AI en privacy in het sociaal domein: wat mag wel en wat niet?

"We willen graag met AI aan de slag, maar onze privacy officer zegt dat het niet mag."

Deze zin hoor ik wekelijks. Het is het meest genoemde obstakel in het sociaal domein — en terecht. Je werkt met de meest gevoelige gegevens van cliënten: Wmo-indicaties, jeugdzorgdossiers, schuldhulpverlening. Privacy is geen extraatje, het is het vertrekpunt.

Maar wat nu als ik je vertel dat AVG-proof AI implementeren in het sociaal domein niet alleen mogelijk is, maar ook eenvoudiger dan je denkt? Uit onderzoek van Divosa (2024) onder 38 gemeenten en samenwerkingsverbanden blijkt dat 78% privacy als grootste obstakel ziet — maar slechts 19% twijfelt aan de toegevoegde waarde van AI (Divosa, 2024). De wil is er, de kennis ontbreekt.

Ik ben Vincent van Munster, AI consulent voor het sociaal domein. In dit artikel deel ik een concreet stappenplan om AI te implementeren zonder privacy-schendingen — gebaseerd op 25 jaar ervaring in het sociaal domein en tientallen AVG-proof implementaties.

Waarom privacy het grootste obstakel is (en waarom dat goed is)

Privacy als barrière klinkt negatief, maar het is een gezonde reflex. In het sociaal domein werken we met:

• Wmo-cliëntgegevens (medisch, financieel, sociaal)
• Jeugdzorgdossiers (minderjarigen, bijzondere categorieën)
• Schuldhulpverlening (financieel kwetsbaren)
• Vrijwilligersgegevens (verklaringen omtrent gedrag)

Elke AI-tool die deze data aanraakt, raakt aan de kern van de AVG. Het is goed dat organisaties daar zorgvuldig mee omgaan. Maar zorgvuldigheid betekent niet stilzitten.

Het echte probleem is niet de AVG. Het is dat niemand weet hoe het wél moet.

Uit hetzelfde Divosa-onderzoek blijkt dat 69% van de organisaties aangeeft dat gebrek aan kennis en vaardigheden een obstakel is, en 53% noemt weerstand tegen verandering. Privacy wordt daarbij als argument gebruikt — niet uit kwade wil, maar uit onzekerheid.

Stappenplan: AVG-proof AI in het sociaal domein

Stap 1: Data Protection Impact Assessment (DPIA)

Voordat je ook maar één AI-tool inzet, voer je een DPIA uit. Dit is niet alleen verplicht (AVG, artikel 35), het dwingt je om gestructureerd na te denken over risico's.

Wat een DPIA voor AI in het sociaal domein moet bevatten:

• Welke persoonsgegevens worden verwerkt?
• Wat is de rechtsgrond? (uitvoering overeenkomst, wettelijke plicht, of expliciete toestemming)
• Wat zijn de risico's voor cliënten? (discriminatie, uitsluiting, profilering)
• Welke maatregelen neem je om die risico's te mitigeren?
• Wie heeft toegang tot de data? (role-based access, logging)

Praktijkvoorbeeld: Bij de implementatie van Iris (AI-assistent voor Wmo-rapportages) heb ik vooraf een DPIA opgesteld. De belangrijkste risico's waren: 1) data-opslag buiten de EU, 2) profilering van cliënten, 3) onterechte beslissingen op basis van AI-output. Alle drie zijn te mitigeren — respectievelijk door Nederlandse hosting, het uitschakelen van profilering-functies, en een menselijke-check-verplichting in het werkproces.

Stap 2: Verwerkersovereenkomst (Processor Agreement)

Elke AI-tool die persoonsgegevens verwerkt, vereist een sluitende verwerkersovereenkomst. Dit is vastgelegd in de AVG (artikel 28). Zonder deze overeenkomst is de verwerking onrechtmatig.

