Document · PDF

10. Rekenkameronderzoek Algoritmes.pdf

Commissie Bestuur, Financien, Veiligheid en Economie 1 december 2025, gemeente NoordoostpolderBij agendapunt: 10: Rekenkameronderzoek Algoritmes - beeldvormend15.126 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen · deel 1 van 2

Onderzoek Algoritmes

Gemeente Noordoostpolder Onderzoek Algoritmes

KPMG Advisory N.V. Ons kenmerk: RA A2500033640 Dit rapport bestaat uit 54 pagina’s (incl.voorblad en bijlagen) 31 oktober 2025

© 2025 KPMG Advisory N.V., een naamloze vennootschap en lid van het KPMG-netwerk van zelfstandige ondernemingen die verbonden zijn aan KPMG International Limited, een Engelse entiteit. Alle rechten voorbehouden.

Documentclassificatie: KPMG Openbaar

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Inhoud Voorwoord

Managementsamenvatting

Inleiding

2.1 2.2

Achtergrond Onderzoeksvragen, -opzet en -aanpak

4 4

Conclusies

Aanbevelingen

Beantwoording deelvragen

5.1 5.2 5.3 5.4

Beleid en kaders Inrichting en beheersing Praktijk en risico's Betrokkenheid raad

12 13 15 17

Bijlagen: A - Uitgewerkt normenkader niveau 1 - organisatie B - Uitgewerkt normenkader niveau 2 - algoritme C - Uitkomsten inventarisatie D - Overzicht met verklarende begrippen E - Bestuurlijke reactie

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Voorwoord Toen James Watt in 1769 patent op de stoommachine verkreeg, zagen vele mensen de zegeningen van deze technologie. De schaduwkant was toen niet zichtbaar, maar nu vele jaren later kennen we die wel. Evenzo konden de uitvinders van de transistor in 1947, niet bevroeden welke zegeningen de computertechnologie zou brengen en hoeveel angst die zou veroorzaken. Big Data, the Internet of Things, Artificial Intelligence. Afgezien van het feit dat deze woorden niet bepaald onze taal verrijken, boezemen ze veel mensen ook angst in. Angst door de ongrijpbaarheid en onbevattelijkheid. Maar ook angst voor het eigen leven dat dit soort zaken zouden kunnen gaan leiden. Vrees voor verlies van menselijke autonomie. Algoritmes vormen de grondslag voor de drie bovengenoemde fenomenen. De gedachte dat algoritmes een eigen leven gaan leiden is ongegrond. Algoritmes zijn altijd het gevolg van mensen die het programma schreven. Het echte probleem wordt veroorzaakt door twee zaken. In de eerste plaats geldt dit voor de schrijver van de software: wat is zijn kijk op de wereld en denkt de schrijver voldoende na over de consequenties van product? Ten tweede speelt ook de gebruiker een rol. Is de gebruiker in staat om helder na te denken over de juistheid/objectiviteit of menselijkheid van de resultaten? Als beide zaken goed geborgd zijn, dan zijn algoritmes in veilige en vertrouwde handen.

Het is belangrijk dat de gemeente dit wil borgen en nog belangrijker dat de raad zich verantwoordelijk voelt voor de controle. Met dit rapport hoopt de rekenkamer dat er een discussie op gang komt tussen de raad en het college over het gebruik en de reikwijdte van algoritmes. Vaak is angst geen goede raadgever en komt soms voort uit onwetendheid. Dit rapport hoopt die onwetendheid weg te nemen en een goed gesprek over algoritmes tussen de raad en het college op gang te brengen. Onze dank gaat uit naar de onderzoekers van KPMG, die dit onderzoek hebben uitgevoerd. Tevens wil ik de medewerkers en bestuurders van de gemeente danken die ons zo goed geholpen hebben met documenten en informatie tijdens de interviews.

Joris van Enst Voorzitter rekenkamer Noordoostpolder.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Managementsamenvatting Er is brede maatschappelijke aandacht voor de risico’s van algoritmes, met name als het gaat om transparantie, controleerbaarheid en de mogelijke nadelige effecten voor inwoners. De gemeente Noordoostpolder wil meer informatie- en data gestuurd gaan werken en onderzoekt actief hoe algoritmes daarbij op een verantwoorde manier kunnen worden ingezet. Tegen deze achtergrond heeft de Rekenkamer opdracht gegeven om onderzoek te doen naar het gebruik van algoritmes binnen de gemeente. Het onderzoek is uitgevoerd door KPMG. Doel van het onderzoek was om in beeld te brengen hoe de gemeente algoritmes toepast, of dit tot ongewenste effecten leidt, en in hoeverre zij risico’s adequaat beheerst. Daarbij is gekeken naar de organisatie brede aanpak én naar vijf concrete algoritmes die in de praktijk worden gebruikt. Beperkte en gecontroleerde inzet van algoritmes Uit het onderzoek blijkt dat de gemeente momenteel in beperkte mate gebruik maakt van algoritmes. De toepassingen die wel worden ingezet zijn relatief eenvoudig van aard en zijn ingebed in bestaande softwarepakketten van externe leveranciers. Het gaat om algoritmes die vaste rekenregels of beslislogica volgen, zoals het bepalen van belastingbedragen of het afhandelen van standaardverhuizingen, en waarbij er altijd sprake is van menselijke controle.

Er worden géén zelflerende algoritmes (zoals AI) gebruikt, en er vindt geen volledig geautomatiseerde besluitvorming plaats. De vijf onderzochte algoritmes (WOZ-taxatie, lokale heffingen, iBurgerzaken, PKO voor het sociaal domein en een tool voor het anonimiseren van documenten) zijn allemaal onderdeel van bestaande ICT-systemen. Daarmee vallen ze automatisch onder het reguliere ICT-beheersingsregime van de gemeente. Voor deze situatie is dat een passende aanpak: er zijn geen aanwijzingen dat het huidige gebruik leidt tot onwenselijke of onrechtmatige effecten voor inwoners of bedrijven. Beheersing nog niet toegespitst op het niveau van algoritmes Tegelijkertijd laat het onderzoek zien dat de gemeente, net als veel andere overheden, nog geen specifieke beheersstructuur of beleid heeft ingericht voor algoritmes. Er is geen heldere definitie vastgesteld van wat onder een algoritme wordt verstaan, en er ontbreekt een proces voor het actueel houden van het algoritmeregister. Hierdoor is het overzicht over het gebruik van algoritmes versnipperd, en wordt het lastig om gerichte sturing te geven naarmate het gebruik toeneemt. Ook bij de onderzochte algoritmes blijkt dat veel beheersingsmaatregelen goed geregeld zijn op systeemniveau (zoals informatiebeveiliging of privacy procedures), maar niet expliciet zijn toegespitst op de werking van het algoritme zelf.

Zo is er zelden documentatie beschikbaar over de logica en parameters van het algoritme, ontbreekt versiebeheer en is er geen expliciet eigenaarschap belegd voor toezicht of evaluatie.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Toenemende aandacht en bestuurlijke relevantie Tijdens interviews met ambtenaren en raadsleden bleek dat de aandacht voor algoritmes binnen de organisatie toeneemt. Zowel ambtelijk als bestuurlijk is men bewust van de kansen én risico’s die algoritmes met zich meebrengen. Raadsleden gaven aan behoefte te hebben aan duidelijke, beknopte informatie over het gebruik van algoritmes binnen de gemeente, bijvoorbeeld in de vorm van een jaarlijkse rapportage of een paragraaf in het jaarverslag. Aanbevelingen Het rapport bevat zes aanbevelingen die helpen om de beheersing van algoritmes te versterken. Deze aanbevelingen zijn primair gericht aan het college, als verantwoordelijke voor de inrichting van processen en de uitvoering van beleid. Waar relevant kunnen de aanbevelingen ook de gemeenteraad ondersteunen in haar kaderstellende en controlerende rol: 1. Ontwikkel een expliciet algoritmebeleid – met een duidelijke definitie, toetsingskaders en afspraken over verantwoord gebruik. 2. Investeer in datavaardigheden – door gerichte training en bewustwording bij medewerkers. 3. Zorg voor een actueel overzicht van algoritmes – inclusief eigenaarschap, risicoanalyse en monitoring. 4. Leg verantwoordelijkheden expliciet vast – wie is eigenaar, wie toetst en wie rapporteert over de inzet van algoritmes? 5.

