Een CISO van een middelgrote gemeente bereidt de jaarlijkse verantwoording over informatiebeveiliging voor. In de map met bewijsstukken zit een AI-beleid van vorig jaar, een verwerkersovereenkomst voor Microsoft 365 en een presentielijst van een bewustwordingssessie. Op de vraag welke AI-diensten er dit jaar werkelijk zijn gebruikt, heeft ze geen document.
Dat is de vraag waar de BIO, zonder het woord AI te gebruiken, om vraagt. De baseline noemt geen chatbots, en hoeft dat ook niet: het dagelijkse AI-gebruik landt in vier thema's die er al jaren in staan. Classificatie, leveranciersbeheer, bewustzijn en logging. Wie die vier toepast op het gebruik dat er werkelijk is, heeft AI-governance. Wie ze toepast op het gebruik dat in het beleidsdocument staat, heeft een document.
Waarom noemt de BIO AI niet?
De Baseline Informatiebeveiliging Overheid is het gezamenlijke normenkader voor Rijk, gemeenten, provincies en waterschappen, gebaseerd op ISO 27001 en ISO 27002. Voor gemeenten leggen de VNG en de Informatiebeveiligingsdienst (IBD) de baseline uit. De BIO is geschreven vanuit informatie, niet vanuit techniek: hij vraagt hoe je overheidsinformatie beschermt, ongeacht het systeem waarin die staat.
Een raadsstuk, een bezwaarschrift of een uitkeringsdossier houdt zijn classificatie, of het nu in een zaaksysteem staat of in een chatvenster wordt geplakt. Wat verandert is niet de norm, maar de plek waar de informatie terechtkomt. De algemene lijn voor overheid en zorg staat in BIO en NEN 7510 en AI; hier gaat het om de vraag waar het dagelijkse gebruik in de baseline zelf past.
Waar landt een chatbot in de classificatie?
De BIO werkt met basisbeveiligingsniveaus, en de classificatie van informatie bepaalt welk niveau geldt. Bij een gemeente is dat werk grotendeels gedaan: het sociaal domein, jeugdzorg, belastingen en handhaving verwerken gegevens die hoog zijn geclassificeerd, vaak met een BSN erin.
Wat vaak ontbreekt is de vertaling naar AI-gebruik. Een gratis chatbot op een persoonlijk account is een omgeving zonder contract, zonder afspraak over opslag en zonder verwerkersovereenkomst. Gegevens uit de hoogste klasse horen daar niet, wat de tool ook belooft. De vraag voor een medewerker die een brief over een uitkering wil laten herschrijven, is dus niet of AI mag, maar welke omgeving voor deze klasse is aangewezen, en wat er uit de tekst moet voordat hij daar wordt geplakt.
Is een AI-tool die niemand heeft ingekocht een leverancier?
Ja. Leveranciersbeheer in de BIO gaat over partijen die overheidsinformatie verwerken, en die rol ontstaat op het moment dat een medewerker een tekst in een dienst plakt, niet op het moment dat inkoop een contract tekent.
Het verschil zit in wat je erover weet. Van de ingekochte dienst ken je de verwerkingslocatie, het trainingsbeleid en de afspraken bij een incident. Van de gevonden dienst weet je dat meestal niet, en vaak weet je niet eens dat hij in gebruik is. Leveranciersbeheer voor AI begint daarom bij de lijst van diensten die werkelijk worden gebruikt, en pas daarna bij de beoordeling. Wat er bij zo'n beoordeling in de verwerkersovereenkomst hoort te staan, verandert niet omdat het een AI-tool is.
Wat betekent bewustzijn als de tool al openstaat?
De BIO vraagt om bewustzijn en training van medewerkers. De gebruikelijke invulling is een sessie per jaar en een e-learning. Het AI-gebruik gebeurt weken later, onder tijdsdruk, in een browsertab die de sessie niet noemde.
