Algoritmetoezichthouder is van start, maar er is nog veel onduidelijkheid

De Nederlandse algoritmetoezichthouder is officieel van start gegaan. Vanaf maandag heeft de Autoriteit Persoonsgegevens een nieuwe afdeling die toezicht gaat houden op de werking en uitkomsten van algoritmes. Veel daarover is echter nog onduidelijk.

De officiële opening van de algoritmetoezichthouder werd in Den Haag afgetrapt door minister Franc Weerwind van Rechtsbescherming en staatssecretaris Alexandra van Huffelen van Digitalisering. Met de nieuwe toezichthouder krijgt de Autoriteit Persoonsgegevens meer mogelijkheden en bevoegdheden om toezicht te houden op algoritmes die zowel door Nederlandse overheidsinstellingen als door internationale bedrijven worden ingezet. De toezichthouder gaat onder andere kijken naar welke algoritmes zij inzetten om bijvoorbeeld geautomatiseerd besluiten te nemen.

Interne constructie

Maar hoe die toezichthouder er in de praktijk uit komt te zien en waar die als eerste mee aan de slag gaat, blijft nog vaag. Ook AP-voorzitter Aleid Wolfsen vindt het lastig om dat uit te leggen. “In zakelijke termen is de Autoriteit Persoonsgegevens een rechtspersoon die nu een directie van drie personen heeft, waaronder ikzelf. Daar komt nu een nieuwe directie bij”, legt hij uit aan Tweakers. Die directie komt volgens hem te bestaan uit ‘zo’n tien tot vijftien mensen’. Dat zijn deels nieuwe werknemers; Wolfsen heeft er bijvoorbeeld een technoloog en een jurist voor aangenomen. Daarnaast zijn er mensen die intern hebben gesolliciteerd. De algoritmetoezichthouder lijkt dan ook grotendeels een interne verschuiving van menskracht te zijn. Hoeveel dat er zijn, is nog niet helemaal duidelijk. Ook blijft vaag of werknemers nu exclusief aan dit algoritmetoezicht gaan werken, of ook aan andere handhaving, en in welke mate dat moet gaan gebeuren. Er is, kortom, nog veel onduidelijk over het werk van de toezichthouder.

Takenpakket en veel wetten

Dat is ook te zien aan het takenpakket. Dat gaat veel kanten op. Aan de ene kant moet de toezichthouder gaan kijken naar algoritmes die persoonsgegevens gebruiken, maar dat is nu al een taak van de AP. Het is ook de reden dat Wolfsen eerder al tegen een aparte algoritmetoezichthouder pleitte. De toezichthouder moet ook gaan kijken naar algoritmes van bijvoorbeeld techbedrijven als Google. Er moet worden gekeken of die wel transparant zijn en voldoen aan bepaalde mensenrechteneisen. Die taak komt echter ook grotendeels bij Europa te liggen. De EU wil met wetten zoals de Digital Services Act, de Digital Markets Act en de AI Act transparantie afdwingen bij techgiganten. Daar gaat de Nederlandse waakhond ook een rol in spelen, maar daarvoor is het dan weer te vroeg om er veel over te zeggen.

Coördineren

De belangrijkste rol voor de AP, zegt Wolfsen, is een coördinerende. Hij geeft een voorbeeld over de Algemene Rekenkamer, dat ook zelf al overheidsalgoritmes onderzoekt. Ook andere instanties, zoals de Autoriteit Consument & Markt, de Autoriteit Financiële Markten of het College voor de rechten van de mens, hebben allemaal hun eigen onderzoeken naar algoritmes die soms wel, maar soms ook geen persoonsgegevens bevatten. Daar gaat de AP als eerste mee aan de gang. “Ons eerste actiepunt is om samen te werken met andere toezichthouders”, zegt Wolfsen. Dat betekent dat in ieder onderzoek het bestuur onder de AP de leiding krijgt.

De grote vragen die blijven hangen rondom de toezichthouder, zijn die van zowel het budget als de effectiviteit. Wolfsen hinkt op twee gedachten. “We krijgen extra geld van de overheid om dit op te zetten”, zegt hij. “Dit moet een feestelijke dag zijn. Ik bedank nu ook de minister en Kamerleden die hier zitten voor het extra budget.” Tussen de regels door blijkt echter al snel dat dat budget verre van toereikend is. De AP krijgt in 2023 een miljoen euro extra budget. Binnen vier jaar groeit dat door naar vier miljoen, op een totaalbudget van 34 miljoen euro in 2023. Ondertussen kan de AP het huidige werk niet aan. Wolfsen pleitte tijdens de formatieperiode van het huidige kabinet voor een budget van honderd miljoen euro. Wolfsen probeert het glas als halfvol te zien. “We hebben nu 220 mensen in de organisatie en samen met dat extra budget, ook voor de toezichthouder, groeien we door naar 300. Met die vier miljoen kun je heel veel doen.”