Breid bestaande processen uit met algoritmespecifieke controles – zoals richtlijnen voor het maken van ethische afwegingen en leveranciersmanagement voor externe algoritmes. 6. Geef structureel vorm aan de informatievoorziening richting de gemeenteraad – zodat de gemeenteraad goed geïnformeerd blijft over het gebruik van algoritmes binnen de gemeente Noordoostpolder. Tenslotte De gemeente Noordoostpolder is op dit moment 'in control' als het gaat om het beperkte, ondersteunende gebruik van algoritmes. Tegelijkertijd is het raadzaam om gericht stappen te zetten richting een steviger beleidsmatig en beheersmatig kader, zodat de organisatie voorbereid is op de lange termijn, een toekomst waarin algoritmes vaker, complexer en risicovoller zullen worden ingezet.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Inleiding

2.1

Achtergrond De gemeente Noordoostpolder (hierna: de gemeente) heeft de ambitie om meer informatie gestuurd te worden, waar mogelijk door de kracht van digitalisering en algoritmes zo goed mogelijk te benutten. Innovatieve algoritmes bieden enorme kansen om bedrijfsvoering en dienstverlening te verbeteren. Tegelijkertijd is de gemeente ervan bewust dat deze technologie ook invloed kan hebben op de belangen van burgers en bedrijven. Tijdens het startgesprek gaf de gemeente aan met zorg aan verantwoorde en transparante toepassing van algoritmes te werken, waarbij onnodige risico’s zo goed mogelijk worden beheerst. De gemeente heeft vijf algoritmes in het Nationale Algoritmeregister gepubliceerd.

2.2

Onderzoeksvragen, -opzet en -aanpak De Rekenkamer van de gemeente Noordoostpolder (hierna: de Rekenkamer) heeft KPMG gevraagd om onderzoek te doen naar de inzet van algoritmes door de gemeente. Op deze manier wil de Rekenkamer enerzijds inzicht krijgen in hoeverre de gemeente als organisatie is uitgerust om de risico’s van de algoritmes te beheersen, en anderzijds onderzoeken of er bij een aantal huidige algoritmes daadwerkelijk risico’s bestaan en in hoeverre deze effectief worden beheerst. De werkzaamheden zijn gebaseerd op de volgende centrale vraag: Op welke manier maakt de gemeente Noordoostpolder gebruik van algoritmes, leidt het gebruik tot ongewenste effecten en hoe beheerst zij de risico’s van deze algoritmes? De centrale vraag is uitgewerkt in negen deelvragen, verdeeld over vier thema’s: Thema 1: Beleid en kaders 1. Heeft de gemeente beleid opgesteld voor het zorgvuldig en rechtmatig gebruik van algoritmes? 2. Hoe komt de besluitvorming over de inzet van een algoritme tot stand en welke rol heeft de Raad daarin? Thema 2: Inrichting en beheersing 3. Heeft de gemeente een duidelijk en volledig overzicht van algoritmes die worden gebruikt en met welke doelen deze worden gebruikt? 4. In welke mate sluit de beheersing van risico’s door de gemeente Noordoostpolder aan bij de momenteel geldende professionele richtlijnen/toetsingskader omtrent algoritmes? 5.

Welke afdelingen zijn er betrokken bij de ontwikkeling en het gebruik van algoritmes binnen de gemeente en wat zijn de rollen en verantwoordelijkheden van die afdelingen?

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Thema 3: Praktijk en risico's 6. In welke mate voldoen de vijf geselecteerde algoritmes aan het toetsingskader en wat is de verklaring van de afwijking? 7. Leidt de huidige inzet van algoritmes tot ongewenste effecten naar inwoners en bedrijven? 8. Op welke manier waarborgt de gemeente een zorgvuldig, rechtmatig gebruik van algoritmes en worden mogelijke risico’s voldoende beheerst? Thema 5: Betrokkenheid Raad 9. Welke informatie ontvangt de gemeenteraad over de stand van zaken ten aanzien van het realiseren van deze doelen?

2.2.1

Onderzoeksopzet: normenkader bestaande uit twee niveaus Om dit rekenkameronderzoek nader te structuren en de onderzoeksvragen te vertalen naar een concreet normenkader, is ervoor gekozen een onderscheid te maken in twee niveaus, om zowel op organisatieniveau als per algoritme) de beheersing van algoritmes te kunnen beoordelen: 1. Op organisatieniveau is er gekeken naar het geheel aan beleid, processen en structuren die bepalend zijn voor een verantwoorde inzet van algoritmes. Hier is er getoetst in hoeverre de gemeente als organisatie 'in control' is op het gebied van algoritmisch werken. 2. Op algoritmeniveau is er juist ingezoomd op de praktijk: hoe functioneren specifieke algoritmes en hoe is de beheersing daadwerkelijk ingericht bij concrete toepassingen? Door beide niveaus te combineren ontstaat een volledig beeld van de huidige situatie én van mogelijke risico’s en verbeterpunten. Voor het eerste niveau is er gebruik gemaakt van het “Implementatiekader Verantwoorde inzet van algoritmes” (Rijksoverheid, 30 juni 2023, versie 1.0). Dit kader is in opdracht van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties opgesteld en heeft als doel overheden te ondersteunen bij de verantwoorde inzet van algoritmes.

Het bevat handreikingen op het gebied van beleid, risicobeheersing en andere organisatorische maatregelen, en sluit daarom goed aan bij het organisatieniveau van dit onderzoek. Voor het tweede niveau is er gebruik gemaakt van het “Toetsingskader Algoritmes” van de Algemene Rekenkamer, dat vrij toegankelijk is op hun website. Dit kader is als het meest passend beschouwd, omdat het concrete maatregelen bevat die snel inzicht geven in de mate waarin de inzet van individuele algoritmes risico’s veroorzaakt voor de gemeente. Het ziet toe op onderwerpen zoals sturing en verantwoording, model en data, privacy, IT-beheer, ethiek en eventuele uitbesteding. Een overzicht van de normen die zijn onderzocht is opgenomen in bijlagen A en B, en een overzicht van verklarende begrippenlijst in bijlage D.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

2.2.2

Aanpak Voor dit Rekenkamer onderzoek is er gekozen voor een gefaseerde aanpak om stapsgewijs en gestructureerd inzicht te krijgen in zowel het organisatorische als het operationele niveau van algoritmegebruik binnen de gemeente. Deze aanpak maakte het mogelijk om eerst het beleids- en procesmatige kader te beoordelen, alvorens in te zoomen op de praktische toepassing en risicobeheersing van individuele algoritmes. Om tot een goed onderbouwd beeld te komen is er gebruikgemaakt van verschillende onderzoeksmethoden:

2.2.3

Opstellen van een normenkader: Als uitgangspunt voor de beoordeling is er een normenkader opgesteld dat is gebaseerd op bestaande en erkende standaarden, waaronder het “Implementatiekader Verantwoorde inzet van algoritmes” (Ministerie van BZK) en het “Toetsingskader Algoritmes” van de Algemene Rekenkamer. Het normenkader is als uitgangspunt gebruikt voor onderstaande werkzaamheden per norm.

