Algoritmeregister: wat gemeenten van leveranciers moeten vragen

Key takeaways

✓Registratie in het Nationaal Algoritmeregister is voor gemeenten en provincies in 2026 nog vrijwillig; voor Rijk en uitvoeringsorganisaties geldt sinds 2024 al een actieve registratieplicht voor hoog-risico-algoritmes.
✓De richting is duidelijk: het ministerie van BZK bevestigt dat registratie van impactvolle algoritmes uiteindelijk wettelijk verplicht wordt, mogelijk via de Uitvoeringswet AI-verordening.
✓De gemeente blijft juridisch verantwoordelijk voor transparantie en documentatie, ook wanneer een leverancier het algoritme heeft gebouwd en beheert.
✓Vroeg beginnen met inventarisatie en het vastleggen van leveranciersafspraken bespaart een crisisachtige inhaalslag zodra de registratieplicht ingaat.

Kernpunten

Verplicht of vrijwillig? De huidige stand van zaken

Het Nationaal Algoritmeregister (algoritmes.overheid.nl) is bedoeld voor de gehele overheid: ministeries, uitvoeringsorganisaties, ZBO's, en decentrale overheden zoals gemeenten, provincies en waterschappen. Voor Rijk en uitvoeringsorganisaties geldt sinds 2024 al een actieve registratieverplichting voor hoog-risico-algoritmes. Voor gemeenten en provincies is registratie in 2026 nog vrijwillig — maar niet vrijblijvend.

Het ministerie van Binnenlandse Zaken heeft bevestigd dat registratie van impactvolle algoritmes uiteindelijk wettelijk verplicht wordt, mogelijk via de Uitvoeringswet AI-verordening. De VNG werkt aan een handreiking specifiek voor gemeenten om deze overgang te ondersteunen.

Ondertussen gelden via de AVG al concrete verplichtingen die in de praktijk op hetzelfde neerkomen: bij algoritmische verwerking van persoonsgegevens met grote gevolgen voor burgers moet de gemeente de verwerking rechtmatig, behoorlijk en transparant kunnen onderbouwen, en is bij hoog privacyrisico een DPIA verplicht.

Het probleem: algoritmes verstopt in leverancierssoftware

De meeste gemeentelijke algoritmes zitten niet in eigen-gebouwde systemen, maar verborgen in software van leveranciers — een vergunningensysteem met geautomatiseerde risicoscoring, een fraudedetectiemodule in een sociale-zekerheidsapplicatie, een chatbot met besluitondersteuning. De gemeente blijft juridisch en bestuurlijk verantwoordelijk voor het gebruik, ook als de leverancier het systeem heeft gebouwd en beheert.

Dat betekent: als u niet expliciet in het contract vastlegt welke documentatie de leverancier aanlevert, staat u bij registratie — vrijwillig nu, verplicht straks — met lege handen.

Wat u nu al bij uw leverancier moet opvragen

De publicatiestandaard van het Algoritmeregister vraagt per algoritme minimaal om de volgende velden. Vraag uw leverancier deze informatie contractueel vast te leggen, ook als u nog niet publiceert:

Naam en korte beschrijving van het algoritme en waar het voor wordt gebruikt.
Doel: welk probleem het algoritme oplost en in welk proces het past.
Type: rule-based, machine learning, of een combinatie.
Leverancier: naam van de externe partij, of "intern ontwikkeld" indien van toepassing.
Beslissing of advies: neemt het algoritme een besluit, of ondersteunt het een medewerker die het besluit neemt?
Gebruikte gegevens: welke gegevens het algoritme verwerkt, inclusief persoonsgegevens.
Risicobeheer en menselijke tussenkomst: hoe wordt toezicht georganiseerd, en wie kan ingrijpen?

Voor AI-systemen die onder de AI Act als hoog-risico classificeren, komt daar de verplichting bovenop dat de leverancier een deel van de technische documentatie (Bijlage IV van de AI-verordening) aanlevert — die de gemeente vervolgens moet aanvullen met contextuele informatie over de eigen inzet, omdat de leverancier de specifieke gebruikscontext niet kent.

Praktische aanpak

Inventariseer: breng in kaart welke systemen bij uw gemeente geautomatiseerde besluitvorming of -ondersteuning bevatten, inclusief SaaS-tools en leverancierssoftware — niet alleen intern gebouwde algoritmes.
Neem transparantie-eisen op in inkoopvoorwaarden: nieuwe en verlengde contracten met AI-leveranciers moeten expliciet de aanlevering van bovenstaande velden en (waar van toepassing) technische documentatie regelen.
Wijs een eigenaar aan: één verantwoordelijke per algoritme die de documentatie actueel houdt en aanspreekpunt is voor zowel interne compliance als het register.
Publiceer waar mogelijk, ook vrijwillig: gemeenten die nu al publiceren, lopen voor op de verplichting en bouwen tegelijk vertrouwen op bij inwoners en toezichthouders.
Koppel aan uw BIO2- en AI Act-trajecten: de documentatie die u voor het Algoritmeregister verzamelt, overlapt grotendeels met wat u toch al nodig heeft voor BIO2-risicoanalyses en AI Act-classificatie — doe het gecombineerd, niet drie keer apart.

Hoe NeuroCluster dit ondersteunt

Omdat NeuroCluster elke agentactie, elk modelgebruik en elke menselijke goedkeuring deterministisch vastlegt, is het merendeel van de Algoritmeregister-velden — doel, type, gebruikte gegevens, menselijke tussenkomst, risicobeheer — een export uit het platform, niet een handmatige reconstructie achteraf. Dat maakt registratie (vrijwillig nu, verplicht straks) een kwestie van rapportage, niet van een nieuw documentatietraject.

Zie ook onze BIO2-checklist voor overheidsorganisaties en de pagina AI voor gemeenten voor hoe dit samenkomt in de praktijk.

Veelgestelde vragen

Frequently asked questions

Moeten gemeenten nu al hun algoritmes registreren?+

Nee, registratie in het Nationaal Algoritmeregister is voor gemeenten en provincies in 2026 nog vrijwillig. Voor Rijk en uitvoeringsorganisaties geldt sinds 2024 al een actieve registratieplicht voor hoog-risico-algoritmes. Het ministerie van BZK heeft aangegeven dat een brede wettelijke verplichting eraan komt.

Wie is verantwoordelijk als het algoritme door een leverancier is gebouwd?+

De gemeente blijft juridisch en bestuurlijk verantwoordelijk voor het gebruik van het algoritme, ook als een externe leverancier het systeem heeft gebouwd en beheert. Dit vereist duidelijke contractuele afspraken over documentatie en periodieke beoordeling.

Welke informatie moet minimaal per algoritme worden vastgelegd?+

De publicatiestandaard vraagt onder meer om naam en beschrijving, doel, type (rule-based of machine learning), leverancier, of het algoritme een besluit neemt of ondersteunt, welke gegevens worden gebruikt, en hoe risicobeheer en menselijke tussenkomst zijn georganiseerd.

Hoe verhoudt dit zich tot de EU AI Act?+

Voor AI-systemen die als hoog-risico classificeren onder de AI Act, moet de leverancier een deel van de technische documentatie (Bijlage IV) aanleveren, die de gemeente aanvult met informatie over de specifieke gebruikscontext. Deze documentatie overlapt grotendeels met wat het Algoritmeregister vraagt.