Inzet algoritmes en data-ethiek

Brontekst

Staatssecretaris Van Huffelen: Wie het keurmerk gaat uitgeven, moet nog worden bepaald. Dat is nog onderdeel van de implementatie van de wet. Daar komen wij in de komende tijd zo snel mogelijk op terug. Ik wilde nog voorstellen — dat is een van de dingen die wellicht interessant is voor de heer Van Baarle — dat we in de vorm van een technische briefing natuurlijk altijd in meer detail uitleg en toelichting kunnen geven aan de Kamer over hoe de AI-verordening werkt: wat is er al, wat is er nog niet, waar moeten we nog aan werken enzovoorts? Ik ga door met een aantal vragen van de heer Van Baarle, die hij net in een interruptie ook opnieuw heeft gesteld. Eén vraag ging nog over de Algemene wet bestuursrecht en de vraag of overheidsbesluiten op basis van algoritmes worden opgenomen in de Awb. Dat is op dit moment nog niet zo. De Algemene wet bestuursrecht kent wel een algemene motiveringsplicht. Op dit moment is er een internetconsultatie gaande over deze specifieke vraag. Wij vinden het natuurlijk ontzettend belangrijk dat helder is voor burgers hoe een besluit is genomen. Dat is niet alleen belangrijk zodat je weet op basis van welke gegevens dat gebeurd is of op welke manier de wet wordt toegepast, maar natuurlijk ook om inzicht te krijgen in of er inderdaad sprake is van gebruik van een algoritme. De AI-verordening geeft een verplichting om burgers te informeren als een high-risk AI-systeem is gebruikt. Over hoe we dat precies in de Awb willen opnemen hebben we nu een internetconsultatie lopen. We hopen die zo snel mogelijk, nog dit voorjaar, te kunnen afronden, zodat we ook duidelijkheid kunnen geven over hoe we dit in de Awb gaan opnemen. We zijn nu ook in bredere zin die wet aan het aanpassen. De heer Van Baarle vroeg ook nog of we als land de ruimte hebben om het algoritmekader scherper in te zetten dan de bepalingen van de AI-verordening. We hebben gezegd dat we dat kader willen gebruiken als een hulpmiddel om te zorgen dat we de verordening op een goeie manier gaan implementeren. Dat kader gebruiken we bij de overheid om overheidspartijen te helpen om er invulling aan te geven. We kunnen onszelf altijd, als we dat zouden willen, nog scherpere regels opleggen, maar we vinden dat op dit moment niet nodig, omdat we alle elementen erin zien zitten. Dan was er nog de vraag van de VVD over hoe je ervoor kunt zorgen dat de mens centraal staat bij het gebruik van algoritmes door de overheid. Natuurlijk moeten we transparant zijn over de inzet van algoritmes, bijvoorbeeld via het Algoritmeregister en de uitleg die we geven over hoe een besluit tot stand is gekomen. Helder is dat er altijd sprake moet zijn van menselijke tussenkomst, en dat het mogelijk is om ook in beroep te gaan bij een mens tegen een besluit dat door een algoritme is genomen. We zijn nog steeds bij het blokje wet- en regelgeving. Mevrouw Kathmann vroeg of wij in aanloop naar de actualisatie van de UAVG, de uitvoeringswet voor de AVG, kunnen verkennen of de verplichting van een functionaris gegevensbescherming kan worden uitgebreid. Op dit moment is zo'n functionaris gegevensbescherming al verplicht voor alle organisaties die vanwege hun aard, omvang of doeleinden op grote schaal regelmatig en stelselmatig observaties van betrokkenen vereisen, en voor organisaties die belast zijn met het verwerken van persoonsgegevens. Met andere woorden, die is al verplicht in organisaties waar dit aan de orde is. Los daarvan moeten organisaties die zo'n functionaris niet hebben de AVG natuurlijk ook naleven. Wij denken dus eigenlijk dat dit niet nodig is, want het is al voldoende duidelijk wanneer een organisatie zo'n functionaris ook daadwerkelijk moet inzetten. Mevrouw Kathmann vroeg of algoritmes en AI-modellen voldoende zijn gedefinieerd: zijn er geen blinde vlekken? Dat is eigenlijk in lijn met de vraag van de heer Six Dijkstra. Wij denken dat we op dit moment echt goed uit de voeten kunnen met de definities voor AI-systemen, modellen enzovoorts in de verordening, niet in de laatste plaats omdat er, ook bij de AI-verordening, veel discussie is geweest over welke definitie we nou gebruiken. Uiteindelijk is een werkgroep van de OESO daar met allerlei wetenschappelijke inzichten en praktijkinzichten mee aan de slag gegaan. We zien