Documentanalyse: Relevante beleidsdocumenten zijn opgevraagd en geanalyseerd, waaronder het informatiebeveiligingsbeleid, privacybeleid, wijzigingsprocedures, DPIA’s (Data Protection Impact Assessments) en verwerkingsregisters.

Interviews met medewerkers van de gemeente: Op basis van het normenkader en de documentatie zijn interviews gehouden met diverse functionarissen binnen de gemeente, waaronder beleidsadviseurs, functioneel beheerders, ITspecialisten en de privacy officer. Deze gesprekken hadden als doel om de analyse van de documentatie te valideren, aanvullende context te verkrijgen en zicht te krijgen op de inzet van algoritmes in de praktijk.

Groepsgesprek met de gemeenteraad: Naast ambtelijke gesprekken is er ook een groepsgesprek gevoerd met een afvaardiging van de gemeenteraad. Dit gesprek richtte zich op de vraag in hoeverre de Raad betrokken is bij algoritmegebruik, welke informatie zij ontvangt en welke rol zij voor zichzelf ziet in kaderstelling en toezicht.

Afstemming en validatie: Na ieder gesprek hebben is een verslag opgesteld en afgestemd.

Tenslotte heeft er ambtelijk en bestuurlijk wederhoor plaatsgevonden.

Onderzochte algoritmes Op basis van een bredere inventarisatie van algoritmes binnen de gemeente Noordoostpolder zijn er vijf algoritmes geselecteerd voor nader onderzoek. Deze selectie is gemaakt op basis van hun aard en potentiële impact op burgers en processen. De onderzochte algoritmes ondersteunen gemeentelijke taken in verschillende domeinen en maken onderdeel uit van bredere systemen. WOZ-taxatiemodel Het WOZ-algoritme wordt gebruikt om automatisch de WOZ-waarde van onroerend goed te berekenen. De berekening gebeurt op basis van vaste regels. Hoewel de exacte rekenwijze niet volledig inzichtelijk is, wordt per woning de uitkomst gerapporteerd met bijvoorbeeld referentiepanden.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Lokale heffingen – berekening belastingbedrag Voor het berekenen van belastingaanslagen, zoals afvalstoffenheffing en onroerendezaakbelasting, wordt een algoritme gebruikt. Het algoritme zet beleidsregels om in belastingbedragen en gebruikt grotendeels geautomatiseerde gegevensverwerking. Het algoritme volgt vaste beslisregels, waardoor de berekening op een consistente en reproduceerbare manier plaatsvindt. iBurgerzaken e-diensten iBurgerzaken wordt gebruikt voor de digitale afhandeling van burgerzaken, zoals verhuizingen en overlijdensaangiften. De onderliggende algoritmes zijn niet zelflerend, maar volgen vaste beslisregels. Alleen eenvoudige aanvragen worden automatisch afgehandeld; complexere gevallen worden beoordeeld door een medewerker. PKO – kennissysteem sociaal domein PKO wordt ingezet bij aanvragen voor inkomensvoorzieningen zoals de voor bijstand. Het systeem bestaat uit een vragenformulier met vaste beslislogica, gebaseerd op weten regelgeving. De uitkomst van het algoritme dient als advies; een medewerker beoordeelt de uiteindelijke toekenning. Anonimiseren van documenten De gemeente gebruikt een tool voor het anonimiseren van documenten die openbaar gemaakt moeten worden. Het algoritme herkent vaste patronen zoals namen en adressen op basis van vooraf ingestelde regels.

Hoewel suggesties automatisch worden gedaan, is altijd een medewerker verantwoordelijk voor de eindcontrole.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Conclusies Gebruik algoritmes (nog) beperkt Uit dit onderzoek komt naar voren dat de gemeente Noordoostpolder op dit moment beperkt gebruikt maak van algoritmes, dat de algoritmes die gebruikt worden niet complex van aard zijn en dat de algoritmes vanwege hun aard het reguliere ICTbeheersingsregime volgen. Er is vastgesteld dat de algoritmes die in gebruik zijn in vrijwel alle gevallen onderdeel zijn van bestaande software, met uitzondering van anonimiseren. Daarnaast wordt er geen gebruik gemaakt van kunstmatige intelligentie, maar zijn de algoritmes gebaseerd op rekenregels. Voorbeelden hiervan zijn analytische toepassingen op basis van gegevens uit de Basisregistraties en rekenregels ter ondersteuning van belastingberekeningen. De medewerkers van de gemeente hebben wel toegang tot Microsoft CoPilot. Het gebruik van de publieke versie van ChatGPT is daarbij binnen de organisatie actief ontmoedigd door bewustwordingscampagnes. Risico’s van bias bij algoritmes (nog) beperkt De algoritmes die momenteel in gebruik zijn kennen geen inherente biasrisico’s vanwege het feit dat zij gebaseerd zijn op rekenregels en er geen sprake is van volledig geautomatiseerde besluitvorming zonder menselijke tussenkomst. Bias houdt in dat een algoritme systematisch nadelige uitkomsten kan opleveren voor bepaalde personen, groepen of andere eenheden.

Er is vastgesteld dat de ambtenaren van de gemeente algoritmes ter ondersteuning van hun werkzaamheden en de uitkomsten van een algoritme gebruiken als input voor hun eigen besluitvorming. Tijdens de individuele beoordeling van de algoritmes is voor vijf algoritmes vastgesteld en beschreven hoe dit exact gebeurt. Gebrek aan beleid en eenduidige definitie van een algoritme De gemeente heeft geen beleid opgesteld specifiek voor de inzet van algoritmes. Daarbij ontbreekt een eenduidige definitie, waardoor mogelijk terminologie en eventueel aanvullende risico’s minder goed kunnen worden geïdentificeerd. Er is vastgesteld dat er geen separaat beleid voor algoritmes is geformuleerd, en dat een definitie ontbreekt. Het onderwerp komt wel terug in het informatiebeveiligingsbeleid, en ook het privacy-beleid ziet toe op de verwerking van persoonsgegevens door algoritmes. Algoritmes volgen het reguliere ICT-beheersingsregime Algoritmes worden binnen de gemeente niet anders behandeld dan reguliere ICTsystemen, en volgen hetzelfde ICT-beheersingsregime. De conclusie is dat deze aanpak passend is, omdat er gezien de huidige inzet van de algoritmes geen extra risico’s zijn die direct om aanvullende maatregelen vragen.

Er is vastgesteld dat er geen separate beheersingsmaatregelen zijn getroffen voor algoritmes, maar algoritmes het reguliere ICT-beheersingsregime volgen dat geldt voor de software waarvan zij onderdeel zijn. Denk hierbij aan het informatiebeveiligingsbeleid, het gemeentelijk privacybeleid en de verplichte uitvoering van DPIA’s, bij initiatieven met persoonsgegevens.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Anonimiseren is een uitzondering, maar dit betreft een software-as-a-service oplossing, waarbij de beheersing is uitbesteed aan de leverancier van de software. Toenemende aandacht voor algoritmes De gemeente heeft in toenemende mate aandacht voor het thema algoritmes, zowel binnen het ambtelijk apparaat als bij de gemeenteraad. Deze toenemende bewustwording wordt ingegeven door de bredere maatschappelijke discussie over de inzet van AI, maar ook door lokale ambities om meer datagedreven te gaan werken. Er is vastgesteld tijdens interviews dat zowel leden van de gemeenteraad, als ambtenaren bewust zijn van de kansen en de risico’s van de inzet van algoritmes. De geïnterviewden geven aan dat algoritmes in de toekomst een grotere rol zouden kunnen spelen bij beleidsontwikkeling, signalering en dienstverlening. Geen volledig overzicht van gebruik algoritmes De gemeente heeft op dit moment geen volledig overzicht van de algoritmes die in gebruik of ontwikkeling zijn. Er is eenmalig een inventarisatie uitgevoerd om het landelijke Algoritmeregister te vullen, maar verdere updates en actualisatie is niet belegd binnen een structureel proces of bij een verantwoordelijk functionaris. Er is vastgesteld dat er in het kader van het landelijke Algoritmeregister een inventarisatie is uitgevoerd van alle algoritmes binnen de gemeente. Hieruit kwamen vijf algoritmes naar voren.

