Een concrete situatie
Fictief voorbeeld: een gemeente wil aanvragen voor ondersteuning met een model ordenen. Medewerkers zouden alleen een ‘werkvoorraadadvies’ krijgen. In de proef blijkt dat laag gerangschikte aanvragen langer blijven liggen. De projectgroep ontdekt dat een logistieke keuze zo de feitelijke toegang tot hulp kan beïnvloeden.
Beschrijf eerst welke beslissing verandert
Maak zichtbaar welke gegevens binnenkomen, hoe het systeem een uitkomst maakt en wat medewerkers daarna doen. Kijk niet alleen naar het formele eindbesluit. Ook extra controles, wachttijd en de kans op persoonlijk contact kunnen inwoners raken. Vergelijk de voorgestelde aanpak met een uitvoerbaar alternatief zonder algoritme.
Leg dit vast op één gedeelde feitenpagina. Beschrijf doel, eigenaar, leverancier, doelgroep, gegevens, gebruiksfrequentie en herstelroute. Laat uitvoering, beleid en techniek controleren of die beschrijving overeenkomt met de werkelijkheid. Daarmee voorkomt u drie assessments die ongemerkt verschillende systemen beschrijven.
Beantwoord drie verschillende toepasselijkheidsvragen
Voor de DPIA vraagt artikel 35 AVG of de persoonsgegevensverwerking waarschijnlijk een hoog risico oplevert. Onderzoek de concrete verwerking en toepasselijke verplichte categorieën. De verwerking van persoonsgegevens is een afzonderlijk vertrekpunt: niet ieder algoritme verwerkt persoonsgegevens.
Het IAMA is een instrument voor een gesprek tussen verschillende disciplines over mensenrechten en algoritmen, ook buiten AI. Controleer daarnaast intern beleid en toepasselijke verplichtingen. Voor de FRIA moet worden vastgesteld of de organisatie en het AI-gebruik binnen artikel 27 vallen. Een gemeentelijke organisatie zijn is op zichzelf geen bewijs dat iedere gebruikte AI-toepassing een FRIA vereist.
Combineer het onderzoek, houd conclusies herkenbaar
Werk bijvoorbeeld met één risico-overzicht waarin elk risico een betrokken groep, oorzaak, maatregel, eigenaar en bewijs krijgt. Vermeld welke beoordeling het risico behandelt. Onjuiste persoonsgegevens kunnen zowel de DPIA als het grondrechtenonderzoek raken; uitsluiting door onbegrijpelijke procedures vraagt soms een bredere analyse.
Laat ieder assessment verwijzen naar het gedeelde dossier, maar benoem de eigen ontbrekende informatie en uitkomst. Een IAMA-workshop sluit een technische onzekerheid niet af. Een beveiligde database bewijst evenmin dat een selectiecriterium mensen gelijk behandelt. Controleer voor afronding of maatregelen terugkomen in ontwerp, contract, werkproces en monitoring.
Plan besluitvorming en de actuele FRIA-voorbereiding
De AP noemt december 2027 voor de komende FRIA-verplichting; de Commissie noemt 2 december 2027 voor de relevante bijlage III-regels. Bereid de beoordeling tijdig voor en controleer classificatie en overgangsregels van het specifieke systeem. Bestaande AVG-verplichtingen blijven intussen gelden.
De project- of beleidseigenaar organiseert het dossier. PO en AI Compliance Officer helpen de uitwerking, de CISO onderzoekt beveiliging en de uitvoering toetst werkbaarheid. Betrek de FG tijdig voor onafhankelijk privacyadvies en toezicht. Het bevoegde bestuur of management neemt het besluit en motiveert hoe openstaande risico’s worden behandeld.
Wat moet in ieder geval zijn geregeld?
Eén gecontroleerde beschrijving van proces, systeem en gevolgen.
Een afzonderlijke onderbouwing van DPIA-, IAMA- en FRIA-route.
Inbreng van meerdere disciplines en aandacht voor getroffen groepen.
Maatregelen met eigenaar, bewijs en uiterste uitvoerdatum.
Een route voor uitleg, correctie, klachten en heroverweging.
Een gemotiveerd besluit en triggers voor een nieuwe beoordeling.
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.