De overheid heeft een gratis invulhulp voor je AI-risicobeoordeling, en je mag hem gewoon gebruiken

Je wilt AI inzetten, maar wie zegt of het mag?

Je hebt een AI-tool gevonden die je echt tijd gaat schelen. Hij leest binnenkomende mails, haalt de gegevens eruit en zet ze klaar in je systeem. Prima idee. En dan komt de vraag die het hele plan stil legt: mag dit eigenlijk wel, met klantgegevens erin?

Het lastige is niet dat het antwoord altijd nee is. Het lastige is dat je nergens goed kunt nakijken welk antwoord bij jou hoort. Een jurist inschakelen voor een tool van dertig euro per maand voelt scheef. Maar gokken voelt ook niet lekker, want als het misgaat gaat het over de gegevens van je klanten.

Daar is sinds kort iets voor. De Rijksoverheid heeft online invulhulpen gepubliceerd waarmee je stap voor stap zo'n beoordeling doorloopt. Ze zijn gratis, ze staan gewoon open, en ze zijn expliciet bedoeld voor iedereen binnen én buiten de overheid. Ook voor jou dus.

Wat de invulhulpen precies zijn

Op het centrale platform van de Rijksoverheid (invulhulpen.rijksapp.nl) staan sinds eind juli 2026 twee begeleide formulieren: één voor de DPIA en één voor de IAMA. In de september-update van juridisch adviesbureau ICTRecht staat dat er inmiddels ook een bètaversie draait die de FRIA meeneemt, de beoordeling die de AI-verordening voor hoog-risico AI-systemen voorschrijft.

Wat een invulhulp doet: hij stelt je de vragen in een logische volgorde, legt per vraag uit waar het over gaat, en houdt bij wat je hebt ingevuld. Je kunt tussentijds opslaan, later verder, en een eerdere beoordeling hergebruiken als je een vergelijkbaar systeem beoordeelt. Log je in, dan kun je er met meerdere mensen aan werken.

Dat klinkt saai, en dat is het ook. Maar het verschil met de situatie ervoor is groot. Voorheen was zo'n beoordeling een leeg Word-sjabloon van dertig pagina's met vaktermen erin, waar je zonder begeleiding niet doorheen komt. Nu is het een formulier dat je bij de hand neemt.

Begin bij de pre-scan, die vertelt je wat je nodig hebt

Het slimste onderdeel zit aan de voorkant. Er is een pre-scan die eerst uitzoekt welke beoordeling voor jouw geval eigenlijk verplicht is. Je beantwoordt een reeks vragen over wat je gaat doen, met welke gegevens en voor wie, en daar komt uit welke beoordelingen je moet uitvoeren. Wat je in de pre-scan invult, gaat automatisch mee naar het bijbehorende formulier, dus je tikt niets twee keer.

Voor de meeste MKB-bedrijven is dat het waardevolste stuk. De kans is namelijk reëel dat er uit die pre-scan komt dat je helemaal geen volledige beoordeling hoeft te doen. Dat is geen verspilde middag, dat is precies wat je wilde weten. En je hebt het bovendien vastgelegd, dus als iemand het later vraagt kun je laten zien waaróm je die conclusie trok.

DPIA, IAMA en FRIA, wat betekent dat voor jou?

Drie afkortingen, drie verschillende dingen:

• DPIA (gegevensbeschermingseffectbeoordeling). Komt uit de AVG en gaat over privacy. Verplicht als je verwerking waarschijnlijk een hoog risico oplevert voor de mensen om wie de gegevens gaan. Dit is de beoordeling die het vaakst op een gewoon bedrijf van toepassing is.
• IAMA (Impact Assessment Mensenrechten en Algoritmes). Gaat over de vraag of een algoritme mensen onterecht benadeelt. Van oorsprong een overheidsinstrument en voor de meeste MKB'ers niet verplicht.
• FRIA (grondrechtenbeoordeling). Komt uit de AI-verordening en hoort bij hoog-risico AI-systemen. Voor de meeste MKB-toepassingen, zoals een mailclassificatie of een tekstassistent, is dat niet aan de orde.

