AI-governance en de BIO: aansluiten in plaats van er iets naast bouwen
De meeste gemeenten tuigen voor AI een tweede verantwoordingsstapel op, naast de stapel die er voor informatiebeveiliging al staat. Dat kost dubbel werk en levert half zicht op. Deze pagina gaat over de aansluiting: waar AI de BIO raakt, wat er in 2026 is veranderd, en wat u wel en niet in uw bestaande cyclus kunt hangen.
Het probleem: twee stapels
Waarom AI-beleid zo vaak los komt te staan van wat er al is.
In veel organisaties ontstaat AI-beleid buiten de informatiebeveiliging om. Er komt een AI-verordening aan, dus komt er een AI-werkgroep, een AI-beleidsnotitie en een AI-register. Ondertussen bestaat er al een normenkader, een risicomethodiek, een leveranciersproces, een incidentprocedure en een jaarlijkse verantwoording aan de raad.
Die twee stapels gaan zelden samen. Het gevolg is voorspelbaar: het AI-register raakt achterhaald omdat niemand het bijhoudt naast het bestaande overzicht, en de CISO ontdekt pas achteraf dat er een dienst is aangeschaft die gegevens buiten de EER verwerkt.
De vraag is dus niet welk AI-kader u erbij haalt. De vraag is waar AI raakt aan wat u al doet, en waar het echt iets nieuws vraagt.
Wat er in 2026 is veranderd
Drie bewegingen die tegelijk lopen, en die elkaar beïnvloeden.
| Wat | Stand van zaken |
|---|---|
| BIO2 | Versie 1.3 is op 5 maart 2026 in de Staatscourant gepubliceerd en vervangt de BIO 1.04. Het kader blijft gebouwd op ISO/IEC 27001 en 27002, met verplichte overheidsmaatregelen daarbovenop. De basisbeveiligingsniveaus, de BBN's, zijn losgelaten ten gunste van een risicogerichte benadering. |
| Cyberbeveiligingswet | In werking sinds 15 augustus 2026, de Nederlandse uitwerking van NIS2. Voor overheidsorganisaties die onder de wet vallen is het toepassen van de overheidsmaatregelen uit de BIO2 daarmee een wettelijke verplichting geworden. Voor organisaties daarbuiten blijft de BIO gelden als verplichtende zelfregulering op basis van een besluit van het OBDO. |
| ENSIA | Vanaf verantwoordingsjaar 2026 gaat DigiD buiten de collegeverklaring om: de IT-auditor stelt per aansluiting een eigen assurancerapport op volgens de 3000D-methodiek. Voor Suwinet blijft de collegeverklaring voorlopig ongewijzigd, met een gefaseerde invoering van toetsing op werking die vanaf 2027 verplicht is. |
| AI-verordening | AI-geletterdheid en de verboden praktijken gelden sinds februari 2025, de transparantieplicht sinds augustus 2026, en de hoogrisicoverplichtingen vanaf december 2027. De volledige tijdlijn staat hier. |
Waarom dit samenvalt is geen toeval. De BIO2 is nadrukkelijk geschreven met NIS2 en de Cyberbeveiligingswet in het achterhoofd. Dat betekent dat u dit jaar toch al door uw risicoanalyse, uw leveranciersafspraken en uw incidentprocedure heen moet. Dat is precies het moment om AI daarin mee te nemen, in plaats van er over twee jaar een apart traject voor te starten.
Waar AI de BIO raakt
Zeven onderwerpen die u al heeft ingericht, en wat AI eraan verandert.
| Onderwerp | Wat AI eraan verandert |
|---|---|
| Risicomanagement | De BIO2 is risicogericht. AI-toepassingen horen dus in dezelfde risicoanalyse als de rest, niet in een eigen document. Nieuw is wel de aard van het risico: niet alleen vertrouwelijkheid en beschikbaarheid, maar ook de juistheid van wat een model produceert en de gevolgen daarvan voor een inwoner. |
| Leveranciersbeheer | Een AI-dienst is een leverancier als elke andere, alleen zit er vaak een keten achter: de aanbieder van de tool, de aanbieder van het onderliggende model, en de infrastructuur daaronder. De vraag "waar staan de gegevens" heeft dan drie antwoorden. Uw bestaande inkoopvoorwaarden dekken dat zelden af. |
| Toegangsbeheer | Het verschil tussen beheerde zakelijke accounts en eigen accounts van medewerkers is bij AI-tools groter dan bij andere software. Bij een eigen of gratis account heeft u geen zicht op wat erin gaat, geen mogelijkheid om af te sluiten bij uitdiensttreding, en meestal geen afspraak over training op ingevoerde gegevens. |
| Dataclassificatie | Uw classificatie zegt waarschijnlijk iets over opslag en verzending, maar niets over invoer in een prompt. Dat is een nieuw kanaal waarlangs gegevens de organisatie verlaten, en het is het kanaal met de laagste drempel. |
| Logging en monitoring | Uw eisen aan logging gaan uit van systemen die u beheert. Bij AI-diensten is de logging vaak beperkt, staat die bij de leverancier, of is die niet in uw SIEM te krijgen. Dat is een gesprek dat u vóór de aanschaf moet voeren, niet erna. |
| Incidentafhandeling | Uw procedure herkent een datalek en een storing. Maar wat doet u als een model iets produceert dat feitelijk onjuist is en waarop een besluit is gebaseerd? Dat is geen beveiligingsincident in de klassieke zin, en het valt bij veel organisaties tussen de wal en het schip. |
| Bewustwording | U heeft al een bewustwordingsprogramma. AI-geletterdheid uit de AI-verordening is geen tweede programma, maar een uitbreiding van hetzelfde. Zie het volgende blok. |
Eén programma, twee verplichtingen
Waar AI-geletterdheid en bewustwording elkaar overlappen.
