AP bouwt AI-toezicht op, maar mag nog niet handhaven

De Autoriteit Persoonsgegevens (AP) heeft in Nederland de directie Toezicht en Coördinatie AI/Algoritmes (TCA) gestart. Zij zet bestaand coördinerend toezicht op algoritmes voort en bereidt markttoezicht onder de Europese AI-verordening voor. Voor dat nieuwe markttoezicht is de AP nog niet formeel aangewezen: de bijbehorende bevoegdheden volgen pas wanneer de Nederlandse Uitvoeringswet AI-verordening in werking treedt.

TCA ging op 8 oktober 2026 van start, meldt AI Centrum Nederland. De Europese uiterste datum om nationale toezichthouders aan te wijzen, 2 augustus 2025, is daarmee al voorbij. Voor gemeenten en bedrijven is vooral het onderscheid van belang tussen verplichtingen uit de Europese verordening die al gelden en het Nederlandse toezicht dat nog juridisch moet worden ingericht.

Wat TCA nu al doet

De directie brengt de bestaande coördinatie van AI- en algoritmetoezicht en de voorbereiding op nieuwe taken samen. De AP voert die coördinerende rol al sinds 2023 uit. Zij signaleert risico’s die meerdere sectoren raken, deelt kennis met andere toezichthouders en volgt hoe algoritmes mensen kunnen beïnvloeden, selecteren of beoordelen. Dat werk kan doorgaan terwijl de aanwijzing voor markttoezicht nog ontbreekt.

De directie telt de afdelingen AI/Algoritmes Risicoanalyse & Coördinatie (ARC) en Markttoezicht AI (MTA); in iBestuur zegt AP-bestuurslid Katja Mur over de opbouw: ‘Wij kunnen daarom niet wachten tot het laatste verkeersbord is geplaatst.’ ARC brengt gevolgen voor mensen en grondrechten in kaart en richt zich onder meer op impactvolle algoritmes, algoritmeregisters en risicoselectie-instrumenten. Bij die instrumenten gaat het om vragen als discriminatie en nauwkeurigheid van de selectie.

MTA bouwt technische kennis op voor onderzoek en tests van AI-systemen zodra het toekomstige markttoezicht vorm krijgt. De afdeling werkt ook aan voorlichting over verantwoorde ontwikkeling en toepassing. Daarnaast werken de AP en de Rijksinspectie Digitale Infrastructuur (RDI) aan een gezamenlijke AI-sandbox en een AI Coördinatiecentrum. De sandbox is bedoeld als begeleide testomgeving; de opbouw ervan betekent nog geen algemene beschikbaarheid voor organisaties.

Welke regels gelden en waarop de uitvoeringswet wacht

De tijdlijn kent verschillende juridische stappen. Een Europese verplichting kan rechtstreeks van toepassing zijn, ook als Nederland de instantie die specifiek op grond van de AI-verordening toezicht houdt nog niet heeft aangewezen. Omgekeerd geeft de oprichting van een afdeling binnen de AP die instantie niet vanzelf nieuwe wettelijke bevoegdheden.

• Al geldende Europese regels: bepaalde verboden AI-toepassingen en de plicht om personeel en andere betrokkenen voldoende AI-geletterd te maken gelden sinds 2 februari 2025. Sinds 2 augustus 2026 gelden ook transparantieverplichtingen, onder meer wanneer mensen met een chatbot spreken of met bepaalde door AI gemaakte inhoud te maken krijgen. Welke plicht precies geldt, hangt af van het systeem en de rol van de organisatie.
• Huidig werk van de AP: ARC analyseert risico’s en verbindt toezichthouders; MTA bouwt kennis, testcapaciteit en voorlichting op. De AP en RDI richten gezamenlijke voorzieningen voor coördinatie en begeleide tests in. Wanneer een AI-systeem persoonsgegevens verwerkt, kan de AP bovendien haar bestaande bevoegdheden als privacytoezichthouder op grond van de AVG blijven gebruiken.
• Na de Nederlandse uitvoeringswet: de beoogde aanwijzing van de AP als AI-markttoezichthouder en de daarvoor benodigde bevoegdheden krijgen pas werking als die wet van kracht is. Dan kan het voorbereide markttoezicht onder de AI-verordening juridisch worden uitgevoerd. De AP en RDI hebben in het voorgenomen Nederlandse stelsel een centrale rol, maar de precieze aanwijzing en financiering zijn nog onderwerp van overleg.

Gevolgen voor gemeenten en bedrijven

De ontbrekende aanwijzing schuift bestaande Europese verplichtingen niet op. Zij bepaalt wel of de AP al met de specifieke instrumenten van de AI-verordening als markttoezichthouder kan optreden. Voor een organisatie maakt daarnaast haar rol verschil: een aanbieder ontwikkelt of levert een systeem, terwijl een gebruiksverantwoordelijke het onder eigen verantwoordelijkheid inzet.

• Gemeenten: systemen voor risicoselectie of beoordeling van inwoners sluiten aan bij de onderwerpen die ARC volgt: grondrechten, discriminatie, nauwkeurigheid en openheid over algoritmes. Verwerkt een gemeente daarbij persoonsgegevens, dan blijven de AVG en het bestaande privacytoezicht van de AP van toepassing. Het nieuwe directieonderdeel kan intussen kennis over zulke toepassingen verzamelen, maar beschikt nog niet over de nieuwe markttoezichtbevoegdheden uit de AI-verordening.
• Bedrijven: een aanbieder of gebruiker van een chatbot, generatief systeem of andere AI-toepassing moet rekening houden met de Europese regels die voor zijn rol en toepassing al gelden. De start van MTA levert geen formele goedkeuring of vrijstelling voor een systeem op. Ook de aangekondigde sandbox is nog een voorziening in opbouw; uit de oprichting van TCA volgt geen recht op deelname of op een beoordeling door een aangewezen markttoezichthouder.

Het woord handhaving vraagt daardoor om precisie. De AP mist op dit moment de nieuwe bevoegdheden voor AI-markttoezicht, maar blijft bevoegd bij overtredingen van privacyregels waarbij persoonsgegevens in een AI-systeem worden verwerkt. Een onderzoek op grond van de AVG en een toekomstige beoordeling onder de AI-verordening hebben verschillende rechtsgrondslagen.

De volgende stap ligt bij de Nederlandse wet

De AP heeft de beoogde toezichttaak al op capaciteit en financiering beoordeeld; over de uiteindelijke aanwijzing en middelen lopen nog gesprekken. Een datum waarop de Uitvoeringswet AI-verordening in werking treedt, is nog niet bekend. Tot die beslissing kan TCA risico’s volgen, expertise opbouwen en met RDI de sandbox en het coördinatiecentrum uitwerken. De inwerkingtreding en de definitieve verdeling van toezichttaken zijn de besluiten waarop gemeenten en bedrijven nog wachten.

Lees ook:

• RSA geeft elke AI-agent een eigenaar, maar toezicht volgt pas in 2027
• Belgische Fast 50 telt vijftig groeiers, maar de winnaar ontbreekt nog
• GasLab haalt $1 miljoen op, maar de verdeelsleutel voor artiesten ontbreekt