10. Rekenkameronderzoek Algoritmes.pdf
Tekst van het document
De gemeente borgt dat algoritmes duurzaam toegankelijk en gedocumenteerd zijn conform de Archiefwet 1995. Dit houdt in dat informatie over het algoritme – inclusief ontwerp, werking, trainingsdata, output en logica – vindbaar, betrouwbaar en interpreteerbaar blijft voor iedereen met rechtmatige toegang, en voor zolang als noodzakelijk. Algoritmes met een bepaalde mate van impact zijn opgenomen in het centrale algoritmeregister of op sites als github.com, inclusief de daarvoor benodigde informatie.
Aansluiting op de norm: De gemeente hanteert de GIBIT-voorwaarden bij inkoop, waarin ruimte is voor het opnemen van eisen m.b.t. algoritmes. Changeprocedures borgen de contractuele vastlegging van eigenaarschap en continuïteit.
Midden
Alternatieve dekking van risico’s: Geen – het gebruik van GIBIT is een passend instrument in dit kader. Afwijkingen: Er zijn geen aanwijzingen dat eisen m.b.t. algoritmes standaard worden opgenomen in contracten. Daarmee blijft het risico bestaan dat bij externe ontwikkeling onvoldoende borging is van overdraagbaarheid en beheersbaarheid.
Aansluiting op de norm: De gemeentearchivaris houdt toezicht op archiveringsverplichtingen, en bewaartermijnen worden via DPIA’s vastgelegd. Impactvolle algoritmes zijn opgenomen in het centrale algoritmeregister.
Laag
Alternatieve dekking van risico’s: Geen – gebruik van algoritmeregister en betrokkenheid van de archiefverantwoordelijke zijn conform de norm. Afwijkingen: Geen structurele tekortkomingen, mits het algoritmeregister actueel en volledig blijft. Wel kan worden overwogen explicieter beleid te formuleren rond archiveringsvereisten specifiek voor algoritmes.
25
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
O9
O10
Autorisaties
Instructies en overdracht
RA A2500033640
De gemeente heeft voor haar ICTsystemen autorisatiematrices vastgesteld waarin is vastgelegd hoe toegangsrechten tot IT- en algoritmische systemen worden beheerd, periodiek geëvalueerd en aangepast. Dit beleid borgt dat alleen bevoegde gebruikers uit hoofde van hun functie toegang hebben, en dat wijzigingen in rollen en verantwoordelijkheden tijdig worden doorgevoerd.
De gemeente borgt in haar ontwikkelprocessen dat vóór ingebruikname van ieder algoritme duidelijke gebruikersinstructies worden opgesteld en een grondige overdracht naar beheer en de business plaatsvindt. Dit omvat afspraken over verantwoordelijkheden, onderhoud en monitoring, zodat de werking en actualiteit van het model gewaarborgd blijven.
Aansluiting op de norm: Autorisaties worden toegekend op basis van rol en functie, onder verantwoordelijkheid van leidinggevenden. Dit proces geldt ook voor wijzigingen.
Laag
Alternatieve dekking van risico’s: Autorisatiematrices worden gebruikt waar mogelijk, en dit proces dekt ook algoritmische toepassingen die draaien binnen reguliere systemen. Afwijkingen: Er is nog geen standaardautorisatiematrix voor cloudomgevingen zoals Microsoft Azure. Handmatige toekenning vergroot het risico op fouten of overtoekenning van rechten. Gezien het beperktere aantal medewerkers is het risico relatief laag.
Aansluiting op de norm: Gebruikersinstructies worden opgesteld per casus (bijv. transcriptie bij WMO). Instructies van leveranciers maken deel uit van de standaardsoftware.
Laag
Alternatieve dekking van risico’s: DPIA’s kunnen functioneren als waarborg voor overdraagbaarheid en gebruiksinstructies. Afwijkingen: Er is geen standaardproces dat borgt dat gebruikersinstructies en overdracht naar beheer altijd plaatsvinden. Dit leidt tot risico’s bij beheer, doorontwikkeling of uitval van algoritmes.
26
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
O11
O12
Risicoanalyse
Continuïteit
RA A2500033640
De gemeente heeft een proces vastgesteld voor het systematisch identificeren, analyseren en beheersen van risico’s bij de ontwikkeling en inzet van nieuwe algoritmes. Dit proces omvat een risicoanalyse voorafgaand aan implementatie, waarbij passende beheersmaatregelen worden vastgesteld en restisico’s expliciet door de algoritme-eigenaar worden beoordeeld en geaccepteerd.
De gemeente heeft beleid vastgesteld om de continuïteit van algoritmes te waarborgen en de impact van mogelijke uitval te minimaliseren. Dit beleid omvat afspraken over redundantie, backupvoorzieningen en herstelprocedures. Daarnaast zijn er duidelijke richtlijnen voor het bepalen van passende maatregelen bij verstoringen, zodat kritieke processen niet afhankelijk zijn van één enkel algoritme.
Aansluiting op de norm: De DPIA is het belangrijkste instrument voor risicoanalyse. De gemeente maakt daarnaast, waar nodig, gebruik van IAMA.
Midden
Alternatieve dekking van risico’s: Het changeproces signaleert bredere risico’s bij projecten zonder persoonsgegevens. Dit creëert een bredere dekking dan alleen privacy. Afwijkingen: Er is geen expliciete systematiek waarin de eigenaar van een algoritme restrisico’s formeel beoordeelt en accepteert. Dit zorgt voor onduidelijkheid bij verantwoordelijkheidstoedeling.
Aansluiting op de norm: Back-up- en herstelprocedures zijn onderdeel van het continuïteitsbeleid. Jaarlijkse tests van kritieke registratiesystemen vinden plaats.
Laag
Alternatieve dekking van risico’s: Geen – generieke IT-continuïteitsmaatregelen zijn van toepassing op algoritmes. Afwijkingen: De uitvoeringsverantwoordelijkheid ligt bij vakafdelingen, zonder centrale coördinatie of monitoring. Dit kan leiden tot inconsistentie in borging van continuïteit.
27
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
O13
Datavaardigheden
De gemeente investeert in de datavaardigheden van medewerkers door verplichte trainingen in datageletterdheid voor medewerkers. Binnen deze trainingen leren medewerkers ook kritisch te kijken naar algoritmes en modellen, of deze gebruikt mogen worden, en het gebruik van (privacy gevoelige) data.
