Wat een gemeente moet regelen voordat de AI-zoekfunctie live kan

Begin je als gemeente aan een AI-chatbot, dan komt altijd eerst dezelfde vraag: mag dit van de AI-verordening? Het antwoord is gelukkig bijna altijd ja.

Of je het een AI-chatbot of een AI-zoekfunctie noemt, maakt voor de wet niet uit, het gaat om wat het systeem doet. Geeft het informatie en wijst het de weg, of beoordeelt het of een inwoner ergens recht op heeft? Dat bepaalt welke regels voor je gelden.

Voordat je informatiebeveiliger, je functionaris gegevensbescherming en je wethouder ja zeggen, zet je vijf stappen.

Wat de AI-verordening van je vraagt

De AI-verordening deelt AI in naar risico. Een systeem dat informatie geeft en de weg wijst, valt onder beperkt risico. Hoog risico begint pas waar een systeem meebeslist over mensen, bijvoorbeeld als het beoordeelt of iemand recht heeft op een uitkering, subsidie of voorziening. Europa decentraal legt het uitgebreider uit.

Deze zomer ging het in het nieuws over uitstel van de AI-verordening. Dat uitstel staat in de Digital Omnibus, Verordening (EU) 2026/1744, die op 27 juli 2026 in werking trad. Het schuift de regels voor hoog-risico-systemen op naar 2 december 2027 en 2 augustus 2028. Voor een informerende zoekfunctie verandert er dus niets, want die valt niet onder het hoog risico.

Voor een AI-zoekfunctie gelden wel twee regels die er al waren. De transparantieplicht uit artikel 50 ging op 2 augustus 2026 in: een inwoner moet meteen zien dat hij met AI praat. En sinds 2 februari 2025 vraagt artikel 4 je om de AI-kennis van je medewerkers te ondersteunen. Sinds de Digital Omnibus is dat een inspanningsverplichting: je hoeft geen bepaald niveau per medewerker te garanderen.

De vijf stappen die je zet

1. De DPIA, en wie hem maakt

Een DPIA (Data Protection Impact Assessment) is een risicoanalyse voor privacy. Die moet bij een verwerking met een hoog privacyrisico (artikel 35 AVG). Of dat bij jouw AI-zoekfunctie zo is, beoordeel je samen met je functionaris gegevensbescherming. De Europese privacytoezichthouders gebruiken 9 criteria: voldoet een verwerking aan 2 of meer, dan is een DPIA in de regel nodig. Bij AI in contact met inwoners komen er vaak twee samen: het gaat om nieuwe technologie, en de verhouding tussen gemeente en inwoner is ongelijk. Veel gemeenten doen daarom een DPIA.

Daar komt bij dat het gevoelige niet in je content zit, maar in de vraag. Een inwoner typt zijn eigen situatie in, ook als je daar niet om vraagt.

In de DPIA leg je ook de rechtsgrond vast: de wettelijke basis waarop je persoonsgegevens mag verwerken. De AVG noemt er zes (artikel 6 lid 1). Een bedrijf kan zich vaak beroepen op "gerechtvaardigd belang", maar een gemeente mag die grondslag voor haar eigen taken niet gebruiken. Voor een AI-zoekfunctie is de rechtsgrond daarom de uitvoering van een publieke taak.

De DPIA schrijf en onderteken je zelf, dat kan geen leverancier voor je doen, ook wij niet. We leveren wel de feiten aan die het formulier vraagt, in jouw eigen format. De verwerkingen, de subverwerkers, de bewaartermijnen, de risico's en de maatregelen staan bij elkaar in DPIA en verwerkingsregister. Verwijs daar liever naar dan de tabellen over te nemen, dan klopt je DPIA nog steeds als er een subverwerker wijzigt.

