Een AIIA (AI Impact Assessment) is een gestructureerde evaluatie om de risico’s en de impact van een AI-systeem te identificeren, te analyseren en te beperken. Voor kantoren die met AI werken gaat dit verder dan alleen privacy: een AIIA kijkt ook naar eerlijkheid, transparantie en de bredere maatschappelijke gevolgen.
Wat betekent AIIA?
De afkorting AIIA staat voor AI Impact Assessment. De term komt uit internationale AI-governance-kaders, met name ISO 42001 en de bijbehorende ISO 42005-standaard voor AI-systeembeoordeling. Ook de OECD hanteert vergelijkbare richtlijnen voor verantwoord AI-gebruik.
Voor Nederlandse kantoren is de term relatief nieuw, maar het onderliggende idee niet: je kijkt vooraf naar wat een AI-systeem kan aanrichten, voordat je het in gebruik neemt.
Waarom voer je een AIIA uit?
Een AIIA helpt je aantonen dat je verantwoord met AI omgaat. Drie redenen maken dit concreet.
Ten eerste toon je accountability: je documenteert bewust hoe je een AI-systeem hebt beoordeeld, in plaats van achteraf te moeten uitleggen waarom je dat niet deed. Ten tweede werk je aan transparantie: cliënten en toezichthouders zien dat je risico’s serieus neemt. Ten derde bouw je vertrouwen op, en dat is precies waar kantoren in kennisintensieve sectoren op leven.
Niet elk AI-systeem vraagt evenveel diepgang. Een AI-tool die tekstsuggesties doet voor een e-mail vraagt minder scrutinie dan een AI-systeem dat meebeslist over kredietverstrekking of aannamebeslissingen. Kies de diepgang van je AIIA proportioneel aan het risico.
Wat onderzoek je in een AIIA?
Een AIIA onderzoekt vijf hoofdpunten: fairness, bias, explainability, privacy en human oversight.
Fairness gaat over de vraag of het systeem iedereen gelijk behandelt. Onbedoelde benadeling van bepaalde groepen op basis van historische data valt onder bias. Bij explainability draait het om de vraag of je kunt uitleggen waarom het systeem een bepaalde uitkomst geeft. Privacy raakt de vraag hoe persoonsgegevens worden verwerkt, ook al is dit deels dubbel met een DPIA. Blijft een mens uiteindelijk in controle over belangrijke beslissingen? Dat is de kern van human oversight.
Een praktisch voorbeeld: een accountantskantoor gebruikt AI om cliënten in risicoprofielen in te delen. De AIIA onderzoekt dan of die indeling eerlijk verloopt, of je kunt uitleggen waarom een cliënt in een bepaalde categorie valt, en of een medewerker die indeling nog kan corrigeren.
AIIA versus DPIA waar verschilt het
Een AIIA verschilt van een DPIA doordat de scope breder is. Een DPIA focust specifiek op privacyrisico’s onder de AVG, terwijl een AIIA de volledige impact van een AI-systeem beoordeelt, met naast privacy ook eerlijkheid, uitlegbaarheid en maatschappelijke gevolgen.
Beide instrumenten overlappen deels. Een AI-systeem dat persoonsgegevens verwerkt, triggert vaak zowel een DPIA als een AIIA. Het verschil zit in de diepte: een AIIA is doorgaans uitgebreider en langer dan een DPIA, en beoordeelt het systeem in de volle breedte in plaats van alleen door de privacybril. Bij een hoog-risico AI-systeem onder de AI Act kan naast de vrijwillige AIIA de wettelijk verplichte FRIA gelden, vanaf 2 december 2027. Die plicht treft publiekrechtelijke organen en private partijen die openbare diensten verlenen, plus gebruiksverantwoordelijken van systemen voor kredietwaardigheid en voor risico en prijs bij levens- en ziektekostenverzekeringen (bijlage III, punt 5 b en c).
Hoe start je met een AIIA?
Een AIIA begint met het documenteren van het AI-systeem: wat doet het, welke data gebruikt het, en wie zijn de betrokken stakeholders (cliënten, medewerkers, toezichthouders).
Vervolgens beoordeel je elk van de vijf hoofdpunten uit het vorige hoofdstuk: fairness, bias, explainability, privacy en human oversight. Per punt schrijf je op welk risico je ziet en welke maatregel je neemt om dat risico te beperken.
Houd de omvang van je AIIA proportioneel aan het risico van het systeem. Een tekstgenerator voor interne memo’s vraagt een paar alinea’s beoordeling; een AI-tool die cliëntacceptatie beïnvloedt vraagt een grondiger traject.
Hoe zet je een eerste stap richting een AIIA?
Een inventarisatie brengt in kaart welke AI-tools je organisatie al gebruikt en welk risiconiveau (laag, midden, hoog) daarbij hoort. Zo’n inventarisatie is geen volledige AIIA, maar wel een goed vertrekpunt.
Na die inventarisatie weet je precies welke AI-toepassingen in jouw organisatie de meeste aandacht verdienen, en dat maakt een eventuele volledige AIIA daarna een stuk gerichter.
Veelgestelde vragen over een AIIA
Wie een AIIA wil opzetten, kan voortbouwen op modellen die de Nederlandse overheid al heeft gepubliceerd.
Bestaat er een Nederlands model voor een AIIA?
Ja, het ministerie van Infrastructuur en Waterstaat heeft een openbaar model voor een AIIA gepubliceerd, eind 2024 in versie 2.0. Het model bestaat uit twee delen: deel A beoordeelt of je een AI-systeem wilt inzetten, deel B gaat over de inrichting en het gebruik ervan. Binnen dat ministerie moet de AIIA af zijn voordat een systeem in productie gaat, ook bij een pilot.
Wie voert een AIIA uit?
Een AIIA voer je uit met een multidisciplinaire groep uit je organisatie, niet met één persoon. Het model van het ministerie van Infrastructuur en Waterstaat noemt per hoofdstuk rollen zoals juristen en privacyspecialisten naast data scientists. Verwerkt het systeem persoonsgegevens, dan schrijft het model bovendien een DPIA-pre-scan voor om te bepalen of een volledige DPIA nodig is.
Wat is het verschil tussen een AIIA en een IAMA?
Het verschil tussen een AIIA en een IAMA zit in de focus: een IAMA, ontwikkeld door de Universiteit Utrecht, brengt vooraf de impact van algoritmen op mensenrechten in kaart en is bedoeld voor overheidsorganisaties. De AIIA van Infrastructuur en Waterstaat beoordeelt een AI-systeem breder. Volgens dat model hoef je niet meer allebei in te vullen, tenzij je extra hulp nodig hebt bij het beoordelen van grondrechten.