Aansluiting op de norm: Er worden workshops en communicatiecampagnes gehouden over AI, privacy en informatiebeveiliging. Medewerkers worden bewust gemaakt van verantwoord gebruik van generatieve AI.
Midden
Alternatieve dekking van risico’s: Informatie op het intranet en i-bewustzijnssessies voorzien in bredere bewustwording. Afwijkingen: Er zijn (nog) geen verplichte trainingen of gestructureerde opleidingsprogramma’s voor datageletterdheid of kritisch denken over algoritmes. De norm vraagt om structurele en verplichte borging.
O14
Algoritmebeleid
De gemeente hanteert een expliciet beleid voor algoritmegebruik dat de zorgvuldige en rechmatige toepassing van algoritmes waarborgt. Dit beleid omvat duidelijke richtlijnen voor de ontwikkeling, inzet en monitoring van algoritmes, inclusief ethische en juridische kaders.
Aansluiting op de norm: Er wordt gewerkt aan een apart algoritmebeleid. Risico’s worden momenteel via privacy- en informatiebeveiligingsbeleid deels afgedekt.
Midden
Alternatieve dekking van risico’s: DPIA’s, changeprocedures en het verwerkingenregister bieden enig vangnet. Afwijkingen: Er ontbreekt een expliciet, integraal beleidskader voor algoritmes. Hiermee ontbreekt de systematische borging van juridische, ethische en technische kaders voor ontwikkeling en gebruik van algoritmes.
RA A2500033640
28
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
RA A2500033640
29
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
Bijlage B – Normenkader en uitwerking algoritmeniveau In de tabel hieronder is het normenkader dat is gebruikt om niveau 2, algoritme, te onderzoeken een uitwerking opgenomen naar aanleiding van de werkzaamheden.
Nr.
Afdeling
Korte omschrijving algoritme
Voorspelling of beslissing?
A1
Informatiebeveiliging sbeleid
Bij ontwikkeling, implementatie en gebruik van algoritmen worden de informatiebeveiliging seisen aantoonbaar nageleefd. Dit omvat beveiligingscontroles , risico-gebaseerde maatregelen en periodieke evaluaties.
Beide algoritmes zijn onderdeel van Key2Belastingen. Er zijn geen specifieke eisen voor informatiebeveiliging bepaald en ingericht voor het algoritme. In plaats daarvan volgen de algoritmes de reguliere informatiebeveiligingseisen van Key2Belastingen.
Ieder operationeel algoritme wordt periodiek getoetst op conformiteit met het beleid.
RA A2500033640
Zelf gemaakt, ingekocht, of openbaar
iBurgerzaken e-diensten
PKO Kennissystemen
Anonimiseren
De gemeente maakt gebruik van standaard SaaS iBurgerzaken van PinkRoccade. Beheer, ontwikkeling, en informatiebeveiliging zijn uitbesteed aan de leverancier. Één keer per jaar verstrekt de leverancier een assurancerapportage met daarin de relevante normen op het gebied van informatiebeveiliging. Deze rapportage wordt door de gemeente opgevraagd en beoordeeld.
Het algoritme is onderdeel van het Suites voor Sociaal Domein systeem van Centric. Er zijn geen specifieke eisen voor informatiebeveiliging bepaald en ingericht voor het algoritme. In plaats daarvan volgt het algoritme de reguliere informatiebeveiliging seisen van het omliggende systeem.
Anomiseren is een applicatie die extern wordt afgenomen. Er geldt één aanvullende beveiligingsmaatrege l die aansluit op het informatiebeveiliging sbeleid van de gemeente, namelijk het gebruik van 2factor authenticatie. Documenten worden na anonimiseren opgeslagen in het DMS.
30
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 ewA 2
Data traceerbaarheid en reproduceerbaarheid
RA A2500033640
Voor ieder algoritme zijn alle gebruikte data traceerbaar en reproduceerbaar conform het beleid, zodat de werking en betrouwbaarheid kunnen worden beoordeeld. Er zijn structurele controles op tijdigheid, volledigheid, herkomst, consistentie, codering en metadata.
Alle gegevens, inclusief logverslagen en berekeningen, worden opgeslagen in een database. De verwerking is volledig traceerbaar en herleidbaar tot op woningniveau. De logverslagen maken inzichtelijk hoe data zijn verwerkt en welke stappen zijn doorlopen, wat reproduceerbaarheid en transparantie ondersteunt.
Voor het algoritme zijn geen aanvullende data traceerbaarheid en repproduceerdbaarheidsma atregelen getroffen. De verwerkingen van data binnen het systeem, en ook het algoritme, vormen het reguliere systeemproces.
De verwerking van de data in de vragenlijst wordt geregistreerd in een database, én in het rapport dat het resultaat is van de vragen-verwerking. Hoewel dit formeel geen logging betreft op het algoritme, betreft het wel een vastlegging van de doorlopen stappen en gemaakte keuzes..
Er vindt geen logging plaats op de dataverwerkingen in het systeem omdat de uitkomsten (het lakken van gegevens) direct zichtbaar zijn, en daarmee ook te vergelijken met de input.
31
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A3
Verantwoordelijkhede n en toezicht
RA A2500033640
Voor het algoritme zijn de verantwoordelijkhed en voor ontwikkeling, implementatie en beheer concreet toegewezen en gedocumenteerd. Er is een vastgelegde eigenaar die toeziet op naleving van beleid en regelgeving, evenals een beheerverantwoorde lijke die zorg draagt voor de operationele monitoring en onderhoud. Daarnaast is een procedure ingericht voor het signaleren en escaleren van risico’s en incidenten, zodat tijdig kan worden bijgestuurd indien nodig.
De modellen zijn en worden ontwikkeld door de softwareleverancier Centric. De gemeente voert zelf geen aanpassingen uit. Wel voert de kwaliteitsmedewerker acceptatietesten uit om nieuwe versies van de modellen te beoordelen alvorens deze in productie worden genomen. Omdat het systeem extern is ontwikkeld, zijn er geen specifieke beheerrollen, anders dan functioneel beheer, ingericht.
Het algoritme is en wordt ontwikkeld door software leverancier PinkRoccade. Zij voeren ook het dagelijkse beheer uit. De verantwoordelijkheden, zoals responstijden, hiervoor zijn vastgelegd in een Service Level Agreement (SLA). Tevens is een verwerkersovereenkomst ingericht en worden autorisaties en toegang tot het systeem door middel van een autorisatiematrix geregeld.
