AP start directie TCA voor AI-toezicht

U moet per AI-systeem vastleggen welke toezichthouder bevoegd is, welke persoonsgegevens en grondrechten op het spel staan, wie het systeem controleert, en welke risico's zijn afgewogen — ongeacht of de formele handhavingsbevoegdheden al definitief zijn vastgesteld.

Een analyse van 9 oktober 2026 van het Nederlandse AI-toezichtmodel en de rol van de Autoriteit Persoonsgegevens stelt dat de Autoriteit Persoonsgegevens de directie Toezicht en Coördinatie AI/Algoritmes (TCA) heeft ingesteld, die het coördinerende toezicht voortzet en markttoezicht voorbereidt. De AP is beoogd markttoezichthouder onder de Europese AI-verordening, maar beschikt nog niet over de formele handhavingsbevoegdheden; die volgen pas met de Uitvoeringswet AI-verordening. In onze inschatting betekent dit dat u nu moet beginnen met documentatie, omdat de toezichtdruk oploopt terwijl de formele bevoegdheden nog niet definitief zijn vastgesteld, en omdat de AP in het Nederlandse model een coördinerende rol krijgt en voor bepaalde toezichtgebieden als markttoezichthouder wordt voorgesteld.

Wat verandert er in de toezichtstructuur?

De oprichting van TCA verankert het AI-toezicht organisatorisch in een vaste directie in plaats van een voorbereidende coördinatierol. Dit biedt naar verwachting een duidelijker aanspreekpunt voor organisaties die hun AI-gebruik moeten verantwoorden. De directie werkt samen met de Rijksinspectie Digitale Infrastructuur (RDI) aan de AI-sandbox en een gezamenlijk AI Coördinatiecentrum. Het Nederlandse toezichtmodel is echter meerlagig en nog in opbouw: de definitieve bevoegdheidsverdeling hangt af van de vaststelling en inwerkingtreding van de Uitvoeringswet AI-verordening en de formele aanwijzing van toezichthouders binnen dat wettelijke kader. Dit betekent dat u niet op één loket aangewezen bent, maar dat meerdere toezichthouders samenwerken.

Welke risico's moet u nu al documenteren?

De AP blijft toezichthouder op de verwerking van persoonsgegevens door algoritmes en AI. Organisaties die AI met persoonsgegevens inzetten, lopen daarom al bestaand handhavingsrisico onder het bestaande toezicht. Daarnaast richt het coördinerende toezicht van de AP zich op fundamentele waarden en grondrechten. U moet vóór ingebruikname vastleggen welke persoonsgegevens en grondrechten op het spel staan, welke rechtsgrond geldt, en hoe menselijke controle is ingeregeld.

De volgende risico's en foutmodi vragen om documentatie:

• Ongeautoriseerde verwerking van persoonsgegevens — AI-systemen die persoonsgegevens gebruiken zonder duidelijke rechtsgrond of toestemming.
• Afwezige menselijke tussenkomst — geautomatiseerde beslissingen zonder adequate menselijke controle of mogelijkheid tot beroep.
• Onvoldoende transparantie over doel en werking — gebruikers en betrokkenen die niet kunnen begrijpen hoe het systeem werkt of waarom een beslissing is genomen.
• Risico's voor grondrechten — AI-systemen die discriminatie, privacy-inbreuk of andere schending van fundamentele rechten kunnen veroorzaken.
• Onvoldoende validatie en monitoring — systemen die zonder aantoonbare tests of voortdurende controle in productie gaan.

Welke controles moet u nu kunnen aantonen?

U moet een dossier per AI-systeem opbouwen dat later aan een toezichthouder of coördinerende instantie kan worden getoond. Dit dossier is bruikbaar ongeacht welke toezichthouder uiteindelijk bevoegd wordt, omdat de AP in het voorgenomen model een coördinerende rol krijgt en voor bepaalde toezichtgebieden als markttoezichthouder wordt voorgesteld.

U moet kunnen aantonen dat u het volgende hebt vastgelegd:

1. Identificeer de eigenaar en toezichthouder per systeem — wijs aan wie verantwoordelijk is voor elk AI-systeem en welke toezichthoudende of coördinerende rol relevant is.
2. Documenteer doel, data en rechtsgrond — leg vast welke persoonsgegevens het systeem verwerkt, voor welk doel, en op welke rechtsgrond.
3. Beschrijf menselijke controle en escalatie — toon hoe mensen het systeem controleren, hoe fouten worden opgemerkt, en hoe escalatie plaatsvindt.
4. Voer validatie en risicoafweging uit — test het systeem op bias, nauwkeurigheid en effecten op grondrechten, en leg de resultaten vast.
5. Registreer incidenten en wijzigingen — houd bij welke problemen zijn opgetreden, hoe ze zijn opgelost, en welke updates zijn doorgevoerd.

Kan de AI-sandbox uw voorbereiding versnellen?

De AP en RDI werken samen aan de inrichting van een AI-sandbox waarin organisaties toepassingen binnen een begeleid toezichtskader kunnen beproeven. Teams die aan hoogrisico-AI werken, moeten nu beoordelen of deelname aan die sandbox hun validatie en documentatie kan versnellen zodra de inrichting en toegactess daarvoor zijn vastgesteld. Dit kan een route bieden om eerder duidelijkheid te krijgen over toezichtsverwachtingen.

Waarom nu al beginnen als de bevoegdheden nog niet definitief zijn?

Het is verleidelijk om voorbereiding uit te stellen totdat de Uitvoeringswet AI-verordening van kracht wordt. Dit is een fout. De AP zal naar verwachting een duidelijker aanspreekpunt bieden en de verwachting versterken dat organisaties hun AI-gebruik kunnen verantwoorden. CISO's en juristen moeten nu al de incident- en escalatieregistratie voor AI-systemen inrichten, zodat u niet achterloopt op het moment dat de uitvoeringswet van kracht wordt. Toetsbaar bewijs over doel, data en validatie van AI wordt steeds vaker de norm, ongeacht welke toezichthouder uiteindelijk bevoegd wordt.

Tooling kan u helpen bij het bijhouden van systemen, data en incidenten, maar de afweging van risico's voor grondrechten en de beoordeling van adequate menselijke controle blijven uw eigen professionele oordeel. Een bewijsgerichte aanpak maakt die afweging achteraf aantoonbaar.