Kortom: waarschijnlijk is alleen de DPIA voor jou relevant, en misschien die ook niet. Maar zelfs als niets verplicht is, zijn de vragen in de IAMA de moeite van het doorlopen waard. Ze dwingen je na te denken over wie er last van kan hebben als je AI de plank misslaat, en dat is een vraag die je bij elke automatisering zou moeten stellen.

Let ook op de timing van de AI-verordening. De verplichtingen rond hoog-risico systemen zijn met de Digital Omnibus opgeschoven naar later (2 december 2027 en 2 augustus 2028), en de verordening erkent expliciet dat kleinere bedrijven met vereenvoudigde documentatie mogen werken. Je hoeft dus niet in paniek te raken, maar wel te weten waar je staat. Voor het bredere plaatje schreven we eerder een checklist om AI veilig in te zetten.

Wat een invulhulp wel doet en wat niet

Belangrijk om nuchter over te zijn: dit is een formulier, geen goedkeuring. Het gereedschap helpt je de juiste vragen te stellen en je antwoorden netjes vast te leggen. Het beoordeelt niet of je antwoorden kloppen, en het geeft je geen stempel.

Drie dingen blijven dus jouw werk:

1. Weten wat je tool echt doet met je data. Waar staan de gegevens, hoe lang blijven ze bewaard, worden ze gebruikt om modellen mee te trainen? Dat staat niet in de invulhulp, dat staat in de voorwaarden van je leverancier. We zetten die vragen op een rij in onze post over AI en klantdata onder de AVG.
2. De maatregelen ook echt nemen. Uit een beoordeling rolt een lijstje met risico's en wat je eraan doet. Dat lijstje moet daarna geen document blijven.
3. Het herhalen als er iets verandert. Wissel je van AI-aanbieder, of laat je de tool ineens meer doen, dan klopt je oude beoordeling niet meer.

Zo pak je het aan in een middag

Je hoeft hier geen project van te maken. Een werkbare aanpak:

1. Kies één concrete toepassing. Niet "AI in ons bedrijf", maar "de AI die onze inkomende offerteaanvragen samenvat". Een beoordeling gaat over één systeem met één doel.
2. Verzamel eerst de feiten: welke gegevens gaan erin, van wie zijn die, welke leverancier verwerkt ze en waar.
3. Doorloop de pre-scan. Duurt kort en geeft je meteen uitsluitsel.
4. Rolt er een DPIA uit, vul die dan in met de feiten uit stap 2 erbij. Ga niet gokken, want een verkeerd ingevulde beoordeling is erger dan geen.
5. Bewaar het resultaat op een plek waar je het over een jaar terugvindt, en zet een herinnering om het na te lopen.

Waarom dit meer is dan een papieren oefening

Er zit een prettige bijvangst aan. De vragen in zo'n beoordeling dwingen je om je eigen automatisering scherp te beschrijven: wat gaat erin, wat komt eruit, wie controleert het, wat gebeurt er als het fout gaat. Dat is precies de beschrijving die je toch al nodig hebt om iets fatsoenlijks te bouwen.

We merken in de praktijk dat de bedrijven die dit vooraf even doorlopen, betere automatiseringen krijgen. Niet omdat ze compliant zijn, maar omdat ze halverwege ontdekken dat één stap eigenlijk een menselijke controle nodig heeft, of dat ze gegevens meesturen die er niets te zoeken hebben. Het is minder een juridische horde en meer een ontwerpvraag.

En het kost je nu een middag met een gratis hulpmiddel in plaats van een adviestraject. Dat is een prima ruil.

Twijfel je of jouw AI-plan een beoordeling nodig heeft, of loop je vast in de vragen? We kijken het graag samen met je door.