Het algoritme is onderdeel van het Suites voor Sociaal Domein systeem van Centric. De clustermanager van de gemeente is eigenaar van het systeem. Bij nieuwe versies beoordeeld de kwaliteitsmedewerke r in hoeverre de systeemaanpassing en doeltreffend zijn.
Het algoritme is volledig software-asa-service en beheer vindt daarom plaats door de leverancier. Verantwoordelijkhed en en toezicht zijn daarom alleen ingericht op het niveau van functioneel beheer, die tenminste de koppeling met autorisaties beheren.
In het geval van een nieuwe versie van het systeem voert de kwaliteitsmedewerker testen uit alvorens wordt over gegaan tot verdere implementatie.
32
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A4
Gegevensverwerking en privacy (DPIA)
RA A2500033640
Voor het algoritme is beoordeeld of een DPIA noodzakelijk is en, indien van toepassing, uitgevoerd. Betrokkenen zijn geïnformeerd en de verwerking is getoetst aan wettelijke eisen. Verwerkingsdoelen zijn concreet en gerechtvaardigd, en bijzondere persoonsgegevens worden alleen verwerkt bij een expliciete uitzondering. Alle beslissingen hierover zijn vastgelegd in de DPIA en worden periodiek geëvalueerd.
In het verleden is een DPIA uitgevoerd voor het systeem Key2Belastingen. Hierbij is geen specifieke aandacht gegeven aan de twee genoemde algoritmes omdat er geen sprake is van verwerking van persoonsgegevens door die algoritmes. De gemeente heeft gepland een nieuwe DPIA voor de systemen te gaan uitvoeren. Datum hiervan is (nog) onbekend.
Bij de implementatie van iBurgerzaken is een DPIA uitgevoerd. Tijdens jaarlijkse privacy-beoordelingen wordt deze DPIA, met hulp van de leverancier van het systeem, aangescherpt. Ook de jaarlijkse digid-audits kunnen input vormen voor aanvullende privacybeoordelingen.
Er is geen DPIA uitgevoerd voor dit systeem. De gemeente werkt op dit moment aan een inhaalactie om voor dergelijke systemen alsnog een DPIA uit te voeren. Wanneer dit systeem aan de beurt komt is onbekend.
Er is geen DPIA uitgevoerd voor dit systeem. De gemeente werkt op dit moment aan een inhaalactie om voor dergelijke systemen alsnog een DPIA uit te voeren. Wanneer dit systeem aan de beurt komt is onbekend.
33
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A5
Geautomatiseerde besluitvorming
RA A2500033640
Voor het algoritme is beoordeeld of sprake is van (verboden) geautomatiseerde besluitvorming. Indien het algoritme significante gevolgen heeft voor betrokkenen, is geborgd dat zij altijd een beroep kunnen doen op menselijke tussenkomst, hun standpunt kunnen toelichten en bezwaar kunnen maken tegen het besluit.
Het algoritme kent geen vormen van geautomatise erde besluitvormin g omdat een taxateur altijd de resultaten van taxaties per casus beoordeeld. De expliciete beoordeling of er sprake is van geautomatise erde besluitvormin g door het algoritme is nooit uitgevoerd.
Het algoritme kent geen vormen van geautomatiseerd e besluitvorming omdat de berekening altijd wordt gevalideerd door twee gemeenteambten aren, door middel van een vierogen principe. De expliciete beoordeling of er sprake is van geautomatiseerd e besluitvorming door het algoritme is nooit uitgevoerd.
Binnen het systeem zijn een aantal “100% groene processen” vastgesteld die een geautomatiseerde verwerking kennen. Deze processen zijn expliciet aangewezen en goedgekeurd. Deze processen zijn op basis van hun impact beoordeeld. Het belangrijkste voorbeeld betreft het doorgeven van een verhuizing, welke geautomatiseerd worden verwerkt.
Het algoritme kent geen vormen van geautomatiseerde besluitvorming. Het resultaat van het algoritme is een rapportage die door de gemeenteambtenaar wordt beoordeeld en gebruikt om een besluit te nemen.
Het algoritme kent geen vormen van geautomatiseerde besluitvorming. De medewerker van de gemeente die het algoritme gebruikt voert een visuele controle van de uitgevoerde maskering uit.
Voor het grootste deel van de processen kan de aanvraag via het systeem worden ingediend, maar vindt opvolging altijd door een medewerker plaats.
34
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A6
A7
Transparantie en uitlegbaarheid
Externe samenwerking en overdraagbaarheid
RA A2500033640
Voor het algoritme is vastgelegd hoe beslissingen worden genomen, welke data en parameters worden gebruikt en hoe de werking kan worden gecontroleerd. De logica en uitkomsten zijn uitlegbaar en documentatie hierover is beschikbaar voor interne en externe toetsing. Betrokkenen kunnen in begrijpelijke taal uitleg krijgen over hoe een besluit tot stand is gekomen.
Beide algoritmes zijn deterministisch van aard en gebaseerd op rekenregels. Er is geen sprake van een ontbrekende transparantie of uitlegbaarheid.
Voor het algoritme zijn concrete afspraken met externe partij(en) vastgelegd over eigenaarschap, beheer, prestatiecriteria en reproduceerbaarheid . De documentatie over het ontwerp, de werking en de voorwaarden van het model is beschikbaar en begrijpelijk voor ontwikkelaars, gebruikers en de eigenaar van het algoritme. Hierdoor blijft het algoritme inzichtelijk,
Zie normen A2 en A3.
Er zijn handleidingen beschikbaar over de werking van het systeem.
De (100%) groene processen zijn gebaseerd op rekenregel-gebaseerde deterministische algoritmes die transparant en uitlegbaar zijn. Er zijn handleidingen beschikbaar over de werking van het systeem.
Zie normen A2 en A3.
De transparantie en de uitlegbaarheid van het algoritme zijn geborgd door middel van de rapportage die als uitkomst van het algoritme dient. In deze rapportages zijn die input en de output opgenomen, waardoor een gemeenteambtenaar de resultaten zelf kan beoordelen.
De resultaten van het algoritme – gemaskeerde documenten – zorgen voor een directe controlemogelijkheid van de resultaten. Transparantie en uitlegbaarheid zijn daarmee geborgd.