Bewustzijn dat werkt, zit op het moment zelf: iemand opent een tool en ziet daar wat de gemeente ervan vindt. Toegestaan, beperkt toegestaan met een voorwaarde, nog geen besluit, of niet toegestaan met het alternatief ernaast. Dat vraagt dus eerst een besluit per tool, want een melding zonder besluit is ruis.
Welke logging past hier, en welke niet?
Logging is in de BIO een controlemaatregel: je moet achteraf kunnen vaststellen wat er met informatie en systemen is gebeurd. Voor AI-gebruik bestaat de verleiding om dat per medewerker te doen, met wie welke tool opende en wat daar werd getypt. Dat is geen logging meer, dat is toezicht op personen, met een eigen grondslag onder de AVG en een rol voor de ondernemingsraad.
De vraag van de baseline is te beantwoorden zonder die stap. Welke AI-diensten zijn in gebruik, hoe vaak, wat is daarover besloten, en beweegt het aandeel via toegestane diensten de goede kant op: dat zijn tellingen per tool, zonder naam en zonder inhoud. Het verschil tussen die twee vormen van meten staat in AI-monitoring versus medewerkersmonitoring. Voor de verantwoording is die vorm genoeg, en de cijfers zijn eerlijker, want niemand wijkt uit naar een privételefoon om een telling te ontlopen.
| BIO-thema | Wat het vraagt | Waar dagelijks AI-gebruik het raakt | Wat je vastlegt |
|---|---|---|---|
| Classificatie | Informatie krijgt een klasse die bepaalt waar ze mag worden verwerkt | Welke klasse in welke AI-omgeving mag, en wat eruit moet voordat je plakt | Een regel per klasse, met de aangewezen omgeving |
| Leveranciersbeheer | Partijen die overheidsinformatie verwerken zijn beoordeeld | Elke AI-dienst in gebruik is zo'n partij, ook zonder contract | Een register van diensten in gebruik, met status en beoordeling |
| Bewustzijn | Medewerkers kennen de regels en handelen ernaar | Het besluit per tool is zichtbaar op het moment dat iemand de tool opent | Welke meldingen aanstaan, per status |
| Logging | Achteraf is vast te stellen wat er is gebeurd | Aantallen per tool en per besluit, zonder personen | Cijfers per periode, met hun reikwijdte erbij |
Hoe ziet dat eruit bij een gemeente?
Het AI-register van de gemeente telt twee regels: Microsoft 365 Copilot, toegestaan, en een transcriptietool voor raadscommissies, beperkt toegestaan zonder persoonsgegevens van insprekers. Als de gemeente voor het eerst kijkt welke AI-diensten er vanuit de browser worden geopend, komen daar vier diensten bij: ChatGPT, Perplexity, een vertaaltool die de wijkteams gebruiken voor brieven aan inwoners, en een dienst die beleidsnota's samenvat.
Geen van de vier is beoordeeld als leverancier, over geen van de vier is iets besloten, en de vertaaltool krijgt wekelijks brieven met naam en adres te zien. Dat is geen incident, en niemand heeft een regel overtreden, want er was geen regel. Het laat zien dat de vier BIO-thema's tot dat moment op twee tools waren toegepast, terwijl er zes in gebruik waren. Het werk dat volgt: vier beoordelingen, vier besluiten, en bij de vertaaltool een aangewezen alternatief dat de wijkteams zien zodra ze de oude tool openen.
BeeSensible koppelt een catalogus van 865 AI-tools aan het gebruik dat in de organisatie wordt waargenomen: alleen het domein van de tool, hooguit één keer per dag per apparaat, zonder gebruikers-id en zonder inhoud. Een beheerder ziet in de AI Tools-module welke tools nog geen besluit hebben en legt dat besluit vast; het besluit verschijnt daarna in de browser bij wie de tool opent, nooit als blokkade. Zo ziet dat register eruit:
