemaakt van dit werk, zonder dat de ‘maker’ daar zelf bewust van is.

De algemene verordening gegevensbescherming (AVG) In AI-toepassingen zien we al snel de verwerking van persoonsgegevens. Van het herschrijven van een e-mail naar B1-niveau, tot een selectie van uitkeringsgerechtigden, de gebruikte systemen hebben vaak de beschikking over persoonsgegevens.

Archiefwet De manier waarop we ons werk doen verandert, zeker door het gebruik van generatieve AI. Dat heeft ook invloed op welke delen van onze informatie archiefwaardig zijn. Daarnaast is het voor het inzicht in de totstandkoming van besluiten vaak ook van belang dat informatie over gebruikte algoritmes bewaard blijft.14 Bij het gebruik van generatieve AI kan het relevant zijn in ieder geval vast te leggen dat hiervan gebruik is gemaakt als dit de inhoud van besluiten of beleidsdocumenten beïnvloedt. Dat kan betekenen dat bijvoorbeeld ‘chats’ met een AI-chatbot bewaard en gearchiveerd moeten worden. Dit is overigens niet wezenlijk anders dan nu bij het gebruik van andere IT-hulpmiddelen.

Overheidsbrede standpunten en kaders Landelijke ambitie: centrale regie en collectiviseren Landelijk is de afgelopen jaren een duidelijke trend zichtbaar naar meer centrale regie, verantwoord datagebruik en volwassen AI-gebruik met speciale aandacht voor generatieve AI. De Nederlandse Digitaliseringsstrategie (hierna: NDS) benoemt zes prioritaire thema’s die veel aandacht krijgen. Verantwoorde inzet van AI is er daar één van. In juni 2025 stemde de VNG in met een resolutie om digitalisering van de overheid te collectiviseren. Ook zij wijzen AI aan als één van de prioritaire thema’s. In beide initiatieven wordt de ambitie beschreven om: • Gezamenlijke (auditbare) normen, rollen en verantwoordelijkheden te ontwikkelen, inclusief checks & balances; • Heldere afspraken over de benodigde governance, aansprakelijkheid, kostenverdeling en gezamenlijke inkoop die zorgt voor één uniforme manier van aanhaken voor leveranciers;

14

https://www.inspectie-oe.nl/actueel/nieuws/2021/01/21/algoritmes-en-archiefwet

27

• Het borgen van beheer en doorontwikkeling: standaardintegraties, levenscyclusbeheer en herbruikbare bouwblokken; • Te komen tot een lijst AI-toepassingsgebieden en goedgekeurde toepassingen; • Bevordering van AI-geletterdheid. Tegelijkertijd worden thema’s als gedateerde informatielandschappen, versnipperd beleid, digitale veiligheid, interoperabiliteit en toegankelijkheid als knelpunten en belemmeringen benoemd waar overheidsbreed aandacht voor zou moeten zijn. Hoewel de ambities uit de NDS en van de VNG duidelijk zijn, zijn concrete uitvoeringsplannen en investeringsagenda’s met benodigde randvoorwaarden nog niet concreet genoeg om direct gebruik van te kunnen maken.

Handreikingen en individuele uitspraken geven richting en houvast Wat momenteel – naast wetgeving – al wel concrete handvatten geeft zijn overheidsbrede standpunten, handreikingen en toolboxen. Terugkerende elementen daarin zijn een mensgerichte en ethische inzet, transparantie over algoritmes, behoud van publieke waarden en rechtsbescherming, en menselijke controle bij geautomatiseerde besluitvorming. Daaruit zijn de volgende richtinggevende uitspraken bruikbaar: • het AI governancekader van de VNG beschrijft de verschillende rollen en verantwoordelijkheden binnen de gemeentelijke organisatie bij de inzet van algoritmes en AI; • De landelijke Data Protection Impact Assessment (DPIA) van Strategisch Leveranciers Management (SLM) van het Rijk die concludeert dat verantwoorde inzet van op Microsoft 365 Copilot alleen mogelijk is als er een vastgesteld AI-beleid is en benodigde randvoorwaarden zoals goed autorisatie- en toegangsbeheer zijn ingevuld; • de wettelijke verplichting van een algoritmeregister wordt voorlopig nog niet ingevoerd (uitspraak ministerie van Binnenlandse Zaken en Koninkrijksrelaties).