Zie normen A2 en A3.
Zie normen A2 en A3.
35
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 controleerbaar en overdraagbaar, ook na de inzet van externe deskundigen of bij een wisseling van leverancier. A8
Documentatie- en versiebeheer
RA A2500033640
Voor het algoritme is vastgelegd welke documentatie wordt bewaard, hoe lang en in welke vorm, inclusief beheerprocessen. Versiebeheer waarborgt dat altijd duidelijk is welke informatie geldig was bij inzet van het algoritme. De documentatie wordt beheerd in een gecontroleerde omgeving en blijft toegankelijk en upto-date.
Zie normen A2 en A3.
Zie normen A2 en A3.
Bij versie-wijzigingen worden door de leverancier van het systeem releasenotes geleverd waarin de belangrijkste wijzigingen van het systeem zijn opgenomen.
Bij versie-wijzigingen worden door de leverancier van het systeem releasenotes geleverd waarin de belangrijkste wijzigingen van het systeem zijn opgenomen.
Verder is er een handleiding beschikbaar.
Verder is er een handleiding beschikbaar.
Zie normen A2 en A3.
Zie normen A2 en A3.
Bij versie-wijzigingen worden door de leverancier van het systeem releasenotes geleverd waarin de belangrijkste wijzigingen van het systeem zijn opgenomen.
Bij versie-wijzigingen worden door de leverancier van het systeem releasenotes geleverd waarin de belangrijkste wijzigingen van het systeem zijn opgenomen.
Verder is er een handleiding beschikbaar.
Verder is er een handleiding beschikbaar.
36
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A9
A10
Autorisaties
Instructies en overdracht
RA A2500033640
Voor het algoritme is een autorisatiematrix opgesteld en geïmplementeerd in het omringende systeem. Hierop worden periodieke controles uitgevoerd op accounts en toegangsrechten. De uitkomsten hiervan worden vastgelegd en opgevolgd, zodat ongeautoriseerde toegang wordt voorkomen en het toegangsbeheer actueel blijft.
Er zijn geen separate autorisaties op het niveau van het algoritme ingericht. Toegang tot de algoritmes verloopt via Key2Belastingen. Op het niveau van dat systeem zijn de autorisaties ingericht, conform een vastgestelde autorisatiematrix.
Voor het algoritme is aantoonbaar vastgelegd dat een volledige overdracht aan beheer en de business heeft plaatsgevonden. Dit omvat instructies, geactualiseerde data en een proces voor periodieke evaluatie. De business is actief betrokken bij het onderhoud en de werking van het model wordt gemonitord en gedocumenteerd.
De kwaliteitsmedewerker(s) die onderdeel is/zijn van de processen waarbinnen de algoritmes worden gebruikt beoordelen het systeem alvorens deze wordt gebruikt. Dit betrof de initiële acceptatie van het systeem, maar hetzelfde vindt plaats bij wijzigingen van het systeem.
Periodieke controles van de autorisaties verlopen via de reguliere beheersingsprocessen, en hebben wij in dit kader niet nader onderzocht.
Er zijn geen separate autorisaties op het niveau van het algoritme ingericht. Toegang tot de algoritmes verloopt via het omkoepelende systeem. Op het niveau van dat systeem zijn de autorisaties ingericht, conform een vastgestelde autorisatiematrix. Periodieke controles van de autorisaties verlopen via de reguliere beheersingsprocessen, en hebben wij in dit kader niet nader onderzocht.
Het systeem is ingekocht via samenwerkingsorganisatie Dimpact. Wijzigingen aan het systeem worden via die samenwerkingsorganisatie beoordeeld, alvorens een nieuwe versie van het systeem door de gemeente wordt gebruikt. Daarbij vindt geen specifieke overdracht plaats rondom de inzet van de algoritmes in het systeem.
Er zijn geen separate autorisaties op het niveau van het algoritme ingericht. Het algoritme maakt deel uit van de Suites voor het sociaal domein en volgt de daarvoor opgestelde autorisatiematrix. Periodieke controles van de autorisaties verlopen via de reguliere beheersingsprocess en, en hebben wij in dit kader niet nader onderzocht. De kwaliteitsmedewerke r houdt toezicht op het proces, de werking en rechtmatigheid. Wanneer de wet veranderd wordt er door de leverancier een nieuwe versie uitgerold die opnieuw door de kwaliteitsmedewerke r wordt beoordeeld alvorens deze wordt gebruikt..
Anonimiseren is toegangeklijk voor gemeenteambtenare n alleen met hun eigen data. Toegang vindt plaats door middel van tweefactor authenticatie. Er zijn geen specifieke rollen ingericht. Alleen functioneel beheer heeft extra rechten om gebruikers van de gemeente te kunnen koppelen aan het systeem.
Er is een instructievideo van de leverancier over het gebruik van de applicatie. De video ondersteunt gebruikers bij het zelfstandig gebruiken van de applicatie. Wijzigingen vinden volledig plaats door de leverancier van het systeem. Er vindt daarbij geen separate overdracht plaats naar de gemeente.
37
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A11
Risicoanalyse
Voor het algoritme is een risicoanalyse uitgevoerd en vastgelegd, inclusief de geïdentificeerde risico’s, getroffen beheersmaatregelen en resterende risico’s. De algoritme-eigenaar heeft deze restisico’s beoordeeld en expliciet geaccepteerd. De risicoanalyse wordt periodiek geëvalueerd en indien nodig bijgesteld.
Op het niveau van de algoritmes is geen risicoanalyse uitgevoerd. Op het niveau van het systeem wordt gebruik gemaakt van een DPIA als middel hiervoor, zie norm A4.
Op het niveau van de algoritmes is geen risicoanalyse uitgevoerd. Op het niveau van het systeem wordt gebruik gemaakt van een DPIA als middel hiervoor, zie norm A4.
Op het niveau van de algoritmes is geen risicoanalyse uitgevoerd. Op het niveau van het systeem wordt gebruik gemaakt van een DPIA als middel hiervoor, zie norm A4.
Op het niveau van de algoritmes is geen risicoanalyse uitgevoerd. Op het niveau van het systeem wordt gebruik gemaakt van een DPIA als middel hiervoor, zie norm A4.