Tijdens de werkzaamheden is dit overzicht verder aangevuld. Via interviews is begrepen dat er geen werkwijze bestaat om het landelijke register op continue basis aan te vullen. Huidige mate van beheersing sluit aan op de actuele algoritme-risico’s bij de gemeente maar sluit nog aan op de ambities van de gemeente Op basis van bovenstaande (deel)conclusies en onderliggende feiten is er tot de conclusie gekomen dat de huidige aanpak van risicobeheersing voor algoritmes binnen de gemeente Noordoostpolder passend is in relatie tot de mate waarin deze worden ingezet binnen de gemeente. Algoritmes zijn vrijwel altijd onderdeel van bestaande software, en zijn gezien hun technologische aard niet direct risicovoller waardoor aanvullende maatregelen nodig zijn. Tegelijkertijd vraagt de ambitie om algoritmes in de toekomst breder en intensiever in te zetten om een steviger fundament. Door gericht te investeren in beleid, overzicht, eigenaarschap en bestuurlijke verantwoording, kan de gemeente zich voorbereiden op de toekomst om te zorgen dat algoritmes verantwoord en transparant worden ingezet.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Aanbevelingen Op basis van de uitgevoerde analyse en beantwoording van de deelvragen worden in dit hoofdstuk zes aanbevelingen geformuleerd die de gemeente Noordoostpolder kunnen ondersteunen bij het versterken van de beheersing van algoritmes. De aanbevelingen zijn geprioriteerd op basis van hun impact op betere risicobeheersing. De prioritering is als volgt opgebouwd: -

De eerste vier aanbevelingen zijn gericht op de basisvoorwaarden voor sturing, grip en rollen en verantwoordelijkheden, en helpen bij het toekomstbestendig inrichten van verantwoorde algoritmische besluitvorming (impact: hoog).

De daaropvolgende twee aanbevelingen versterken bestaande processen en het bestuurlijke bewustzijn (impact: midden).

Bij iedere aanbeveling is aangegeven op welke deelvraag of deelvragen deze betrekking heeft. 1 Ontwikkel een algoritmebeleid (impact: hoog, relevante deelvragen: 1, 4, 8) Hoewel de gemeente via bestaande beleidsdocumenten, zoals privacy- en ICT-beleid, belangrijke elementen voor risicobeheersing van algoritmes afdekt, ontbreekt een helder, integraal algoritmebeleid voor sturing en verantwoording. Zo’n beleid biedt een duidelijke kapstok voor aanvullende eisen en maatregelen die specifiek gelden voor algoritmes en AI-toepassingen. Naarmate de inzet van algoritmes binnen de gemeente toeneemt, groeit het belang van een dergelijk beleid. Een goed algoritmebeleid begint bij een heldere definitie van wat onder algoritmes wordt verstaan. Gezien de huidige inzet kan inbedding in bestaande ICT-processen soms ook volstaan, maar zonder specifiek beleid ontstaat het risico op versnipperende besluitvorming en onduidelijkheid over randvoorwaarden zoals toetsing, toezicht en transparantie. Ook biedt een centraal algoritmebeleid ruimte om ethische principes en publieke waarden vast te leggen. Daarnaast maakt een centraal algoritmebeleid het mogelijk om concrete en toetsbare criteria op te nemen, waarmee een afwegingskader ontstaat dat helpt bij het maken van zorgvuldige keuzes over de inzet van algoritmes.

Het stelt de gemeenteraad in staat om de organisatie gericht te bevragen op de zorgvuldigheid en verantwoorde inzet van algoritmes. Op deze manier worden alle eisen en overwegingen rond algoritmes inzichtelijk gemaakt, en wordt de inzet voorspelbaar, uitlegbaar en controleerbaar. 2 Investeer in datavaardigheden van medewerkers (impact: hoog, relevante deelvragen: 4, 5, 8) Gezien de ambitie van de gemeente om steeds meer gebruik te maken van datagedreven toepassingen, algoritmes en AI, is het belangrijk om medewerkers voldoende op te leiden om klaar te zijn voor die veranderende realiteit. Investeren in kennis en bewustwording stelt de organisatie als geheel beter in staat om kansen en risico’s van algoritmes te benutten en te beheersen, en om ethische afwegingen te maken die mogelijk komen kijken bij de inzet van algoritmes. Er zijn hierop al concrete stappen door de gemeente gezet, maar gerichte trainingen voor beleidsmedewerkers, beheerders en management kunnen bijdragen aan een gemeenschappelijk

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

begrippenkader, beter risicobesef en gerichter ethisch handelen, zeker gezien de toenemende beschikbaarheid van AI tools voor iedereen. 3 Richt een structurele inventarisatie en monitoring in (impact: hoog, relevante deelvragen: 3, 4, 8) Het ontbreken van een actueel, centraal overzicht van algoritmes vormt een risico voor zowel interne beheersing als externe verantwoording. Door per algoritme een eigenaar aan te wijzen om zo – bijvoorbeeld – periodieke risicoanalyses te organiseren, ontstaat inzicht, grip en de mogelijkheid om gericht op risico’s te sturen. Daarnaast is het essentieel om monitoring van algoritmes en AI structureel in te richten. Dit omvat niet alleen het volgen van technische prestaties, maar ook het regelmatig uitzoomen om kritisch te beoordelen wat er precies gebeurt. De menselijke maat vormt daarin een cruciaal onderdeel, waarbij wordt gereflecteerd op de maatschappelijke en ethische impact en beoordeeld of de inzet van algoritmes nog steeds wenselijk en proportioneel is. 4 Veranker rollen en verantwoordelijkheden expliciet (impact: hoog, relevante deelvragen: 1, 5, 8) De huidige impliciete taakverdeling maakt de borging van een eventueel algoritmebeleid kwetsbaar.

Door structureel vast te leggen wie verantwoordelijk is voor de ontwikkeling, het beheer, toezicht en de opvolging van incidenten rondom algoritmes, wordt consistentie bevorderd en ontstaat duidelijkheid binnen én buiten de organisatie. Een heldere rolverdeling biedt ook ruimte om ethische afwegingen tijdig en structureel in het proces te verankeren. Dit vormt een noodzakelijke aanvulling op het beleidskader en versterkt de uitvoeringspraktijk. 5 Breid bestaande processen uit met algoritmespecifieke controles (impact: midden, relevante deelvragen: 1, 4, 8) Bestaande procedures zoals DPIA’s, changeprocessen en inkoop bieden al een goede basis voor risicobeheersing. Door deze uit te breiden met algoritmespecifieke elementen (zoals toetsingsvragen of checklists), wordt geborgd dat risico’s ook bij nieuwe of externe toepassingen systematisch worden meegewogen. Dit zorgt voor versterking van wat er al werkt, met relatief beperkte inspanning. 6 Inventariseer eerst de wensen, en zorg daaropvolgend voor structurele informatievoorziening richting de gemeenteraad (impact: midden, relevante deelvragen: 2, 9) De gemeenteraad ontvangt momenteel geen structurele informatie over algoritmegebruik binnen de gemeente, terwijl er uit het groepsgesprek met een aantal gemeenteraadsleden blijkt dat er wel een behoefte is aan meer informatie.