Checklist voor een goede verwerkersovereenkomst voor AI:

• Data blijft binnen de EU (geen US Cloud Act risico)
• Geen doorgifte aan derden voor modeltraining
• Duidelijke instructies over wat de AI wel en niet mag doen met data
• Audit-rechten voor de gemeente/organisatie
• Meldplicht bij datalekken (binnen 72 uur)
• Vernietiging van data na beëindiging van de overeenkomst

Richtlijn: Werk uitsluitend met AI-leveranciers die Nederlandse of Europese hosting garanderen. Geen Amerikaanse cloud-giganten voor cliëntdata in het sociaal domein.

Stap 3: Algoritmeregister registreren

Het Nationaal Algoritmeregister is sinds december 2022 live. Momenteel is registratie nog vrijwillig, maar de EU AI Act (verwacht 2026) maakt het verplicht voor alle overheidsorganisaties.

De stand van zaken (Divosa, 2024):

• Slechts 16% van de gemeenten kent en gebruikt het register
• 78 gemeenten hebben een algoritme geregistreerd
• 35% van de registraties komt uit de 4 grootste steden
• Slechts 5 gemeenten hebben high-risk AI geregistreerd
• In het sociaal domein: vrijwel geen registraties

Dit is een kans. Wie nu al transparant registreert, bouwt vertrouwen en is klaar voor de AI Act. Bovendien: geregistreerde algoritmes worden door Google en andere zoekmachines geïndexeerd, wat bijdraagt aan vindbaarheid.

Stap 4: Data minimalisatie & doelbinding

AI heeft de neiging om zoveel mogelijk data te willen. In het sociaal domein is dat gevaarlijk. Twee principes zijn leidend:

Concreet: Als Iris een Wmo-rapportage opstelt, krijgt de AI alleen de velden die nodig zijn (naam, indicatie, verslaglegging) — niet het complete cliëntdossier. Dit beperkt het risico en maakt de DPIA eenvoudiger.

Stap 5: Menselijke controle inbouwen

AI in het sociaal domein mag nooit volledig geautomatiseerd zijn. De AVG (artikel 22) verbiedt geautomatiseerde besluitvorming met rechtsgevolgen, tenzij er uitzonderingen van toepassing zijn. Maar ook AI-ondersteunde besluitvorming vereist menselijke controle.

Hoe ik dit implementeer:

• AI stelt concept-rapportages op → professional controleert en stuurt bij
• AI signaleert patronen → professional beslist of actie nodig is
• AI stelt beleidsanalyses voor → professional toetst op juistheid
• Altijd: een mens is eindverantwoordelijk

In de pilot bij een welzijnsorganisatie stelde het team zelf de spelregels op: "Wat mag de tool wel en niet doen?", "Wie past de output aan?", "Wanneer evalueren we?" — dat gaf meer vertrouwen dan welke privacy-policy dan ook.

Wat neem je mee

• Privacy is geen blokkade, het is een ontwerpvereiste. Begin met een DPIA, werk met EU-gehoste diensten, en registreer in het algoritmeregister.
• De wil is er, de kennis ontbreekt. 78% noemt privacy als obstakel, maar slechts 19% twijfelt aan de waarde van AI. Investeer in kennis, niet in nog een adviesrapport.
• Menselijke controle is niet onderhandelbaar. AI ondersteunt, maar de professional beslist. Bouw dat vanaf dag één in je proces in.

Ik help gemeenten, welzijnsorganisaties en zorginstellingen bij het AVG-proof implementeren van AI. Mijn tarief is €125-€140 per uur, maximaal 16-24 uur per week. Ik verkoop impact en resultaat, geen uren.

Wil je weten of jouw organisatie klaar is voor AI? Ik doe een gratis verkennend gesprek van 30 minuten — dan weet je snel of en hoe ik kan helpen.

Gerelateerde artikelen

• AI Consulent Sociaal Domein — waarom het sociaal domein een eigen aanpak verdient
• AVG-proof AI in de zorg: compleet stappenplan — voor zorginstellingen
• Impact van AI meten in zorg en welzijn — meet wat het oplevert
• AI-implementeren in non-profits: stappenplan

Dit artikel is geschreven door Vincent van Munster, AI consulent sociaal domein. Met 25+ jaar ervaring in het sociaal domein combineer ik praktijkkennis met hands-on AI-implementatie. Privacy is geen extraatje — het is mijn vertrekpunt.