AI ontwikkelt zich razendsnel op verschillende manieren. Wetgeving beweegt daarbij mee. Voor organisaties betekent het dat verantwoord AI-gebruik niet langer alleen een vraagstuk is van privacy of ethiek. Ook steeds meer van cybersecurity, governance en risicobeheersing. Voor organisaties in de publieke sector is dat extra relevant. Daar kan AI worden ingezet bij processen die grote gevolgen hebben voor inwoners, medewerkers en de dienstverlening. De vraag is daarom niet langer alleen: “Kunnen we deze AI-toepassing gebruiken?” Ook hoe deze toepassing aantoonbaar verantwoord, veilig en rechtmatig wordt gebruikt speelt een steeds belangrijkere rol.
Het samenspel van cybersecurity en AI
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. Dit brengt voor organisaties die onder de wet vallen onder meer een zorgplicht, meldplicht en registratieplicht met zich mee. De zorgplicht verplicht organisaties om passende maatregelen te nemen om risico’s voor de beveiliging van netwerk- en informatiesystemen te beheersen. Risicomanagement vormt daarbij de basis, en daar komt AI nadrukkelijk in beeld.
AI-toepassingen kunnen onderdeel zijn van de digitale systemen en processen van een organisatie. Denk aan een generatieve AI-toepassing waarmee collega’s werken. Of een algoritme dat onderdeel is van een belangrijk dienstverleningsproces.
De komst van de Cyberbeveiligingswet betekent dat organisaties die onder de wet vallen, ook na moeten denken over de cyberrisico’s van hun AI-gebruik. Voorbeelden van belangrijke vragen hierbij zijn:
- Hoe afhankelijk is de organisatie van een externe AI-leverancier?
- Welke gegevens worden verwerkt?
- Wat zijn de gevolgen van een beveiligingsincident bij de AI-leverancier?
- Hoe wordt de continuïteit van belangrijke processen gewaarborgd?
AI hoort daarmee niet meer uitsluitend thuis op de agenda van de privacy officer of AI-specialist. Het is ook een onderwerp voor cybersecurity, IT, risicomanagement en bestuur.
De uitvoering van de AI-verordening
Tegelijkertijd wordt ook de Europese AI-verordening (AI Act) steeds relevanter. De verplichtingen uit de verordening treden gefaseerd in werking. Voor organisaties betekent dit dat zij moeten bepalen welke rol zij hebben. Zijn ze bijvoorbeeld aanbieder of gebruiksorganisatie? En met welk type AI-systeem hebben ze te maken?
Afhankelijk van die rol en toepassing kunnen verschillende verplichtingen gelden. Denk aan eisen rondom risicobeheer, datakwaliteit, documentatie en transparantie. Voor sommige AI-toepassingen gelden bovendien strengere regels. Ook AI-geletterdheid is inmiddels een belangrijk aandachtspunt. Organisaties moeten ervoor zorgen dat mensen die met AI-systemen werken over voldoende kennis en vaardigheden beschikken.
Voor organisaties is het daarom belangrijk om niet pas in actie te komen wanneer een toezichthouder vragen stelt. Een actueel overzicht van gebruikte AI-toepassingen, duidelijke verantwoordelijkheden en een passende risicoanalyse vormen een belangrije basis voor verantwoord AI-gebruik.
Toezicht op AI wordt concreet
Ook het toezicht op AI krijgt steeds meer vorm. In Nederland spelen de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) een coördinerende rol binnen de toezicht op de AI-verordening. De AP krijgt onder meer toezichtstaken rond verboden AI-praktijken, transparantie en een belangrijk deel van de hoog-risico-AI.
Daarbij wordt handhaving ook nog zichtbaarder. Een recente ontwikkeling rondom handhaving verdient bijzondere aandacht. Op 1 september 2026 is namelijk de Verzamelwet gegevensbescherming in werking getreden. Deze wet wijzigt onder meer de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). Een belangrijke wijziging is dat de AP wettelijk verplicht is geworden om bestuurlijke AVG-sancties openbaar te maken. Het gaat onder andere om bestuurlijke boetes, lasten onder dwangsom en verwerkingsverboden. Dat betekent dat handhaving niet alleen financiële of juridische gevolgen kan hebben, maar ook zichtbaar wordt voor de buitenwereld.
Dat is relevant voor het gebruik van AI. Wanneer dat leidt tot een overtreding van de AVG, bijvoorbeeld doordat persoonsgegevens onrechtmatig in ChatGPT of Copilot zijn verwerkt, brengt een handhavingsbesluit voortaan een groter reputatierisico met zich mee.
Hulp bij wetgeving AI
De ontwikkelingen rondom AI, privacy en cybersecurity volgen elkaar in hoog tempo op. Het kan dan lastig zijn om de vertaalslag te maken van wet- en regelgeving naar de dagelijkse praktijk. Haute Equipe helpt organisaties in de publieke sector om die stap te zetten. Onze privacyadviseurs combineren juridische kennis met een praktische aanpak. Zo worden ze bijvoorbeeld ingezet om AI-governance en privacyvraagstukken op te pakken. Ook ondersteunen onze adviseurs op projectbasis bij een concrete opdracht. Denk hierbij aan het in kaart brengen van AI-toepassingen, het opzetten van AI-beleid of het voorbereiden op nieuwe wet- en regelgeving.
Neem contact op met privacyadviseur Selma Albayrak via selma.albayrak@haute-equipe.nl om de mogelijkheden te bespreken.