Een jaarlijkse rapportage of paragraaf in het jaarverslag kan invulling geven aan deze behoefte zonder dat de Raad van alle details op de hoogte wordt gebracht. Daarnaast biedt een dergelijke rapportage ook inzicht aan inwoners van de gemeente. Verder kan het in voorkomende gevallen wenselijk zijn om ethische besluitvorming rondom het gebruik van algoritmes door de gemeenteraad te laten controleren. Hierin kan bij de informatievoorziening specifieke aandacht aan worden besteed. Ter ondersteuning van deze ethische besluitvorming wordt de gemeente geadviseerd om het afwegingskader met de gemeenteraad af te stemmen. Dit biedt houvast bij het maken van keuzes over de inzet van algoritmes.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Beantwoording deelvragen In dit hoofdstuk worden de onderzoeksvragen beantwoord aan de hand van de onderzoekswerkzaamheden die zijn uitgevoerd, zoals documentanalyse, interviews, inventarisaties en het groepsgesprek met de gemeenteraad. De beantwoording volgt de volgorde van de eerder gepresenteerde deelvragen. Per deelvraag wordt kort toegelicht waar de vraag op ziet, gevolgd door een analyse en conclusie op basis van de resultaten van het onderzoek.

5.1

Beleid en kaders

5.1.1

Deelvraag 1: Heeft de gemeente beleid opgesteld voor het zorgvuldig en rechtmatig gebruik van algoritmes? Geconstateerde feiten De gemeente beschikt niet over een expliciet of integraal algoritmebeleid, maar verschillende relevante aspecten van zorgvuldig en rechtmatig gebruik zijn vooralsnog ondergebracht in bestaande beleidskaders: -

Het informatiebeveiligingsbeleid is vrij actueel (18 juli 2023), gebaseerd op de BIO (Baseline Informatiebeveiliging Overheid) en gericht op de klassieke principes van vertrouwelijkheid, integriteit en beschikbaarheid. Algoritmes worden hierin als onderdeel van het reguliere ICT-beleid meegenomen.

In het privacybeleid (18 juli 2023) is geen expliciete aandacht voor algoritmes, maar worden algoritmes wel meegenomen als onderdeel van reguliere ICT waarbinnen persoonsgegevens worden verwerkt. Er is een DPIA-proces, waar algoritmes ook onderhevig aan zijn. De betrokkenheid van de privacy officer bij nieuwe initiatieven is standaard, wat bijdraagt aan het vroegtijdig signaleren van risico’s.

Voor data governance geldt dat er specifiek gericht op algoritmes geen maatregelen zijn getroffen. Ook zijn rollen en verantwoordelijkheden met betrekking tot algoritmes nog niet expliciet vastgelegd.

Er is, aansluitend op het ontbreken van een algoritmebeleid, nog geen separate aandacht voor geautomatiseerde besluitvorming, al wordt dit wel als onderwerp meegenomen in de DPIA’s. Volledige geautomatiseerde besluitvorming komt op dit moment niet voor.

Beantwoording deelvraag (conclusie) Hoewel de aanpak deels impliciet is, worden de belangrijkste risico’s van algoritmes via de bestaande ICT-processen beheerst.

5.1.2

Deelvraag 2: Hoe komt de besluitvorming over de inzet van een algoritme tot stand en welke rol heeft de Raad daarin? De besluitvorming over algoritmegebruik binnen de gemeente Noordoostpolder vindt momenteel plaats binnen de bestaande ICT- en privacyprocessen. Er is geen afzonderlijk besliskader voor algoritmes. In de praktijk worden algoritmes meegenomen in reguliere procedures zoals het ICT-initiatiefproces, de changeprocedure en het uitvoeren van DPIA’s.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

De inzet van een algoritme, vrijwel altijd als onderdeel van bestaande software, wordt impliciet beoordeeld als onderdeel van een breder project of applicatie, waarbij de privacy officer een centrale rol vervult bij de beoordeling van risico’s voor persoonsgegevens. Uit de interviews wordt er begrepen dat de gemeente hierbij een terughoudende benadering voor staat: toepassingen worden kritisch afgewogen en indien nodig opgenomen in het verwerkingsregister. Beslissingen worden op casusniveau genomen, zonder aparte toetsingscommissie of expliciete beleidslijn specifiek gericht op algoritmisch gebruik. De gemeenteraad is momenteel niet actief of structureel betrokken bij deze besluitvorming. Uit het gesprek met raadsleden blijkt dat zij het onderwerp belangrijk vinden, maar bewust zijn van hun beperkte rol in technische of operationele keuzes. Wel hechten zij waarde aan transparantie, verantwoording en duidelijke beleidskaders. Raadsleden gaven aan behoefte te hebben aan periodieke informatie, bijvoorbeeld in de vorm van een jaarlijkse rapportage of een paragraaf in het jaarverslag, zodat zij hun kaderstellende rol goed kunnen invullen zonder op detailniveau te hoeven sturen. Samenvattend sluit de huidige werkwijze aan bij de aard en omvang van het algoritmegebruik binnen de gemeente. De besluitvorming is decentraal, projectmatig en functioneel ingericht.

Ook hiervoor geldt dat de gemeente verwacht dat naarmate de inzet van algoritmes toeneemt, de behoefte aan meer expliciete besluitvormingsstructuren, beleidslijn, eigenaarschap en bestuurlijke verantwoording ook zal toenemen.

5.2

Inrichting en beheersing

5.2.1

Deelvraag 3: Heeft de gemeente een duidelijk en volledig overzicht van algoritmes die worden gebruikt en met welke doelen deze worden gebruikt? De gemeente beschikt op dit moment over een overzicht van algoritmes dat is opgenomen in het landelijk Algoritmeregister. Uit de inventarisatie blijkt echter dat dit overzicht niet actueel is en niet structureel wordt bijgewerkt. De uitkomsten van de inventarisatie zijn opgenomen in bijlage C. Belangrijk te vermelden is dat op dit moment deelname aan het Algoritmeregister geen wettelijke verplichting kent. Voorafgaand aan de inventarisatie is een werkbare definitie van algoritmes vastgesteld. Op basis daarvan zijn binnen de organisatie gebruikte toepassingen geïdentificeerd die onder deze definitie vallen. In totaal zijn zes algoritmes gevonden, waarvan er twee waren opgenomen in het landelijk Algoritmeregister. De aanpak van deze inventarisatie verschilde van de methode die eerder is gebruikt voor het vullen van het landelijk Algoritmeregister, wat het verschil in uitkomsten kan verklaren. Tegelijkertijd benadrukt dit het belang van een eenduidige en actuele werkwijze. Gezien de toenemende ambitie van de gemeente om algoritmes en AI in te zetten, wordt het steeds belangrijker om goed zicht te hebben op welke toepassingen binnen de organisatie worden gebruikt.

Op dit moment ontbreekt er een structureel proces voor het actualiseren van het algoritmeregister, al wordt hier wel aan gewerkt. Er zijn geen duidelijke definities vastgesteld van wat binnen de gemeente als algoritme wordt beschouwd en er zijn

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

geen verantwoordelijkheden toegewezen voor beheer en het updaten van een centraal register. Hierdoor bestaat het risico dat het overzicht onvolledig raakt of veroudert naarmate het gebruik toeneemt. Ook de doelen waarvoor algoritmes worden ingezet worden niet centraal verzameld, geclassificeerd of geanalyseerd. Dit maakt het lastig om op strategisch niveau te sturen, risico’s te prioriteren of verantwoording af te leggen. Op dit moment werkt de gemeente, met een plan van aanpak Algoritmeregister, aan het verder structureren van de bouwstenen die hierboven staan beschreven.