A12
Continuïteit
Voor het algoritme zijn continuïteitsmaatreg elen vastgelegd, inclusief procedures voor incidentmanagement en herstel bij uitval. Er is een fallbackoptie of alternatief proces beschikbaar om de impact van verstoringen te beperken. De werking van deze maatregelen wordt periodiek getest en geëvalueerd.
Er zijn geen specifieke continuiteitsmaatregelen voor de algoritmes vastgelegd. De reguliere continuiteitsmaatregelen die van toepassing zijn op het systeem worden gevolgd.
iBurgerzaken is een Saasoplossing: alle continuiteitsmaatregelen zijn in principe de verantwoordelijkheid van de leverancier. Jaarlijks vindt in samenwerking tussen de gemeente en PinkRoccade een uitwijktest plaats om de continuïteit van het systeem te testen en waarborgen. Ook is in de jaarlijkse assurance-rapportge informatie opgenomen over de continuiteit van het systeem en de waarborgen die hiervoor zijn getroffen.
PKO valt onder het reguliere ITcontinuïteitsplan. Bij uitval van het systeem is handmatige afhandeling van aanvragen mogelijk. Omdat het proces niet als kritisch wordt beschouwd, is de fallback via handmatige verwerking voldoende om de dienstverlening voort te zetten.
Bij uitval van de applicatie kan het anonimiseren handmatig worden voortgezet, zoals eerder gebruikelijk was.
RA A2500033640
Er is geen vastgelegde procedure voor incidentenmanageme nt en continuïteitsmaatrege len vanwege de beperkte impact van het systeem.
38
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A13
Monitoring
Voor het algoritme is een monitoringproces ingericht om de werking over een langere periode te bewaken en ongewenste effecten tijdig te signaleren. Dit proces omvat:
- Performance monitoring: De output van het algoritme wordt periodiek geanalyseerd om afwijkingen, fouten en ongewenste effecten te detecteren.
Niet van toepassing, het betreft geen dynamische algoritmes. De algoritmes volgen deterministische (reken)regels waardoor veranderingen alleen door reguliere wijzigingen kunnen voor komen (zie norm A2.)
Niet van toepassing, het betreft geen dynamische algoritmes. De algoritmes volgen deterministische (reken)regels waardoor veranderingen alleen door reguliere wijzigingen kunnen voor komen (zie norm A2.)
Niet van toepassing, het betreft geen dynamische algoritmes. De algoritmes volgen deterministische (reken)regels waardoor veranderingen alleen door reguliere wijzigingen kunnen voor komen (zie norm A2.)
Niet van toepassing, het betreft geen dynamische algoritmes. De algoritmes volgen deterministische (reken)regels waardoor veranderingen alleen door reguliere wijzigingen kunnen voor komen (zie norm A2.)
In het geval van wetswijzigingen die in het systeem moeten worden doorgevoerd, neemt de leverancier hiervoor het initiatief.
- Handmatige controles: Zowel technische als functionele controles worden uitgevoerd om te waarborgen dat het algoritme consistent, betrouwbaar en accuraat blijft functioneren.
- Opvolging: Geconstateerde afwijkingen worden vastgelegd, beoordeeld en waar nodig opgevolgd met
RA A2500033640
39
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 correctieve maatregelen.
A14
Prestatie- en kwaliteitsdoelstellinge n
RA A2500033640
Voor het algoritme zijn meetbare prestatie- en kwaliteitsdoelstelling en vastgesteld, die aansluiten bij de beoogde werking en impact. Deze doelen worden periodiek geëvalueerd en gemonitord om te waarborgen dat het algoritme consistent en betrouwbaar functioneert. Het behalen van deze doelstellingen wordt vastgelegd en gerapporteerd, zodat prestaties bespreekbaar zijn en bijsturing mogelijk is indien nodig.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor prestatieen/of kwaliteitsdoelstellingen noodzakelijk zijn. Tevens vindt er geen geautomatiseerde besluitvorming plaats waardoor monitoring impliciet plaatsvindt door de gebruikers van de uitkomsten van het systeem. Zie norm A5.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor prestatie- en/of kwaliteitsdoelstellingen noodzakelijk zijn. Tevens vindt er alleen op zeer beperkte schaal geautomatiseerde besluitvorming plaats op zeer eenvoudige processen. Voor complexere processen vindt ten alle tijde handmatige verwerking plaats waardoor monitoring impliciet plaatsvindt door de gebruikers van de uitkomsten van het systeem. Zie norm A5.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor prestatie- en/of kwaliteitsdoelstelling en noodzakelijk zijn.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor prestatie- en/of kwaliteitsdoelstelling en noodzakelijk zijn.
Tevens vindt er geen geautomatiseerde besluitvorming plaats waardoor monitoring impliciet plaatsvindt door de gebruikers van de uitkomsten van het systeem. Zie norm A5.
Tevens vindt er geen geautomatiseerde besluitvorming plaats waardoor monitoring impliciet plaatsvindt door de gebruikers van de uitkomsten van het systeem. Zie norm A5.
40
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A15
Bias en discriminatie
RA A2500033640
Voor het algoritme is vastgesteld of er sprake is van direct of indirect onderscheid op basis van beschermde kenmerken of andere discriminerende effecten. Bias en systematische afwijkingen worden actief gemonitord en waar nodig gecorrigeerd. Data wordt getoetst op representativiteit en het gebruik van proxy-variabelen wordt gecontroleerd om indirecte discriminatie te voorkomen. Alle bevindingen en mogelijke risico’s worden gedocumenteerd en op het juiste niveau beoordeeld, waarbij mitigerende maatregelen worden genomen indien nodig.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor bias en discriminatie niet kan ontstaan op basis van historische data.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor bias en discriminatie niet kan ontstaan op basis van historische data.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor bias en discriminatie niet kan ontstaan op basis van historische data.
Niet van toepassing. Er is geen sprake van probabilistische algoritmes waardoor bias en discriminatie niet kan ontstaan op basis van historische data.
41
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A16
Risicobeoordeling en evaluatie
RA A2500033640
Voor het algoritme vindt op vaste momenten een risico-afweging plaats, waarbij identificatie, analyse, beoordeling en mitigatie van risico’s worden vastgelegd en besproken op het juiste organisatieniveau. Daarbij wordt ook de kwaliteit en werking van het algoritme geëvalueerd, inclusief de impact van wijzigingen in model en data, en de analyse van klachten en incidenten. Indien nodig worden tegenmaatregelen genomen en expliciet vastgelegd.