wel dat AI zich ontwikkelt. De technologie ontwikkelt zich. Er komen wellicht ook weer nieuwe toepassingen. Het is dus altijd nodig om te bekijken of die definities voldoende blijven, ook in de komende tijd. Voor nu kunnen we goed uit de voeten met de huidige definities. Mevrouw Kathmann vroeg ook nog of we ervoor kunnen zorgen dat het duidelijk is wanneer iemand als risicopersoon is geselecteerd, bijvoorbeeld in het kader van een overheidsbesluit of als iemand al dan niet een bepaalde subsidie heeft gekregen. We vinden het belangrijk om als overheid super transparant te zijn over hoe we besluiten nemen. Wij vinden het ook goed dat dit bijvoorbeeld in een brief komt te staan. We bekijken hoe we dat kunnen doen, bijvoorbeeld door te verwijzen naar het Algoritmeregister. We kunnen dat ook doen door te verwijzen naar het register op gegevensbijbesluiten.overheid.nl, dat we inmiddels verder aanvullen. We zijn daar behoorlijk mee aan de slag. Dat register geeft inzicht in hoe een besluit bij de overheid wordt gemaakt. Vanuit de AI-verordening is er straks dus ook een notificatieplicht. Met andere woorden, je moet ervoor zorgen dat het helder wordt wanneer hoogrisico-AI is toegepast. De kern van wat we willen bereiken, is: wanneer de burger een brief van de overheid ontvangt met een besluit, zoals het wel of niet ontvangen van subsidie, het starten van verder onderzoek of het verzoek om extra gegevens, is het altijd belangrijk dat die weet waarom de brief wordt gestuurd. Mevrouw Kathmann en ik hebben daar eerder met elkaar een discussie over gehad. Het is belangrijk om te begrijpen waarom je bijvoorbeeld wel of niet in aanmerking komt voor een studielening, subsidie, of iets van die orde, en dat je dit ook kunt nagaan. Niet alleen de AI-verordening is een hulpmiddel om dat inzicht te bieden. We kunnen dat verder doen door überhaupt inzichtelijk te maken hoe en op basis waarvan we besluiten maken bij de overheid. We zijn daar dus heel hard mee aan de slag. De heer Valize van de PVV had een vraag over het implementatiekader: weten departementen daarvan en wat zijn de ervaringen daarmee? Inderdaad, de departementen kennen dit implementatiekader. We zijn het verder aan het ontwikkelen. We vertelden dat we dit kader aan het eind van dit jaar verder willen aanvullen met inzichten vanuit de AI-verordening. Zo zorgen we ervoor dat het overheden ook helpt om te voldoen aan de regels die worden gesteld, zoals in de AI-verordening. Dan was er nog de vraag, ook van de heer Valize, hoe ik ervoor ga zorgen dat algoritmes verantwoord kunnen worden ingezet. Daar hebben we natuurlijk een hele serie van activiteiten voor: niet in de laatste plaats het algoritmekader, ervoor zorgen dat er een register is, en natuurlijk ook zorgen dat we die verordening in de komende tijd zo goed mogelijk gaan toepassen. Dan was er ook nog een vraag van de heer Van Baarle van DENK. Die ging over het algoritmekader, maar volgens mij heb ik die al beantwoord. Hij vroeg: is dat nou een verplichtend kader? De elementen daarin zijn natuurlijk gewoon verplichtend, want je moet voldoen aan mensenrechtentoetsen, DPIA's enzovoort, enzovoort als je algoritmes wil gaan invoeren. Dan is er nog de vraag van de VVD of medeoverheden worden meegenomen als het gaat om analoge terugvalopties. Dat ging overigens over cyberaanvallen. Dat was een vraag van de heer Meulenkamp. Wij vinden ook dat je daar bij het inrichten van algoritmes heel goed naar zal moeten kijken. Ik denk dat we wel meer werk nodig hebben om dat goed te kunnen beantwoorden, maar we willen daar graag mee verder. Als het gaat over cyberaanvallen in de brede zin van het woord, is het namelijk altijd belangrijk dat de basisprocessen van een overheid doorgang kunnen blijven vinden. Dat is bijvoorbeeld het kunnen uitgeven van een paspoort, een uitkering of iets anders. Dat geldt natuurlijk net zo goed voor heel veel andere taken. Daarvoor hebben we in het kader van de implementatie van de zogenaamde NIS2-regels, dus de implementatie van Europese wetten die we hebben gemaakt op het gebied van cyberveiligheid, ook nog werk met elkaar te doen, zeker ook met andere overheden. Dat doen we graag met hen samen.

Versie d7f0f2bd850e617ffe9cb0429962cee6562c9adc4bae73526373fb90abe09322 · Voorlopig verslag; de tekst kan nog wijzigen.