5.2.2

Deelvraag 4: In welke mate sluit de beheersing van risico’s door de gemeente Noordoostpolder aan bij de momenteel geldende professionele richtlijnen/toetsingskader omtrent algoritmes? De gemeente beheerst de risico’s rond algoritmegebruik op dit moment grotendeels via bestaande structuren en processen, al laat zij met de aanpak Algoritmeregister en het gebruik van enkele door de centrale overheid aangereikte algoritme- en AI instrumenten (zoals de handreiking Generatieve AI) zien hier actief verbeteringen uit te voeren. Deze aanpak sluit op onderdelen aan bij de principes uit de geldende richtlijnen (zie eerdere toelichting over het normenkader op twee niveaus), namelijk in de zin dat wordt geadviseerd zo goed mogelijk aan te sluiten op bestaande interne processen, maar een goede indeling om volledigheid te borgen is nog niet aanwezig. Privacy en informatiebeveiliging zijn goed verankerd. DPIA’s worden standaard uitgevoerd bij initiatieven met persoonsgegevens, waarbij ook wordt gekeken naar algoritmes en AI. De BIO is geïmplementeerd als basis voor informatiebeveiliging. Inkoopvoorwaarden (GIBIT) bieden ruimte om afspraken te maken over continuïteit en eigenaarschap van algoritmes.

Andere onderdelen van de richtlijnen, zoals transparantie, uitlegbaarheid, centrale documentatie, ethiek, periodieke herbeoordeling en formele rolverdeling, zijn nog niet of slechts beperkt ingevuld. Er is geen specifiek algoritmebeleid, geen standaard voor het vastleggen van gegevens van algoritmes, en geen structuur voor continue monitoring en evaluatie. De risicoafdekking vindt op dit moment vooral plaats op casusniveau en is, naast de DPIA processen die zijn ingericht, ook afhankelijk van het bewustzijn en de inzet van betrokken functionarissen. Hierdoor is de aansluiting op de toetsingskaders eerder impliciet dan expliciet. De huidige aanpak past bij het beperkte risicoprofiel van de huidige algoritmes. Echter ook hiervoor geldt dat het verwacht mag worden dat naarmate de inzet van algoritmes toeneemt, de behoefte aan specifieke beheersing ook zal toenemen.

5.2.3

Deelvraag 5: Welke afdelingen zijn er betrokken bij de ontwikkeling en het gebruik van algoritmes binnen de gemeente en wat zijn de rollen en verantwoordelijkheden van die afdelingen? Op dit moment worden algoritmes binnen de gemeente vooral gebruikt als onderdeel van standaardsoftware van externe leveranciers; er zijn geen voorbeelden gezien van algoritmes die intern worden ontwikkeld. Mede aanleiding hiervoor is ook het architectuurprincipe dat de gemeente voert waarin wordt gesteld dat zelfbouw in

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

principe niet is toegestaan. Daardoor is geen aparte structuur ingericht voor algoritmeontwikkeling of -beheer, en zijn de betrokkenheid en verantwoordelijkheden functioneel verdeeld over bestaande afdelingen: -

Beleidsafdelingen zijn doorgaans verantwoordelijk voor de inhoudelijke inzet van algoritmes binnen hun domein en vervullen zij de rol van proceseigenaar.

Functioneel beheer zorgt voor de dagelijkse werking van de applicaties waarin de algoritmes zijn opgenomen.

Het team Informatievoorziening is verantwoordelijk is voor de technische inpassing, beveiliging en continuïteit.

Bij initiatieven die persoonsgegevens raken, is de privacy officer standaard betrokken.

Hoewel de bovenstaande betrokkenheid in de praktijk werkt, is er geen formeel vastgelegde rolverdeling of structuur voor monitoring en evaluatie van algoritmes. Zo ontbreekt bijvoorbeeld een formele aanwijzing van algoritme-eigenaren en is er geen centraal aanspreekpunt dat het overzicht bewaakt of de borging binnen de hele organisatie coördineert. Deze situatie is gezien het beperkte gebruik van algoritmes op dit moment nog toereikend, maar naarmate algoritmes vaker en breder worden ingezet, neemt ook de behoefte toe aan heldere afspraken, vastgelegde verantwoordelijkheden en centrale coördinatie.

5.3

Praktijk en risico's

5.3.1

Deelvraag 6: In welke mate voldoen de vijf algoritmes aan het toetsingskader en wat is de verklaring van de afwijking? De vijf algoritmes die zijn onderzocht sluiten op verschillende onderdelen niet aan op de normen uit het normenkader. De belangrijkste afwijkingen zijn: -

Er ontbreekt specifieke documentatie, versiebeheer en monitoring op het niveau van het algoritme; deze zijn vaak wel geregeld voor het omliggende systeem, maar niet voor de algoritmische logica zelf.

Eigenaarschap, risicoanalyses en procedures voor incidentescalatie zijn niet expliciet ingericht voor het algoritme, terwijl er wel algemene beheerstructuren bestaan voor het systeem als geheel.

DPIA’s en privacybeoordelingen zijn meestal gericht op het bredere systeem en niet op de specifieke gegevensverwerking of beslislogica van het algoritme.

Deze afwijkingen zijn het gevolg van de specifieke eisen die het normenkader stelt aan algoritmes die enerzijds over het algemeen complexer van aard zijn (bijvoorbeeld omdat deze algoritmes “getraind” worden op historische data, en daarmee bepaalde risico’s zoals bias toenemen), en anderzijds omdat het normenkader ook uitgaat van algoritmes in directe besluitvorming. De onderzochte algoritmes voldoen niet aan deze twee karakteristieken, waardoor een aantal afwijkingen van de normen ontstaan. Dit wordt niet als probleem beschouwd, omdat gezien de aard en de risico’s van de onderzochte algoritmes de normen niet van toepassing zijn.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Wel is het van belang om stil te staan bij de afhankelijkheid van externe leveranciers. Het is niet altijd duidelijk in hoeverre de gemeente inzicht heeft in de aanwezigheid en werking van algoritmes binnen deze systemen, of in staat is om hierover eisen te stellen. Deze afhankelijkheid kan leiden tot een gebrek aan transparantie en controle, wat risico’s met zich meebrengt op het gebied van privacy, discriminatie en verantwoordelijkheid. Daarom is het essentieel dat de gemeente bij de inkoop en het gebruik van systemen duidelijke afspraken hierover maakt met de externe leveranciers. Dit vormt een aandachtspunt voor toekomstige risicobeheersing, zeker wanneer het gebruik van algoritmes en AI verder toeneemt. Detailuitwerking per norm, per algoritmes zijn opgenomen in bijlage B.

5.3.2

Deelvraag 7: Leidt de huidige inzet van algoritmes tot ongewenste effecten naar inwoners en bedrijven? Op basis van de werkzaamheden en de vijf onderzochte algoritmes is er op dit moment geen aanleiding om aan te nemen dat de inzet van algoritmes binnen de gemeente leidt tot ongewenste effecten voor inwoners of bedrijven als gevolg van onjuist functioneren van die algoritmes. De onderzochte algoritmes zijn relatief eenvoudig van aard, worden niet ingezet voor directe besluitvorming, en vertonen geen signalen van systematische fouten of risico’s zoals discriminatie of onrechtmatige gegevensverwerking. Ze zijn bovendien ingebed in bestaande, veelgebruikte systemen die ook door meerdere gemeenten worden ingezet. Dat neemt niet weg dat de uitkomst van een algoritme in de praktijk anders kan zijn dan wat een burger of organisatie verwacht. In dergelijke gevallen zijn reguliere bezwaar- en herstelprocedures beschikbaar. Deze procedures zijn onderdeel van het bredere gemeentelijke dienstverleningsproces en niet specifiek opgezet voor algoritmische besluitvorming. Het functioneren van deze procedures viel buiten de scope van dit onderzoek.