Voor beide algoritmes, of Key2Belastingen vindt er geen periodieke risicobeoordeling plaats.
Voor de gebruikte algoritmes vindt geen separate terugkerende risicobeoordeling plaats. Wel wordt voor de Chief Information Security Officer (CISO) jaarlijks het assurance rapport beoordeeld.
Voor het algoritme, of het systeem, vindt er geen periodieke risicobeoordeling plaats.
Voor het algoritme vindt er geen periodieke risicobeoordeling plaats.
42
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025 A17
Doelgerichtheid en resultaatkoppeling
RA A2500033640
Voor het algoritme zijn doel en subdoelen specifiek en meetbaar geformuleerd, inclusief kwantitatieve criteria waar mogelijk. De relatie tussen het algoritme, de beleidsuitkomst (output) en het maatschappelijke resultaat (outcome) is expliciet vastgelegd. Daarnaast is er een gestructureerde aanpak voor kwaliteits- en prestatiedoelen, zodat de werking van het algoritme kan worden beoordeeld en bijgestuurd indien nodig.
Niet van toepassing. Zie norm A14.
Niet van toepassing. Zie norm A14.
Niet van toepassing. Zie norm A14.
Niet van toepassing. Zie norm A14.
43
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
Bijlage C – Uitkomsten inventarisatie De tabel hieronder geeft de uitkomsten van de inventarisatie weer om de algoritmes die gebruikt worden te identificeren. Nr
Afdeling
Omschrijving algoritme
Voorspelling of beslissing?
Zelf gemaakt, ingekocht of openbaar beschikbaar?
1
B&FPC
Bij de WRA-verwerking wordt de belastingadministratie geautomatiseerd gewijzigd aan de hand van de BRP-mutaties.
Het algoritme maakt geen voorspelling, maar aan de hand van beleidsregels worden de mutaties volgens een vaste volgorde verwerkt.
Deze vastgestelde beleidsregels zijn door de softwareleverancier ingegeven en maken onderdeel uit van de belastingapplicatie.
Nadat alle waarden gefiatteerd zijn, vinden er nog een aantal controles plaats. Hierbij is het mogelijk de gefiatteerde waarde alsnog te wijzigen. Pas als de WOZbeschikking verzonden is, is de waarde definitief.
Deze waardering vindt ook binnen de belastingapplicatie plaats en is door de softwareleverancier geleverd.
De volgende zaken worden, op basis van beleidsregels, verwerkt: - Wijziging van belanghebbende (nieuwe inwoner of leegstand). Omdat maar 1 persoon belastingplichtig kan zijn, moet er een keuze gemaakt worden wie als belastingplichtige wordt aangemerkt. - Wijziging van het aantal inwoners op het desbetreffende adres - Wijziging van de heffingsmaatstaf van met name de Afvalstoffenheffing (heffing naar 1-persoons of meerpersoonshuishouden met aparte tarieven).
2
B&FPC
Voor de waardering van de objecten binnen de gemeente moeten een aantal stappen doorlopen worden. Geschikte verkopen worden in een groep (verzameling van min of meer gelijke objecten) geplaatst en op basis van de kenmerken van het object worden ook alle andere objecten binnen de groep van een WOZ-waarde voorzien. In eerste instantie doet de applicatie een voorspelling die door de medewerker wordt gecontroleerd. Na akkoord wordt de groep gefiatteerd en is de waarde in principe definitief.
RA A2500033640
44
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
3
B&FPC
Als functioneel beheer maken we (als voorbeeld) in de module Self Service declaratieformulieren aan. Medewerkers kunnen hiermee hun declaraties indienen. Die gaan daarna automatisch via een vaste route langs de juiste personen: eerst naar de leidinggevende en daarna naar de salarisadministratie. Het doel van dit algoritme (oftewel werkstroom) is om declaraties netjes en overzichtelijk af te handelen. Zo weet iedereen wat er moet gebeuren, door wie, en in welke volgorde.
Nee, dit algoritme doet geen voorspelling of beslissing. Het volgt gewoon een werkstroom (route) met duidelijke stappen. Elke declaratie gaat automatisch langs dezelfde personen.
Het zit standaard in de software van Youforc. We maken hier gebruik van de mogelijkheden die het systeem biedt om werkstromen in te richten.
Het algoritme kijkt dus niet inhoudelijk mee en geeft ook geen advies of oordeel. Het regelt alleen de volgorde in en van de werkstroom. De beslissingen, zoals goedkeuren of afkeuren, worden altijd door mensen genomen. 4
Informatiebeheer
• In een app (Powerapps) worden de benodigde gegevens ingevoerd die benodigd zijn om een team aan te maken: - Type team
Nee, automatisering.
Alle flows zijn zelf gemaakt en alleen door bepaalde interne medewerkers te gebruiken.
- Naam - Doel van het team - Wie moet eigenaar van het team zijn - Moeten er externen aan het team toegevoegd kunnen worden • Na het indienen wordt er door Power Automate o.b.v. de ingevulde gegevens in de app een team aangemaakt • Het team wordt aan een checklist toegevoegd (Microsoft list) waarin staat welke punten er nog handmatig gedaan moeten worden in de instellingen van het team. Deze punten kunnen na afhandeling afgevinkt worden.
RA A2500033640
45
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
5
Informatiebeheer
In Microsoft Lists wordt een lijst bijgehouden met alle moties en amendementen. Per motie of amendement wordt een interne behandelaar toegewezen. De moties en amendementen kunnen verschillende statussen hebben.
Nee, automatisering.
Alle flows zijn zelf gemaakt en alleen door bepaalde interne medewerkers te gebruiken.
Nee, automatisering.
Alle flows zijn zelf gemaakt en alleen door bepaalde interne medewerkers te gebruiken.
O.b.v. de status van de motie of amendement wordt d.m.v. Microsft Power Automate een automatische e-mail verstuurd waarin staat wat er van de interne behandelaar verwacht wordt en wanneer dit verwerkt moet zijn in de lijst.