Nog geen duidelijk doel

Toen de AVG in 2018 in werking trad, had Wolfsen een duidelijk doel voor ogen. Eerst zou er worden opgestart, waarbij bedrijven eerst de tijd voor overgang zouden krijgen. De eerste wapenfeiten waren ook al duidelijk. Eerst zou de AP gaan onderzoeken of er overal waar dat verplicht was een functionaris gegevensbescherming werkte. De harde hand van boetes volgde pas later, als duidelijk (of in ieder geval duidelijker) was waar de grens lag. Nu is allerminst duidelijk waar de toezichthouder mee begint. Eerst moet er in kaart worden gebracht waar algoritmes worden gebruikt.

Wolfsen kan nog niet zeggen waar de algoritmetoezichthouder als eerste mee aan de slag gaatWolfsen durft alleen niet te zeggen waar de organisatie het eerst gaat kijken. Is het de zorg? De Rijksoverheid? Gemeenten? Het is nog niet bekend. Wel zegt hij dat er twee manieren zijn om algoritmes op te sporen. “We kunnen dat doen op basis van meldingen, of ambtshalve.” In dat laatste geval kan de AP een onderzoek opstarten op eigen initiatief, bijvoorbeeld na berichten in de media of bij vermoedens. Dat mag de toezichthouder nu al als het AVG-overtredingen moet bekeuren, maar onlangs gaf de waakhond toe amper uit eigen initiatief onderzoeken te starten. “Nu we serieus meer geld krijgen voor deze toezichthouder, hebben we meer mogelijkheden om ambtshalve onderzoek te doen”, denkt Wolfsen.

Normeren

Een tweede stap die Wolfsen nu direct wil nemen, is ‘normering’. Dat betekent dat er bepaalde normen moeten worden bepaald over wat een algoritme in de eerste plaats is, maar ook aan welke eisen het moet voldoen. Voor de AVG is dat ook nodig. Die wet staat vol begrippen die, door gerechtelijke uitspraken en boetebesluiten, langzaam maar zeker worden gespecificeerd. Bij algoritmes is er echter nog geen achterliggende wet of verordening zoals dat bij de AVG wel het geval is. Waar moet de AP dan naar gaan kijken?

“Er zijn nu al wetten waar we naar kunnen kijken”, zegt staatssecretaris Alexandra van Huffelen. Nu is er nog geen expliciete wet, al komt er in de toekomst de Europese AI Act aan die ook Nederland verplichtingen over algoritmetoezicht oplegt. Van Huffelen bedoelt met name wetten zoals de AVG. Dat is opvallend, omdat de AP daar nu dus al naar kijkt. Sterker nog, jaren geleden zei Aleid Wolfsen al tegen Tweakers: “Toezicht op algoritmes behoort bij onze prioriteiten. Als een algoritme persoonsgegevens verwerkt, dan is daar al een toezichthouder voor, namelijk wij. We concluderen, samen met de politiek, dat deze taak prima bij de AP kan liggen, ondanks de onderbezetting. Er hoeft dus geen nieuwe toezichthouder voor te komen, maar je moet de bestaande toezichthouder wel meer geld geven.”

Politieke invloed

Een algoritmetoezichthouder is een grote wens van de Tweede KamerDe algoritmetoezichthouder is dus geen aparte waakhond, maar valt onder de leiding van een bestaande, politiek onafhankelijke AP. Daarmee lijkt het alsof de Nederlandse overheid tegen een bestaande toezichthouder heeft gezegd dat het zich meer op dit specifieke onderwerp moet richten, maar dan verpakt in een organisatorische omweg. Dat ontkent Wolfsen. “Dit is juist een combinatie van twee gedachten. Een nieuwe toezichthouder leek ons erg onverstandig. Dan krijg je nog meer versnippering. Je wil juist de bestaande versterken; dat gebeurt nu.”

Tegelijkertijd, geeft hij toe, is er natuurlijk wel enige politieke invloed geweest. “In het coalitieakkoord is opgenomen dat er een toezichthouder moest komen. Dat is een reactie vanuit de Tweede Kamer geweest over het toeslagenschandaal. De bewustwording daarover heeft de Kamer benoemd en ons opgedragen. Dus we blijven onafhankelijk, maar er komt wel extra geld voor die specifieke taak.”