5.3.3

Deelvraag 8: Op welke manier waarborgt de gemeente een zorgvuldig, rechtmatig gebruik van algoritmes en worden mogelijke risico’s voldoende beheerst? De belangrijkste mechanismen waarmee de gemeente zorgvuldigheid en rechtmatigheid borgt, zijn: 1. Privacybeleid en DPIA-procedures: de gemeente hanteert een vastgesteld privacybeleid waarin (pre-)DPIA’s verplicht zijn voor nieuwe toepassingen waarbij persoonsgegevens worden verwerkt. In deze DPIA’s wordt nadrukkelijk stilgestaan bij algoritmisch gebruik en de risico’s voor betrokkenen. Voor AItoepassingen is zelfs opgenomen dat deze alleen mogen worden toegepast na expliciete goedkeuring door de directie en de functionaris gegevensbescherming (FG). Daarmee zijn privacyrisico’s vroegtijdig onderwerp van analyse. 2. Changeprocedures en verwerkingenregister: nieuwe (data) toepassingen worden via het ICT-initiatieformulier en de changeprocedure ingediend en beoordeeld. In dit proces wordt onder andere de privacy officer betrokken. Indien van toepassing, wordt het algoritme opgenomen in het

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

verwerkingenregister. Dit draagt bij aan transparantie en structurele borging binnen het informatiebeheer. 3. Informatiebeveiligingsbeleid (BIO): het informatiebeveiligingsbeleid is actueel en gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). Algoritmes worden beschouwd als onderdeel van reguliere ICT en vallen daarmee onder dit kader. Jaarlijkse audits, zoals de DigiD-audit, ondersteunen dit. Hoewel er geen specifieke aandacht is voor algoritmes, wordt de informatiebeveiliging van deze toepassingen wel impliciet geborgd via bestaande beheersingsmaatregelen. 4. Terughoudendheid en menselijk toezicht: de gemeente kiest bewust voor een beperkte en ondersteunende inzet van algoritmes. In alle gevallen blijft sprake van menselijke tussenkomst bij besluitvorming. Er worden geen autonome beslissingen genomen op basis van algoritmische output. Dit beperkt het risico op onbedoelde of onrechtmatige uitkomsten. 5. Betrokkenheid van privacy en ICT bij initiatieven: bij nieuwe algoritmische toepassingen zijn de privacy officer, Functionaris Gegevensbescherming (FG) en de afdeling informatievoorziening standaard betrokken. Deze functionarissen signaleren risico’s, adviseren over beheersingsmaatregelen en bewaken naleving van wet- en regelgeving.

Hoewel de gemeente beschikt over diverse beleidskaders en procedures die bijdragen aan zorgvuldigheid en rechtmatigheid, ontbreken op dit moment nog vaste criteria voor de beoordeling, toetsing en evaluatie van algoritmes. Rollen en verantwoordelijkheden zijn niet formeel belegd, transparantie en uitlegbaarheid worden niet systematisch geborgd, en er bestaat geen gestructureerd proces voor bijvoorbeeld versiebeheer of monitoring van algoritmes (zie beantwoording eerdere deelvragen). Door middel van het plan van aanpak Algoritmeregister werkt de gemeente actief aan het verder verbeteren hiervan. Een algoritmebeleid kan hierin voorzien door gericht aandacht te geven aan deze specifieke algoritme-aspecten, en sluit daarmee aan op en bouwt voort op de bestaande beleidskaders. Een afwegingskader vormt daarbij een essentieel onderdeel. Dit kader helpt om vooraf expliciete keuzes te maken over de inzet van algoritmes, bijvoorbeeld op basis van ethische overwegingen, doelmatigheid of personele inzet.

5.4

Betrokkenheid Raad

5.4.1

Deelvraag 9: Welke informatie ontvangt de gemeenteraad over de stand van zaken ten aanzien van het realiseren van deze doelen? De gemeenteraad van de gemeente Noordoostpolder ontvangt op dit moment geen structurele of expliciete informatie over het gebruik van algoritmes binnen de organisatie. De informatievoorziening is beperkt tot incidentele signalen en ad-hoc verzoeken. Het onderwerp algoritmes is tot nu toe nauwelijks op de agenda van raadsvergaderingen verschenen, zo blijkt uit een analyse van de griffie. Uit het gesprek met raadsleden blijkt echter dat er wel belangstelling bestaat voor het onderwerp. Raadsleden geven aan bewust te zijn van de groeiende maatschappelijke en bestuurlijke relevantie van algoritmes, en vinden het belangrijk dat de inzet ervan geen discriminerende of onrechtvaardige effecten heeft.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Ethische afwegingen zijn daarom van groot belang, en informatievoorziening over dit thema is dan ook – in voorkomende gevallen – gewenst. Tegelijkertijd geven de geïnterviewden van de gemeenteraad aan dat zij geen behoefte te hebben aan technische details, maar juist aan toegankelijke, overzichtelijke informatie op hoofdlijnen wensen. De deelnemende Raadsleden van het interview zien dan ook graag dat er bijvoorbeeld jaarlijks wordt gerapporteerd over het algoritmegebruik binnen de gemeente. Dit kan in de vorm van een aparte rapportage of als paragraaf in het jaarverslag. Zo’n rapportage zou de Raad in staat stellen om haar kaderstellende en controlerende rol beter te vervullen, zonder op detailniveau in te grijpen in de uitvoering. Het delen van het afwegingskader waarmee besloten wordt om een algoritme in te zetten, sluit goed aan bij deze behoefte. Door dit kader met hen te bespreken kan je bij de Raad borgen dat de keuzes goed en verklaarbaar gemaakt worden. Dit vergroot transparantie en maakt keuzes over algoritmegebruik beter uitlegbaar en controleerbaar. Hoewel de gemeente beschikt over voldoende kennis en systemen om deze informatie te ontsluiten, ontbreekt op dit moment de vertaling naar bestuurlijke verantwoording.

Gezien de toenemende maatschappelijke aandacht en de aankomende verplichtingen vanuit Europese regelgeving, zoals de AI Act, kan het in overweging worden genomen om hierin stappen te zetten.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Bijlagen Bijlage A – Normenkader en uitwerking organisatieniveau

In de tabel hieronder is het normenkader dat is gebruikt om niveau 1, organisatie, te onderzoeken een uitwerking opgenomen naar aanleiding van de werkzaamheden.

Naam

Beschrijving

Uitwerking

(Rest)risico

Informatiebeveiligingsbele id

De gemeente hanteert een actueel, op risicoanalyse gebaseerd informatiebeveiligingsbeleid - waar mogelijk conform de BIO. Dit beleid is onderdeel van het informatiebeheer en waarborgt de vertrouwelijkheid, integriteit en beschikbaarheid van informatie.

Aansluiting op de norm: De gemeente beschikt over een informatiebeveiligingsbeleid dat gebaseerd is op de BIO, waarmee de basisprincipes van vertrouwelijkheid, integriteit en beschikbaarheid (VIA) worden geborgd. Algoritmes vallen momenteel onder reguliere ITprocessen, wat in lijn is met het bestaande beleid.

Midden

Er zijn procedures en richtlijnen om informatiebeveiliging structureel mee te nemen in de ontwikkeling en toepassing van algoritmes.