6
Informatiebeheer
Dit proces zorgt er voor dat er een goed overzicht is van de status van binnengekomen facturen welke door de klantmanagers en de manager van een bepaalde afdeling moeten worden goedgekeurd. Hiervoor wordt Microsoft Power Apps, Microsoft Power Automate en Microsoft Lists gebruikt. • Invoer van facturen: Alle gegevens m.b.t. een factuur worden ingevoerd via een app. Na het opslaan worden deze gegevens verwerkt in Microsoft Lists. • Goedkeuringsproces: Zodra een factuur is toegevoegd aan de lijst, ontvangt de klantmanager die gekoppeld is aan de factuur een e-mail en een Teams-melding om de factuur goed te keuren. De factuur kan goedgekeurd of afgekeurd worden, waarbij bij afkeuring een reden kan worden opgegeven. • Als de klantmanager heeft goedgekeurd wordt er in de lijst aangegeven dat de klantmanager de factuur heeft goedgekeurd. Vervolgens ontvangt de manager van de afdeling een e-mail en een Teams-melding om de factuur goed te keuren. De factuur kan goedgekeurd of afgekeurd worden, waarbij bij afkeuring een reden kan worden opgegeven. Als de factuur wordt goedgekeurd wordt er in de lijst verwerkt dat de manager heeft goedgekeurd. • Verwerking bij afkeuring: De invoerder van de factuur krijgt een melding dat de factuur is afgekeurd. In de lijst wordt verwerkt wie de factuur heeft afgekeurd.
Indien het een invoerfout betreft door de invoerder kan de informatie in de lijst worden aangepast en kan het goedkeuringsproces
RA A2500033640
46
Gemeente Noordoostpolder Onderzoek Algoritmes Amstelveen, 31 oktober 2025
opnieuw gestart worden. De goedkeurders zien dat de factuur opnieuw beoordeeld moet worden. • Verwerking na goedkeuring: Als zowel de klantmanager als de manager de factuur hebben goedgekeurd, wordt er een automatische e-mail verstuurd naar de financiële afdeling binnen de organisatie voor verdere verwerking. In deze e-mail is alle informatie die in de lijst staat verwerkt en wie de factuur hebben goedgekeurd. De factuur wordt meegestuurd in de bijlage. Het proces na het invoeren van de factuur in Powerapps wordt automatisch afgerond door Power Automate.
RA A2500033640
47
Bijlage D - Overzicht met verklarende begrippen AI (Artificial Intelligence) Zelflerende systemen die patronen herkennen en zichzelf kunnen aanpassen op basis van data. Binnen dit onderzoek is geen sprake van AI-toepassingen, alle algoritmes zijn regelgebaseerd. Algoritme Een reeks instructies of beslisregels die worden uitgevoerd door een computer om automatisch tot een uitkomst of beslissing te komen. Binnen de gemeente vaak toegepast voor berekeningen of eenvoudige procesafhandeling. Algoritmeregister Een landelijk register waarin overheden transparant maken welke algoritmes zij gebruiken. De gemeente heeft eenmalig een bijdrage geleverd aan dit register. Assurancerapport Een onafhankelijke verklaring over de betrouwbaarheid en werking van een (IT-)systeem. Wordt gebruikt om bijvoorbeeld leverancierssystemen zoals iBurgerzaken te toetsen. BIO (Baseline Informatiebeveiliging Overheid) De wettelijke standaard voor informatiebeveiliging binnen de overheid. Geldt ook voor systemen waarin algoritmes draaien. Bias Vertekening in data of besluitvorming die leidt tot systematische nadelige van bepaalden personen, groepen of andere eenheden. Bias kan ontstaan door vooroordelen in de data, in de ontwerpkeuzes van het algoritme of in de interpretatie van de resultaten.
Black box (in het kader van AI/algoritmes) Een systeem of model waarvan de werking of rekenregels niet volledig inzichtelijk zijn voor de gebruiker. Komt voor bij sommige algoritmes, zoals bij WOZ-bepaling. DPIA (Data Protection Impact Assessment) Een verplichte risicoanalyse bij nieuwe toepassingen waarbij persoonsgegevens worden verwerkt. Beoordeelt onder andere privacyrisico’s van algoritmes. Functioneel beheerder (FB’er) De persoon binnen de gemeente die verantwoordelijk is voor de dagelijkse werking van een applicatie, inclusief updates en gebruikersbeheer. Geautomatiseerde besluitvorming Besluitvorming zonder menselijke tussenkomst. Binnen de gemeente komt dit niet voor: alle algoritmische uitkomsten worden beoordeeld door een medewerker.Regelgebaseerd algoritme Een algoritme dat vaste logica volgt, gebaseerd op vooraf gedefinieerde regels. Het leert niet van data en verandert alleen bij aanpassing door een beheerder. SaaS (Software as a Service) Een softwareoplossing die via internet wordt aangeboden en beheerd door een externe leverancier. De gemeente gebruikt dit bijvoorbeeld bij de anonimiseerapplicatie. Verwerkingenregister Een overzicht van alle verwerkingen van persoonsgegevens binnen een organisatie, verplicht onder de AVG. Algoritmes worden hier soms als verwerking in opgenomen.
RA A2500033640
48 © 2025 KPMG Advisory N.V.. All rights reserved. Documentclassificatie: KPMG Openbaar
¢ ®
¢
gemeente
NOORDOOSTPOLDER
Rekenkamercommissie Noordoostpolder Harmen Visserplein 1 8302 BW EMMELOORD
Uw bericht van
Uw kenmerk
22 september 2025
Zaaknummer
Datum
20250827 194029
21 oktober 2025
Onderwerp
Bijlagen
Inlichtingen
bestuurlijke reactie
geen
mw.Y. van der Sluis, (0527) 633562
Beste mevrouw Fog], U hebt op 22 september per e-mail het concept rekenkamerrapport ‘onderzoek algoritmes’ gestuurd voorbestuurlijk wederhoor. Met u is afgesproken dat na behandeling in het college van 22 oktoberu onze reactie zult ontvangen. Onderstaand treft u deze reactie aan. Als eerste willen we de rekenkamercommissie bedanken voorhet uitvoeren van dit onderzoek. Juist omdatwij, en met ons alle andere overheden envele organisaties, nog aan het begin staan van een onontkoombare ontwikkeling waaraan we met elkaar vorm moeten geven. Al en algoritmes bieden kansen maar er zijn ook risico's voor fundamentele waarden en grondrechten. We vinden het belangrijk dat de inzet van Al en algoritmes op een ethisch verantwoorde, veilige en transparante wijze plaatsvindt waarbij in voorkomende gevallen maatregelen getroffen worden om risico's te beperken. Er is bij de start van dit onderzoek al verteld dat we continue moeten anticiperen op de veranderende omstandigheden. Dat speelt ook als we het hebben over Al en Algoritmes. We maken hiervoor graag gebruik van onder andere producten van de VNG om door te ontwikkelen. Die producten zijn of waren nog in ontwikkeling. Juist in de periode dat uw onderzoek liep zijn er producten uitgegeven die helpen bij onze beoogde doorontwikkeling.
