Nederlandse privacytoezichthouder bouwt AI-toezicht uit, maar heeft nog geen wettelijke bevoegdheden

De Nederlandse Autoriteit Persoonsgegevens (AP) heeft een nieuwe directie gestart die het toezicht op kunstmatige intelligentie (AI) en algoritmes bundelt. Ze heet Toezicht en Coördinatie AI/Algoritmes, kortweg TCA. Het is een organisatorische stap: de AP mag nog niet optreden als toezichthouder op de Europese AI-verordening.

Wat is er precies gebeurd?

De nieuwe directie zet het coördinerend toezicht voort dat de AP sinds 2023 uitvoert. Daarnaast bereidt ze het toekomstige markttoezicht voor, dus het controleren of bedrijven de AI-regels naleven. Samen met de Rijksinspectie Digitale Infrastructuur (RDI) werkt de AP ook aan een ‘AI sandbox’ en een gezamenlijk AI Coördinatiecentrum.

TCA bestaat uit twee afdelingen. De eerste, ARC, onderzoekt welke gevolgen AI en algoritmes hebben voor burgers, hun grondrechten en de maatschappij. Ze let onder meer op systemen die risico’s inschatten, zoals instrumenten waarmee overheden mensen selecteren. Die moeten getoetst worden op discriminatie en juistheid. De tweede afdeling, MTA, bouwt kennis op om AI-systemen te onderzoeken en te testen en geeft voorlichting.

Mag de AP nu al controleren?

Nog niet. De AP is volgens haar eigen bericht wel de voorziene controleur van de AI-markt, maar de formele aanwijzing ontbreekt nog. Bevoegdheden krijgt ze pas wanneer de Nederlandse uitvoeringswet voor de AI-verordening in werking treedt. Die wet is er nog niet: in Nederland wordt er nog aan gewerkt. De Europese deadline om toezichthouders aan te wijzen was 2 augustus 2025, en die is dus verstreken.

Over de aanwijzing, bevoegdheden en financiering wordt volgens de AP op verschillende niveaus overlegd. Het kabinet wil de AP en de RDI samen een centrale rol geven. De AP zegt zelf dat ze eerder dit jaar de uitvoeringswet heeft getoetst en heeft nagegaan welke capaciteit en financiering nodig zijn. Wat die middelen in cijfers zijn, staat niet in het bericht.

Welke AI-regels gelden al?

De AP benadrukt dat de regels niet pas later komen. Sommige toepassingen van AI zijn al verboden. Er gelden ook transparantieverplichtingen voor AI-gegenereerde content, zoals video’s, afbeeldingen en teksten. Vanaf 2 december komt er een extra verbod bij op AI-toepassingen die mensen zonder hun instemming digitaal ontkleden.

Bestuurslid Katja Mur gebruikt een beeld uit het verkeer: de AP zegt dat de ‘verkeersregels’ voor AI scherper worden terwijl de drukte toeneemt. Volgens haar is afwachten tot alle borden staan dus geen optie, en bouwt de AP al aan haar organisatie en kennis.

De AP verwijst ook naar recente incidenten met AI-agents, programma’s die steeds zelfstandiger taken uitvoeren. Die kregen volgens haar ongeautoriseerd toegang tot private en publieke online omgevingen. Details over die incidenten geeft het bericht niet.

Wat is een AI sandbox?

Een AI sandbox is een gecontroleerde omgeving waarin organisaties samen met toezichthouders werken aan AI-systemen en die in lijn brengen met de AI-verordening. De AP ziet toezicht dus niet alleen als ingrijpen, maar ook als duidelijkheid geven over wat wel kan. Hoe organisaties zich kunnen aanmelden, en of dat ook voor kleine bedrijven openstaat, staat niet in het bericht.

Wat de bron niet zegt

Het bericht gaat over Nederland. Over Vlaanderen of België zegt het niets, en ook niet over boetes, een startdatum voor het markttoezicht of de kosten voor bedrijven. Het is bovendien een mededeling van de toezichthouder zelf, zonder onafhankelijke beoordeling.