Dan de gegevens zelf: waar staan ze, en hoe lang blijven ze? De index en de gestelde vragen staan bij TrueFullstaq in Almere. Kies je een extern taalmodel, dan draait dat in Nederland of elders in de EU. Welke modellen er zijn en waar ze draaien, staat op de pagina over taalmodellen. Typt een inwoner persoonsgegevens in, dan anonimiseert vragen.ai die standaard binnen een uur. Gesprekken verdwijnen na twaalf maanden, en die termijn stel je zelf in.

2. Het algoritmeregister, en of het moet

Het algoritmeregister is een openbare lijst waarin overheden laten zien welke algoritmes ze gebruiken en waarvoor. Registreren is niet verplicht, maar het kabinet wil wel dat overheden hun algoritmes met veel impact of een hoog risico erin zetten. Een wet komt er voorlopig niet: de staatssecretaris vond die in september 2025 "niet opportuun", oftewel nu niet nodig. De Autoriteit Persoonsgegevens pleit er juist wel voor.

Gemeenten gaan daar verschillend mee om. Digimonitor onderzocht 39 gemeentelijke chatbots en keek ook of ze in het register staan. Dat gold voor veertien van de 39, en de andere vijfentwintig overtreden dus niets.

Toch raden we je aan om te registreren. Het is een formulier invullen, geen project, en inwoners kunnen dan zelf nalezen wat er met hun vraag gebeurt. Komt de plicht er ooit, dan ben je al klaar. Kies je bewust van niet, schrijf dan op waarom, want een raadslid kan daar later naar vragen. De gegevens voor de invulvelden leveren wij aan.

3. Mensenrechten: het IAMA en het VNG-kader

Naast privacy gaat het om grondrechten, zoals het recht op gelijke behandeling. Daarvoor is er het Impact Assessment Mensenrechten en Algoritmes (IAMA): een hulpmiddel waarmee je nagaat of een algoritme die rechten raakt. Het is in februari 2026 geactualiseerd en sluit nu aan op artikel 27 van de AI-verordening, de beoordeling van gevolgen voor grondrechten. Voor een informerende zoekfunctie is het volledige IAMA vaak te zwaar en is een lichtere afweging genoeg. Leg wel vast hoe je die hebt gemaakt.

Werk je bij een gemeente, dan kom je ook het VNG AI Governancekader tegen. Dat is een handreiking van de VNG met stappen en rollen voor het verantwoord inzetten van AI. Het is bedoeld voor de gemeente zelf en niet als keurmerk voor leveranciers, dus een leverancier kan er niet "aan voldoen". Zegt een leverancier van wel, vraag dan waar dat op steunt. Wij leveren wel de informatie aan waarmee jij die stappen doorloopt.

4. Toegankelijkheid, en hoe je het test

Bij deze stap valt de meeste winst te halen. Digimonitor toetste dezelfde 39 gemeentelijke chatbots op 29 meetpunten voor toegankelijkheid. Geen enkele voldeed aan de eisen.

Voor een gemeente telt dat dubbel. In je toegankelijkheidsverklaring staat dat je site aan de eisen werkt. Een widget die je niet met een toetsenbord kunt bedienen, zet daar een streep door. Daar komt artikel 50 lid 5 bovenop: de melding dat de bezoeker met AI praat, moet ook aan de toegankelijkheidseisen voldoen. Een grijs regeltje in een plaatje leest een schermlezer niet voor.

Test dit voordat je live gaat: pak het toetsenbord erbij en probeer het zelf. Wat wij aan onze eigen widget hebben gedaan, staat in de WCAG-updates. Pas je zelf de vormgeving aan, dan ben je ook zelf verantwoordelijk voor de toegankelijkheid daarvan.

5. De inkoop, zonder Europese aanbesteding

Voor diensten ligt de Europese drempel voor gemeenten in 2026 en 2027 op 216.000 euro. Een abonnement op een AI-zoekfunctie blijft daar ver onder, dus Europees aanbesteden hoeft niet. Je eigen inkoopbeleid bepaalt de route. Meestal vraag je dan één of een paar leveranciers om een offerte: een enkelvoudige of meervoudig onderhandse opdracht.