Alternatieve dekking van risico’s: Hoewel er geen specifiek beleid voor algoritmes is, worden relevante risico’s rondom inzet van algoritmes deels ondervangen via de bestaande changeprocedures en via DPIA’s bij projecten met persoonsgegevens. Hiermee wordt impliciet aandacht besteed aan informatiebeveiligingsaspecten bij de inzet van algoritmes. Afwijkingen: De norm vraagt expliciet om structurele aandacht voor algoritmes binnen het informatiebeveiligingsbeleid. Dit ontbreekt. Er is geen standaardprocedure of expliciete richtlijn die specifiek toeziet op de beveiliging van algoritmes.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Data Governance

De gemeente hanteert een data governance-beleid waarin eisen zijn vastgelegd voor de traceerbaarheid, reproduceerbaarheid en kwaliteit van data die in algoritmes wordt gebruikt. Dit beleid borgt dat: - Data voldoet aan vastgestelde kwaliteitsnormen en geschikt is voor algoritmische toepassingen. - De herkomst, verwerking en opslag van data transparant en herleidbaar zijn. - Er structurele controles en documentatieverplichtingen zijn voor input- en outputdata van algoritmes.

RA A2500033640

Aansluiting op de norm: De gemeente besteedt binnen het informatiebeveiligingsbeleid enige aandacht aan datakwaliteit en traceerbaarheid van data, met indirecte borging via audits (zoals DigiD).

Midden

Alternatieve dekking van risico’s: Functioneel beheer binnen applicaties bewaakt in zekere mate de datakwaliteit. Er wordt gewerkt aan een projectplan voor datagedreven werken, waarmee op termijn governance kan verbeteren. Afwijkingen: Er ontbreekt een expliciet data governance-beleid. Er zijn geen structurele controles of documentatieverplichtingen specifiek voor de input/output van algoritmes. De afwezigheid van een centrale datastructuur (zoals een datawarehouse) beperkt de traceerbaarheid en reproduceerbaarheid aanzienlijk. Dit vormt een materiële tekortkoming ten opzichte van de norm.

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Rollen en verantwoordelijkheden

De gemeente heeft een beleidskader vastgesteld waarin duidelijke rollen en verantwoordelijkheden rondom de ontwikkeling, implementatie en het gebruik van algoritmes zijn gedefinieerd. Dit beleid bepaalt wie verantwoordelijk is voor de governance, ontwikkeling, beheer en monitoring van algoritmes en legt vast welke procedures gelden voor besluitvorming en escalatie bij risico’s en incidenten.

Aansluiting op de norm: Er is een continuïteitsplan met incidentdraaiboek, en incidentescalatie is deels geborgd via de reguliere changeprocedures. DPIA’s vereisen akkoord van FG en directie bij AI-toepassingen, waarmee zorgvuldigheid bij aanvang wordt gewaarborgd.

Midden

Alternatieve dekking van risico’s: De klachtenprocedure en de meldplicht datalekken vormen aanvullende structuren voor het afhandelen van incidenten. Deze zijn generiek maar potentieel toepasbaar op algoritmes. Afwijkingen: Er is geen expliciet beleidskader dat de governance van algoritmes structureel regelt. Rollen, verantwoordelijkheden en escalatieprocessen zijn niet specifiek benoemd in relatie tot algoritmes.

RA A2500033640

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Privacybeleid

RA A2500033640

De gemeente heeft een privacybeleid vastgesteld dat richtlijnen bevat voor het verwerken van persoonsgegevens in overeenstemming met wet- en regelgeving, zoals de Algemene Verordening Gegevensbescherming (AVG). Dit beleid bepaalt welke gegevens wel en niet mogen worden verwerkt, onder welke voorwaarden gegevensverwerking is toegestaan en hoe de rechten van betrokkenen worden gewaarborgd. Daarnaast is in het beleid vastgelegd wanneer een Data Privacy Impact Assessment (DPIA) verplicht is en welke stappen daarbij moeten worden doorlopen. Deze richtlijnen zijn geïntegreerd in de ontwikkel- en gebruiksprocessen van algoritmes, zodat privacyrisico’s vroegtijdig worden geïdentificeerd en gemitigeerd.

Aansluiting op de norm: De gemeente beschikt over een vastgesteld privacybeleid, waarin procedures voor DPIA’s zijn opgenomen en standaard worden toegepast bij nieuwe verwerkingen van persoonsgegevens. AI en algoritmes zijn expliciet benoemd als risicodomein waarbij DPIA’s verplicht zijn.

Laag

Alternatieve dekking van risico’s: De koppeling tussen DPIA’s en ontwikkelprocessen zorgt voor vroege risicobeheersing bij algoritmes, conform de AVG en onder toezicht van de FG. Afwijkingen: Geen significante tekortkomingen. Wel valt op dat veel afhandeling afhankelijk is van DPIA’s, waardoor consistentie en volledigheid afhankelijk zijn van een juiste toepassing daarvan in alle projecten.

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Geautomatiseerde besluitvorming

RA A2500033640

De gemeente heeft (privacy)beleid opgesteld dat toeziet op het voorkomen van volledig geautomatiseerde besluitvorming. Dit beleid stelt dat er altijd een alternatieve, menselijke route beschikbaar moet zijn voor burgers die geraakt worden door algoritmische beslissingen. Het beleid omvat richtlijnen voor menselijke tussenkomst, het recht van betrokkenen om hun standpunt kenbaar te maken en de mogelijkheid om besluiten aan te vechten.

Aansluiting op de norm: Via de DPIA-procedures wordt het risico op volledig geautomatiseerde besluitvorming onderkend en geëvalueerd, met betrokkenheid van de privacy officer.

Midden

Alternatieve dekking van risico’s: De gemeente maakt momenteel geen gebruik van systemen die tot geautomatiseerde besluitvorming leiden. Changeprocedures zorgen ervoor dat dit bij nieuwe toepassingen wordt meegewogen. Afwijkingen: Er ontbreekt expliciet beleid over geautomatiseerde besluitvorming. Daarmee is het risico aanwezig dat bij schaalvergroting of veranderende technologie beleidsmatige kaders ontbreken om menselijke tussenkomst te borgen. Gezien het huidige risicoprofiel is dit echter nog niet aan de orde.

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Transparantie en uitlegbaarheid

RA A2500033640

De gemeente hanteert beleid dat borgt dat alle gebruikte algoritmes transparant, uitlegbaar en controleerbaar zijn. Dit beleid stelt eisen aan documentatie, verantwoording en toetsbaarheid van algoritmes, zodat inzichtelijk is hoe beslissingen tot stand komen. Daarnaast worden processen ingericht om de werking van algoritmes te kunnen controleren en evalueren, en wordt geborgd dat betrokkenen waar nodig toegang hebben tot begrijpelijke uitleg over algoritmische beslissingen die hen raken.

Aansluiting op de norm: De DPIA wordt gebruikt als instrument om transparantie en uitlegbaarheid van algoritmes te bevorderen, per individuele casus.

Laag

Alternatieve dekking van risico’s: De IPG-commissie levert input bij vragen over privacy en informatiebeveiliging, en kan indirect bijdragen aan toetsbaarheid en verantwoording. Afwijkingen: Er is geen beleidsmatig kader dat expliciet eisen stelt aan documentatie of uitlegbaarheid van algoritmes. Er ontbreekt structurele toetsing van algoritmische logica, waardoor toetsbaarheid en uitlegbaarheid afhankelijk blijven van losse DPIA-uitkomsten.

Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025

Inkoopbeleid

Archivering

RA A2500033640

De gemeente hanteert een inkoopbeleid waarin specifieke eisen worden gesteld aan de inzet van AI en algoritmes. Dit beleid waarborgt dat bij uitbesteding continuïteit en beheersbaarheid gewaarborgd blijven, ook na afronding van een project door externe deskundigen. Afspraken over eigenaarschap, beheer en reproduceerbaarheid van algoritmes worden vooraf contractueel vastgelegd om afhankelijkheid van externe leveranciers te beperken en borging binnen de organisatie te garanderen.

Volgend deel →

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://raad.noordoostpolder.nl/api/v1/meetings/2240/documents/43254