Denk aan de release van het overheidsbrede standpunt voor de inzet van generatieve Al bij de overheid inclusief een handreiking voor implementatie (April 2025). En een website waarin steeds meer producten rondom Al-governance worden gepubliceerd. Met deze informatie zijn we al gestart of hebben we de intentie uitgesproken om activiteiten uit te voeren. De aanbevelingen in uw rapport komen daarmee overeen. Uw rapport schetst terecht dat wij op dit moment in beperkte mate gebruik maken van algoritmes. Het betreft ook alleen algoritmes met een laag risico en er is geen sprake van geautomatiseerde besluitvorming. We houden hier al zicht op via onze ingerichte governancestructuren op het gebied van informatieveiligheid en privacy. Dat is voor de huidige situatie inderdaad voldoende, maar richting de toekomst is meer nodig. Dat besef is volop aanwezig. We blijven bij de doorontwikkeling wel inzetten op aansluiting bij al bestaande change en controleprocessen waar dat mogelijk is.
GEMEENTEHUIS
Harmen Visserplein 1
| 8302 BW Emmeloord
|
www.noordoostpolder.nl | T +31 (0)527 63 39 11
CORRESPONDENTIE
Postbus 155
| 8300 AD Emmeloord
|
info@noordoostpolder.nl
de
°° | a
Met betrekking tot uw aanbevelingen: 1.
Het door u geadviseerde beleid is inmiddels in concept gereed. We zullen u dit na vaststelling ter informatie toezenden.
2.
We werken aan een plan van aanpak om gestructureerd en beheerst Al en algoritmes verder in te voeren. In dat plan wordt eveneens ingegaan op de Al-geletterdheid. Onze medewerkers moeten weten hoe een algoritme werkt en moeten dat in voorkomende gevallen ook aan anderen kunnen uitleggen. Dit is aanvullend op al bestaande bewustwordingstrajecten rondom informatieveiligheid en privacy waarmee we het belang van de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens telkens bij onze medewerkers onder de aandacht brengen.
3.
Qua registratie geldt dat we ons focussen op de impactvolle algoritmes (waaronder hoog risico Al-systemen). We geven vorm aan transparantie door het registreren van onze impactvolle Al in het Algoritmeregister van de Nederlandse overheid. In dat register wordt op een toegankelijke manier uitgelegd hoe de algoritmes werken.
A.
Eris nu al vastgelegd dat managers integraal verantwoordelijk zijn voor de applicaties die in hun clusters gebruikt worden. Zij zijn daarmee ook verantwoordelijk voor de juistheid en volledigheid van de data die daarbij verwerkt wordt. In het onder punt 1 genoemde beleid voor Al en algoritmes is vastgelegd dat de managers dan ook de verantwoordelijkheid dragen voor zorgvuldige en ethisch verantwoorde inzet van algoritmes en dat dit aantoonbaar moetzijn.
5.
Inde reeds bestaande inkoop- en changeproceduresis al lange tijd aandacht voor informatieveiligheid en privacy. We zullen dit uitbreiden met een toetsing op het verantwoorde inkoop en gebruik van Al en algoritmes. Hierbij wordt gestuurd op het opnemen van de risicovolle algoritmesin het Algoritmeregister van de Nederlandse overheid en het verkrijgen van
6.
informatie van onze leveranciers daarover. In de conceptprogrammabegroting 2026 -2029 is in de paragraaf bedrijfsvoering inmiddels het onderwerp algoritmes en Al opgenomen. We zullen via de regulier Planning & Controlcylcus daarover rapporteren. Vanzelfsprekend zijn we bereid op basis van de behoefte van de raad hier meer informatie over te verstrekken.
Als laatste nog een opmerking. De ontwikkeling van Al en algoritmes en vooral het verantwoord gebruik hiervan is een onderwerp waar we aanvullend op de vele bestaande activiteiten op moeten inzetten. Dit vraagt specifieke kennis en kunde en capaciteit op het vakgebied zelf en voor de governance- en controlwerkzaamheden. Capaciteit die nu onvoldoende beschikbaar is. Om goede invulling te geven aan deze verantwoordelijkheid zullen we de raad vragen om hiervoor personele capaciteit beschikbaar te stellen. Met vriendelijke groet, het college van burgemeester en wethouders,
, Ze
e secretaris,
(
de burgemeester,
SS \
À
)
i eC LZ ct
ä
nr ——
_
ee
Neem contact met ons op Frank van Praat IT Assurance & Advisory, Responsible AI T +31 (0) 6 512 06 152 E vanpraat.frank@kpmg.nl Marc van Meel Responsible AI T +31 (0) 6 831 88 962 E vanmeel.marc@kpmg.nl
Sommige of alle hierin beschreven diensten zijn mogelijk niet toegestaan voor KPMG-auditcliënten en hun gelieerde ondernemingen of gerelateerde entiteiten. www.kpmg.nl © 2025 KPMG Advisory N.V., een naamloze vennootschap en lid van het KPMG-netwerk van zelfstandige ondernemingen die verbonden zijn aan KPMG International Limited, een Engelse entiteit. Alle rechten voorbehouden. De in dit document vervatte informatie is van algemene aard en is niet toegespitst op de specifieke omstandigheden van een bepaalde persoon of entiteit. Wij streven ernaar juiste en tijdige informatie te verstrekken. Wij kunnen echter geen garantie geven dat dergelijke informatie op de datum waarop zij wordt ontvangen nog juist is of in de toekomst blijft. Daarom adviseren wij u op grond van deze informatie geen beslissingen te nemen behoudens op grond van advies van deskundigen na een grondig onderzoek van de desbetreffende situatie. De naam KPMG en het logo zijn geregistreerde merken die onder licentie worden gebruikt door de zelfstandige ondernemingen die lid zijn van de wereldwijde KPMG organisatie.
© 2025 KPMG Advisory N.V.. All rights reserved. Documentclassificatie: KPMG Openbaar