Inkoop en je informatiebeveiliger willen wel vier documenten zien: een verwerkersovereenkomst, de certificeringen, de subverwerkerslijst en de uitkomst van een pentest, een beveiligingstest door een externe partij. Die staan klaar op de pagina over veiligheid. Loopt je website via een samenwerkingsverband, dan koop je samen met de andere gemeenten in.

Wat je nu kunt nalopen

• Weet je of het systeem alleen informeert, of ook beoordeelt of iemand recht heeft op iets? Dat bepaalt je risicocategorie.
• Staat de rechtsgrond vastgelegd als uitvoering van een publieke taak?
• Heb je de bewaartermijn van gestelde vragen bewust gezet, en de anonimisering aan?
• Is je afweging over het algoritmeregister opgeschreven, ook als je besluit niet te registreren?
• Werkt de widget met alleen een toetsenbord, en is de AI-melding voorleesbare tekst?
• Weet je wie de AI-kennis regelt van de medewerkers die de antwoorden bijsturen?
• Is duidelijk hoe een inwoner een mens bereikt als het antwoord er niet is?

Hoe wij hier bij vragen.ai naar kijken

De rolverdeling is eenvoudiger dan die stapel documenten doet vermoeden. In AVG-termen ben jij verwerkingsverantwoordelijke: jij bepaalt waarvoor de gegevens dienen. Daarom zijn de DPIA, de registratie en de afwegingen van jou. Wij zijn verwerker: we voeren het werk uit en leveren de feiten die erin moeten.

Daar hoort één grens bij. We houden vragen.ai bewust aan de informerende kant: het geeft antwoord uit jouw eigen content, wijst aan waar het gevonden is en verwijst door naar een medewerker als het antwoord er niet staat. Laat je een systeem beoordelen of een inwoner ergens recht op heeft, dan valt het onder hoog risico. Dat is een groter project, met de regels die daarbij horen, en daarover kun je altijd met ons sparren.

Wil je zien hoe dat er bij jullie uitziet? Maak een demo aan. Die is gratis en leest jullie eigen website in.

Korte antwoorden

Moet een gemeentelijke AI-chatbot in het algoritmeregister?

Nee. Het kabinet wil wel dat algoritmes met veel impact of een hoog risico erin staan, maar een wettelijke plicht is er niet. De staatssecretaris vond die in september 2025 nu niet nodig. Van de 39 gemeentelijke chatbots in het Digimonitor-onderzoek staat bij veertien een link naar het register. Registreren is ons advies, ook als het niet hoeft.

Is een DPIA verplicht voor een AI-zoekfunctie?

Dat beoordeel je samen met je functionaris gegevensbescherming. Een DPIA moet bij een hoog privacyrisico (artikel 35 AVG). Bij AI in contact met inwoners is dat vaak zo, omdat het om nieuwe technologie gaat en de verhouding tussen gemeente en inwoner ongelijk is. Veel gemeenten doen er daarom een. De DPIA blijft het werk van de verwerkingsverantwoordelijke.

Geldt het uitstel van de AI-verordening ook voor onze zoekfunctie?

Nee. Verordening (EU) 2026/1744 schoof de hoog-risico-verplichtingen op naar 2 december 2027 en 2 augustus 2028, en daar zit een informerende zoekfunctie niet in. Artikel 50 geldt sinds 2 augustus 2026, artikel 4 sinds 2 februari 2025.

Is een AI-zoekfunctie een hoog-risico-AI-systeem?

Niet zolang het systeem informeert en doorverwijst. Hoog risico gaat onder meer over het geautomatiseerd beoordelen of iemand recht heeft op een uitkering, subsidie of voorziening. Het onderscheid zit in de taak die je het systeem geeft.

Moeten we een AI-zoekfunctie Europees aanbesteden?

Nee. De drempel voor diensten bij decentrale overheden staat voor 2026 en 2027 op 216.000 euro, en een abonnement zit daar ruim onder. Loopt je website via een samenwerkingsverband, dan koop je samen met de andere gemeenten in.