Gebruik van generatieve AI krijgt veel aandacht Speciale aandacht gaat landelijk uit naar het gebruik van generatieve AI. In januari 2024 schetste het Rijk de kansen en mogelijkheden in haar visie op generatieve AI. Daarin werden ook de kansen en risico’s naast elkaar gezet:

28

Volgens het overheidsbreed standpunt inzet generatieve AI dat in maart 2025 volgde kan deze vorm van AI door overheden ingekocht, ontwikkeld of gebruikt wanneer: • voldoende duidelijk is gemaakt welk doel gediend; • risicoanalyses zijn uitgevoerd om na te gaan of een specifieke generatieve AItoepassing ook verantwoord en veilig is waarbij in overweging wordt genomen; • welk probleem wordt opgelost met de inzet van deze technologie, dat niet op andere wijze kan worden opgelost (noodzaak en proportionaliteit); • of de juiste randvoorwaarden (zoals AI-geletterdheid, heldere governance en informatiehuishouding) op orde zijn; • of er alternatieven onderzocht die minder impact hebben (subsidiariteit); • of er een plan hoe om te gaan met de beperkingen van de technologie (zorgvuldigheid); • of er een duidelijke exit-strategie zodat het mogelijk is snel te stoppen wanneer er problemen optreden (veiligheid); • de juiste rollen betrokken worden bij de besluitvorming over generatieve AI-inzet; • bij het inkopen van generatieve AI-modellen en/of applicaties zijn (specifieke) afspraken gemaakt met leveranciers over datadeling, dataretentie en het al dan niet toestaan van het trainen van modellen met de input van gebruikers (prompts); • medewerkers voldoende worden geïnformeerd over het effectieve en verantwoorde gebruik; • voor overheidsmedewerkers is het gebruik van generatieve

AI-toepassingen onder consumentenvoorwaarden, ook voor individueel gebruik, niet toegestaan omdat er met de leveranciers geen afspraken kunnen worden gemaakt;

29

• verkenningen van nieuwe (generatieve) AI-systemen zijn toegestaan in een gecontroleerde niet-productieomgeving, mits er geen gevoelige of vertrouwelijke data worden gebruikt.

Gemeentelijke kaders De doelenboom en twee moties Op lokaal niveau vormen de doelen uit de doelenboom in het programma bestuur en organisatie de gemeentelijke kaders: • Ambitie: We zijn een betrouwbare en omgevingsbewuste gemeente o Doel: Besluiten zijn democratisch en zorgvuldig genomen en integraal afgewogen o Doel: Ons werk is slagvaardig en zorgvuldig uitgevoerd en volledig afgehandeld o Doel: De Nijmegenaar kan met initiatief, kennis en expertise bijdragen bij het werk aan onze stad o Doel: Ons handelen is ethisch en in lijn met wet- en regelgeving o Doel: De belangrijkste risico’s bij ons handelen zijn in beeld en worden beheerst o Doel: Ons werk is toekomstgericht en er wordt geleerd van het handelen om prestaties te verbeteren o Doel: Ons handelen is transparant en controleerbaar en er wordt verantwoording afgelegd • Ambitie: De Nijmegenaar staat centraal in onze dienstverlening o Doel: De Nijmegenaar ervaart passende, eenduidige en toegankelijke dienstverlening o Doel: De Nijmegenaar kan gebruik maken van diens (democratische) rechten o Doel: De identiteit van de Nijmegenaar is geregistreerd en beschermd Daarnaast heeft de gemeenteraad extra richting meegegeven die ook voor deze uitvoeringsagenda relevant zijn: • Motie Nijmegen Digitaal Onafhankelijk reloaded, 28 mei 2025 waarin de raad het college verzoekt bij aanschaf van software zoveel mogelijk open standaarden en