Wat moet een gemeente doen voor de AI-verordening?

Een wethouder vraagt in de wandelgang: “Zijn wij eigenlijk klaar voor die AI-wet?” De beleidsmedewerker die de vraag krijgt, weet dat het iets met risicoklassen te maken heeft. Maar wat er concreet moet gebeuren, en vooral wanneer, is een stuk lastiger te zeggen. Dat is geen onwil. De regels zijn deze zomer ook nog eens veranderd.

Het korte antwoord: een gemeente moet nu al twee dingen op orde hebben, namelijk AI-geletterdheid van medewerkers en transparantie richting inwoners. Voor AI-systemen met een hoog risico heb je tot 2 december 2027. Die tijd heb je ook echt nodig, want eerst moet je weten welke AI er in je organisatie draait.

Wat er nu al geldt

De AI-verordening gaat in stappen gelden. Een deel geldt al:

• Verboden toepassingen zijn sinds 2 februari 2025 niet meer toegestaan. Denk aan het beoordelen van mensen op basis van hun sociale gedrag, met nadelige gevolgen die daar los van staan. Voor gemeenten is dit geen theoretisch punt: de toeslagenaffaire laat zien waar het misgaat als een systeem mensen op kenmerken indeelt.
• AI-geletterdheid (artikel 4) geldt sinds 2 februari 2025. Sinds 27 juli 2026 is dat een inspanningsverplichting: je neemt aantoonbare maatregelen die de AI-geletterdheid van medewerkers ondersteunen, passend bij hun werk. Daar heb ik een apart artikel over geschreven.
• Transparantie (artikel 50) geldt sinds 2 augustus 2026. Mensen moeten weten wanneer ze met AI te maken hebben, en door AI gemaakte inhoud moet herkenbaar zijn. Voor systemen die al vóór die datum in gebruik waren, loopt er voor de machineleesbare markering een overgangstermijn tot 2 december 2026.

Wat er is uitgesteld

Op 27 juli 2026 trad Verordening (EU) 2026/1744 in werking, beter bekend als de Digital Omnibus. Die verschoof de datums voor systemen met een hoog risico:

• Zelfstandige systemen uit bijlage III: 2 december 2027.
• AI in gereguleerde producten (bijlage I): 2 augustus 2028.

Wat mij opvalt: “uitgesteld” wordt snel gelezen als “nog even niet mee bezig”. Maar de datum is verschoven, de verplichting niet. En wat er in die verplichting zit, bouw je niet in een paar maanden op.

Waarom dit het sociaal domein raakt

Bijlage III noemt onder meer AI die overheden gebruiken om te beoordelen of iemand recht heeft op essentiële voorzieningen en uitkeringen. Dat is precies het terrein van Wmo, jeugd, Participatiewet en schuldhulp. Of een specifieke toepassing daaronder valt, hangt af van wat het systeem feitelijk doet. Een tool die een gespreksverslag samenvat, is iets anders dan een systeem dat een advies geeft over toekenning. Maar de grens is dunner dan leveranciers soms doen voorkomen. Meer daarover lees je op de pagina over de AI-verordening in het sociaal domein.

Valt een systeem wel onder hoog risico, dan heeft de gemeente als gebruiksverantwoordelijke eigen plichten. Denk aan menselijk toezicht dat meer is dan een vinkje, het bewaren van logs, een beoordeling van de gevolgen voor grondrechten vóór ingebruikname en registratie in een Europese databank. Dat zijn geen formulieren die je in een middag invult.

Waar je begint

Er is geen standaardroute die voor elke gemeente past. Wel een volgorde die ik zelf aanhoud:

1. Weet wat er draait. Niet alleen de systemen die als “AI-project” zijn gestart, maar ook de AI die ongemerkt in bestaande software is ingebouwd, en de tools die medewerkers zelf gebruiken.
2. Bepaal per toepassing je rol en het risico. Ben je aanbieder of gebruiksverantwoordelijke? Valt het onder bijlage III, onder de transparantieplicht, of onder geen van beide?
3. Regel wat nu al geldt. AI-geletterdheid en transparantie kun je niet uitstellen tot 2027.
4. Stel je leveranciers de juiste vragen. Een groot deel van je naleving hangt af van wat zij aanleveren. Welke vragen dat zijn, lees je in dit artikel.

De eerste stap is bijna altijd de lastigste, en de belangrijkste. Zonder overzicht blijft de rest papier.

De eerlijke kanttekening

De AI-verordening is niet de enige wet die telt. De AVG, de Baseline Informatiebeveiliging Overheid en de Algemene wet bestuursrecht blijven gewoon gelden. Een besluit moet uitlegbaar zijn, ook als een systeem eraan heeft meegewerkt.

En de wet vraagt niet dat je stopt met AI. Een gemeente die alles verbiedt, krijgt geen AI-vrije organisatie. Die krijgt medewerkers die het op hun eigen telefoon doen, buiten elk zicht. Dat is een groter risico dan een tool die je bewust en met afspraken inzet.

Wil je weten waar je organisatie nu staat? De gratis AI-Scan geeft in tien minuten een eerste beeld. Voor een onderbouwd overzicht per toepassing is er de Kansen- & Risicoscan.

Hoe is dat bij jou: weet jouw gemeente welke AI er vandaag al wordt gebruikt, of is dat nog een vraag die niemand hardop heeft gesteld?