AI-toezicht van de AP staat in de steigers terwijl de AI-verordening al geldt

Op 8 oktober 2026 is binnen de Autoriteit Persoonsgegevens (AP) de directie Toezicht en Coördinatie AI/Algoritmes (TCA) van start gegaan, zo staat in de AP-publicatie Toezicht en coördinatie op AI en algoritmes bij de AP. De directie bereidt het toekomstige markttoezicht op de AI-verordening voor. Tegelijk meldt de AP zelf dat zij nog niet als markttoezichthouder is aangewezen en die bevoegdheden pas krijgt wanneer de Nederlandse Uitvoeringswet AI-verordening in werking treedt. De verplichtingen uit de AI-verordening gelden intussen al, omdat een Europese verordening rechtstreeks werkt. Nederland heeft dus AI-regels zonder aangewezen handhaver. Wij lezen de start van TCA als een teken dat deze tussenperiode niet vrijblijvend is: de AP bouwt nu de maatstaf op waaraan zij organisaties straks toetst.

Wat de nieuwe AP-directie gaat doen

TCA volgt de Directie Coördinatie Algoritmes op, waarmee de AP sinds 2023 het coördinerende toezicht op algoritmes en AI uitvoert. De directie bestaat uit twee afdelingen. De afdeling AI/Algoritmes Risicoanalyse & Coördinatie (ARC) volgt de impact van AI en algoritmes op mensen, grondrechten en samenleving, met bijzondere aandacht voor algoritmeregisters, auditkaders en de toetsing van risicoselectie-instrumenten op discriminatie en nauwkeurigheid. De afdeling Markttoezicht AI (MTA) bouwt de technische kennis op om AI-systemen te onderzoeken en te testen. Voor het testen van zogeheten frontier-modellen, de meest geavanceerde AI-modellen op de markt, werkt de AP samen met het Europese AI Office. Met de Rijksinspectie Digitale Infrastructuur (RDI) zet de AP daarnaast een AI-sandbox en een gezamenlijk AI Coördinatiecentrum op.

Opvallend is de plaats van dit toezicht binnen de AP. Volgens de brochure wordt het AI-toezicht zelfstandig en nevengeschikt aan het AVG-toezicht ingericht. Die keuze maakte het kabinet al in het conceptwetsvoorstel, met een eigen aanspreekpunt voor de AI-verordening in het bestuur van de AP.

Uitvoeringswet AI-verordening is ruim een jaar over tijd

De AI-verordening verplichtte lidstaten om uiterlijk 2 augustus 2025 hun toezichthouders aan te wijzen. Die termijn is verstreken, erkent de AP. Het kabinet bracht het wetsvoorstel op 20 april 2026 in internetconsultatie, die liep tot 1 juni 2026. Het voorstel verdeelt het toezicht over tien toezichthouders. De AP krijgt daarin de verboden AI-praktijken uit artikel 5, de transparantieverplichtingen uit artikel 50 en een groot deel van de hoog-risicotoepassingen uit bijlage III, zoals AI bij werving en selectie, onderwijs en rechtshandhaving. De RDI wordt het centrale contactpunt. Ook de rechtspraak krijgt een rol: in het concept is de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State aangewezen als markttoezichtautoriteit voor hoog-risicosystemen die voor die Afdeling worden ontwikkeld of gebruikt. In april zetten wij al op een rij wat het wetsvoorstel nationaal regelt.

Het kabinet hield er bij de consultatie al rekening mee dat de wet later in werking treedt dan de verordening voorschrijft. Op 9 oktober 2026 meldde de AP dat er nog aan de uitvoeringswet wordt gewerkt en dat over haar aanwijzing, bevoegdheden en financiering nog op verschillende niveaus gesprekken lopen. Wanneer de wet bij de Tweede Kamer ligt, is daarmee onzeker.

Welke AI-regels nu al gelden

De uitvoeringswet regelt het toezicht. De materiële normen staan in de verordening zelf. Volgens artikel 113 van de AI-verordening gelden de verboden AI-praktijken en de plicht tot AI-geletterdheid sinds 2 februari 2025. De meeste transparantieverplichtingen uit artikel 50 gelden sinds 2 augustus 2026, waaronder de plicht om duidelijk te maken dat iemand met een AI-systeem communiceert.

