Algoritmekader, Algoritmeregister en IAMA — de Nederlandse beleidslijn voor algoritmegebruik door de overheid

Drie instrumenten van de rijksoverheid die samen moeten borgen dat de overheid verantwoord met algoritmes en AI omgaat: een online kader dat bestaande wetgeving vertaalt naar concrete vereisten, een publiek register van de algoritmes die de overheid inzet, en een gespreksinstrument om de gevolgen voor grondrechten door te nemen. Geen van drieën is een wet: ze bundelen verplichtingen die elders staan, in de AVG, de Algemene wet bestuursrecht, de Grondwet en de AI-verordening. Voor bedrijven zijn ze alleen indirect van belang, via bestekken en contracten met overheden. Wie ze verwart met de AI-verordening vergist zich in de aard: het kader is beleid, de verordening is recht.

Waarvoor is dit bedoeld

Eén vindplaats waar overheidsorganisaties kunnen zien welke regels gelden bij het ontwikkelen en gebruiken van algoritmes en AI, plus een publiek overzicht van welke algoritmes de overheid daadwerkelijk inzet. Het Algoritmekader vertaalt wetgeving naar vereisten en maatregelen, het Algoritmeregister maakt het gebruik zichtbaar, en het IAMA dwingt een gestructureerd gesprek af over de gevolgen voor mensenrechten.

Voor wie

Bestuursorganen en hun leveranciers. Er is geen omvangsdrempel en geen directe werking richting private partijen: een bedrijf krijgt hiermee te maken zodra het software of AI aan een overheid levert, en dan via het bestek en het contract. Voor de overheid zelf geldt het als vastgesteld beleid, niet als wet.

Wat er niet onder valt

Geen van de drie instrumenten is een wettelijke verplichting. Er is geen zelfstandige sanctie, geen toezichthouder die op het Algoritmekader handhaaft, en geen norm die niet al ergens anders in wet- of regelgeving staat. Private partijen hoeven hun eigen algoritmes niet in het Algoritmeregister te zetten, ook niet als ze voor een overheid werken; registreren doet het bestuursorgaan.

Wat je moet doen

Als leverancier: rekening houden met de vereisten uit het kader als contractuele eis, en met de kans dat de afnemer een IAMA uitvoert waaraan medewerking wordt gevraagd. Als bestuursorgaan: impactvolle algoritmes en hoog-risico-AI-systemen in het Algoritmeregister publiceren en de vereisten per levenscyclusfase afwerken.

Wat het Algoritmekader bevat

62 vereisten, elk herleid tot bestaande regelgeving: 31 uit de AI-verordening, 13 uit de AVG, 2 uit de Algemene wet bestuursrecht, 2 uit de Grondwet, en verder telkens één uit de Archiefwet, het auteursrecht, de Baseline Informatiebeveiliging Overheid, de Databankenwet, de Wet open overheid en het Algoritmeregister zelf. Bij elke vereiste staan maatregelen, geordend naar levenscyclusfase en naar rol — beleid en advies, jurist, ontwikkelaar, projectleider.

Versie

Versie 2.5, gelanceerd op 24 maart 2026. Dat was vooral een vormgevingsupdate; het kader meldt zelf dat de inhoud niet is gewijzigd.

Algoritmeregister

Op 11 september 2026 stonden er 1.553 registraties in. Het register richt zich op impactvolle algoritmes, waaronder hoog-risico-AI-systemen, en wordt gevuld door gemeenten, waterschappen, uitvoeringsorganisaties en andere bestuursorganen. De grondslag is vastgesteld kabinetsbeleid — onder meer de geactualiseerde Werkagenda Waardengedreven Digitaliseren — en niet een wettelijke bepaling.

IAMA

Het Impact Assessment Mensenrechten en Algoritmes is in 2021 door de Utrecht Data School ontwikkeld in opdracht van het ministerie van Binnenlandse Zaken. Het is een gespreksinstrument, geen afvinklijst, en niet wettelijk verplicht; het kader beveelt het aan bij hoog-risico-AI en impactvolle algoritmes. In februari 2026 is het geactualiseerd, dichter bij de praktijk en bij de AI-verordening gebracht, met een aparte toelichting erbij.

Verhouding tot de AI-verordening

Het Nederlandse register en de Europese registratieplicht zijn twee verschillende dingen. De AI-verordening laat aanbieders van hoog-risico-AI, en overheidsinstanties die zulke systemen gebruiken, registreren in een EU-databank (art. 49 en 71); die plicht gaat pas in op 2 december 2027, nadat de Digital Omnibus de hoog-risico-eisen had doorgeschoven. Ook de grondrechtentoets van artikel 27 van de verordening lijkt op het IAMA maar valt er niet mee samen: artikel 27 schrijft een eigen inhoud voor en verplicht tot melding van de uitkomst aan de markttoezichtautoriteit.

Toezicht NL

Niemand houdt toezicht op het Algoritmekader als zodanig. De Autoriteit Persoonsgegevens vervult de rol van coördinerend algoritmetoezichthouder en bereidt vanuit haar Directie Coördinatie Algoritmes het AI-toezicht voor; handhaving loopt langs de onderliggende wetten, in de praktijk vooral de AVG. Daarnaast onderzoeken de Algemene Rekenkamer en lokale rekenkamers het algoritmegebruik van overheden.

Boete

Geen. Op het niet naleven van het Algoritmekader, het niet registreren in het Algoritmeregister of het overslaan van een IAMA staat geen sanctie. Boetes kunnen alleen volgen uit de onderliggende wetgeving, en voor de AI-verordening pas zodra de Nederlandse uitvoeringswet er is.