Artikel 4 van de AI-verordening vraagt om maatregelen die de AI-geletterdheid van medewerkers ondersteunen, afgestemd op hun kennis, ervaring en werkcontext. De BIO vraagt om bewustwording en training op het gebied van informatiebeveiliging. Dat zijn twee verschillende verplichtingen, maar ze richten zich op dezelfde mensen, met deels dezelfde inhoud.
Wie ze los organiseert, betaalt twee keer en belast de organisatie twee keer. Wie ze samenvoegt, heeft één programma, één deelnameregistratie en twee dingen die aantoonbaar zijn. Dat vraagt wel dat de inhoud klopt voor beide kaders: een klassieke phishingtraining dekt geen AI-geletterdheid, en een AI-workshop dekt geen informatiebeveiliging.
Wat ENSIA wel en niet is
Een veelgemaakte denkfout, en wat er wél kan.
Eerst het misverstand uit de weg: ENSIA is geen AI-instrument. De reikwijdte ligt vast bij DigiD, Suwinet en een aantal basisregistraties. U kunt AI daar niet in onderbrengen, en iedereen die u dat belooft, kent het proces niet.
Wat er wél is, is de machinerie eromheen. Er ligt een normenkader waaraan getoetst wordt. Er is een jaarcyclus die aansluit op de planning-en-controlcyclus. Er zijn zelfevaluaties, een collegeverklaring, een IT-auditor en een moment waarop de raad iets krijgt. Dat ritme en die governance zijn precies wat AI-verantwoording nu mist.
Concreet betekent dat: laat het AI-overzicht meelopen in dezelfde jaarcyclus, gebruik dezelfde risicomethodiek, en laat de rapportage aan het college en de raad langs dezelfde route gaan. Niet omdat het moet, maar omdat een tweede cyclus in de praktijk na anderhalf jaar doodbloedt.
Het AI-register naast de registers die er al zijn
Nog een lijst, of een kolom erbij?
De meeste organisaties hebben al een verwerkingsregister op grond van de AVG, en veel overheden publiceren daarnaast in het Algoritmeregister. Daar komt nu de behoefte bij om te weten welke AI-systemen er draaien en onder welke categorie van de AI-verordening ze vallen.
Dat zijn drie overzichten met een flinke overlap. In de praktijk werkt het beter om te beginnen bij het register dat al wordt bijgehouden en daar de velden aan toe te voegen die u mist: wie de aanbieder is, wat het systeem doet, welke gegevens erin gaan, wie het menselijk toezicht uitvoert en welke risicocategorie erbij hoort. Een register dat niemand bijhoudt is erger dan geen register, want het wekt de indruk van zicht dat er niet is.
Wie hier iets aan heeft
Drie rollen, drie verschillende vragen.
De CISO wil weten of AI een nieuw risicodomein is of een uitbreiding van het bestaande. Antwoord: grotendeels een uitbreiding, met twee echt nieuwe elementen, namelijk de juistheid van modeloutput en de invoer van gegevens via prompts.
De functionaris gegevensbescherming wil weten waar de gegevens heen gaan en of er een grondslag en een verwerkersovereenkomst zijn. Dat gesprek is bekend terrein, alleen zit de keten dieper dan gebruikelijk.
De concerncontroller of gemeentesecretaris wil weten of dit erbij komt of erin past, en wat het kost. Antwoord: het past erin, mits u het meeneemt in de ronde die u dit jaar toch al maakt.
Bronnen voor de feitelijke stand van zaken: de circulaire BIO2 in de Staatscourant van 5 maart 2026, de informatie van BZK en het CIP op bio-overheid.nl, en de ENSIA-informatie van de VNG. Deze materie is in 2026 sterk in beweging; controleer de actuele lijn bij de IBD voordat u er beleid op baseert.
Weten wat er draait, voordat u er beleid op maakt
De Kansen- & Risicoscan levert het overzicht van AI-systemen, de risico-inschatting en een routekaart die aansluit op de cyclus die u al heeft. Of begin met een gesprek van een halfuur om te kijken of het past.