De digitale omnibus inzake AI, Verordening (EU) 2026/1744, heeft dat schema deels verschoven. Die verordening geldt sinds 27 juli 2026. Zelfstandige hoog-risicosystemen uit bijlage III hoeven pas vanaf 2 december 2027 aan de eisen te voldoen. Tegelijk voegt de omnibus per 2 december 2026 een verbod toe op AI-systemen die materiaal van seksueel kindermisbruik genereren of zonder toestemming intieme beelden van herkenbare personen maken. Artikel 4 over AI-geletterdheid is herschreven: organisaties moeten maatregelen blijven nemen, maar hoeven geen bepaald niveau per persoon te garanderen.

Onze lezing: de AP bouwt nu aan de maatstaf van later

Zonder aanwijzing kan de AP de AI-verordening niet handhaven. Een vrije ruimte levert dat in onze ogen niet op. De AP houdt vanuit de AVG al jaren toezicht op AI die persoonsgegevens verwerkt, en die bevoegdheid hangt niet af van de uitvoeringswet. Wie AI inzet voor werving of risicoselectie, kan vandaag dus al met de AP te maken krijgen.

Daarnaast beschrijft de AP in haar brochure voorlichting als een zelfstandig toezichtsinstrument. Handreikingen, bijeenkomsten en metingen die zij nu uitbrengt, worden daarmee de normen waaraan zij organisaties na haar aanwijzing houdt. Wij verwachten weinig begrip van een toezichthouder voor organisaties die die handreikingen hebben laten liggen.

Het toekomstige toezicht leunt bovendien sterk op documentatie. Aanbieders beoordelen volgens de AP grotendeels zelf of zij voldoen; de AP controleert dat door documentatie en logbestanden op te vragen, systemen te testen en incidenten te onderzoeken. Op Europees niveau is die aanpak al zichtbaar, nu de Europese Commissie ruim dertig AI-aanbieders een informatieverzoek stuurde. Wie pas na de aanwijzing begint met vastleggen, moet achteraf reconstrueren wat er in de tussentijd is gebeurd.

Een laatste punt is de dubbele rol van de AP. Omdat AI-toezicht en AVG-toezicht nevengeschikt worden ingericht, kan één toepassing straks twee afzonderlijke toetsingen bij dezelfde toezichthouder krijgen. De brochure noemt het AVG-toezicht binnen de AI-verordening een vorm van grondrechtentoezicht en belooft onderlinge afstemming. Hoe dat in een concreet onderzoek uitpakt, is nog niet bekend.

Aandachtspunten voor organisaties die AI inzetten of erover adviseren

Begin met een overzicht van de AI-systemen in de organisatie, inclusief AI-functies die in bestaande software zijn ingebouwd. Toets per systeem of het onder een verbod van artikel 5 valt en welke transparantieplicht uit artikel 50 geldt. Een chatbot op de eigen website moet bijvoorbeeld duidelijk maken dat de bezoeker met AI communiceert.

Leg vast wat je doet aan AI-geletterdheid, per rol en per toepassing. Na de omnibus vraagt artikel 4 aantoonbare maatregelen, geen gegarandeerd kennisniveau per medewerker.

Vraag leveranciers nu om de stukken die een toezichthouder straks kan opvragen, zoals de technische beschrijving, de logging en de manier waarop AI-output wordt gemarkeerd. Neem in contracten op dat je die stukken krijgt en dat de leverancier meewerkt aan een onderzoek door een toezichthouder.

Wie adviseert over generatieve beeld- of videotools, controleert vóór 2 december 2026 of die tools waarborgen hebben tegen het maken van intieme beelden zonder toestemming.

Stem de AVG-documentatie af op de AI-documentatie. Bepaalde gebruikers van hoog-risico-AI moeten op grond van artikel 27 een grondrechteneffectbeoordeling (FRIA) maken, en lid 4 van dat artikel bepaalt dat die beoordeling een bestaande DPIA aanvult. De AP voert met organisaties een FRIA-pilot uit. Deelname levert praktijkkennis op ruim voordat de verplichting in december 2027 gaat gelden.

Organisaties die zelf AI ontwikkelen, houden de sandbox van AP en RDI in de gaten. Daar kunnen zij vooraf met de toezichthouders vaststellen wat de verordening van hun systeem vraagt.