De Europese regels voor kunstmatige intelligentie gelden al voor een belangrijk deel. Toch is de Nederlandse organisatie van het toezicht nog niet af. Dat klinkt tegenstrijdig, maar precies daar zit het nieuws achter de nieuwe AI-directie van de Autoriteit Persoonsgegevens (AP).
De AP maakte op 9 oktober 2026 bekend dat zij de directie Toezicht en Coördinatie AI/Algoritmes (TCA) heeft ingericht. Die moet risico’s onderzoeken, de samenwerking tussen toezichthouders coördineren en het toekomstige markttoezicht voorbereiden. De belangrijke nuance: de AP is nog niet formeel aangewezen als markttoezichthouder onder de Europese AI-verordening. Daarvoor moet eerst de Nederlandse Uitvoeringswet AI-verordening in werking treden.
Dat betekent niet dat AI nu een juridisch niemandsland is. De AP kan al optreden wanneer een AI-systeem persoonsgegevens verwerkt en daarbij de AVG-regels voor AI en algoritmes overtreedt. Daarnaast gelden verschillende onderdelen van de Europese AI-verordening rechtstreeks. Wat nog ontbreekt, is de volledige Nederlandse verdeling van nieuwe taken, bevoegdheden en verantwoordelijkheden.
AI-toezicht in 30 seconden
De regels en het toezicht lopen via meerdere sporen. De AP heeft al AVG-bevoegdheden, Europa houdt toezicht op bepaalde algemene AI-modellen en Nederland moet de nationale markttoezichthouders nog definitief aanwijzen. De nieuwe directie bereidt dat werk voor, maar is geen bewijs dat het hele stelsel al operationeel is.
Wat gaat de nieuwe directie doen?
TCA bestaat uit twee afdelingen. De afdeling AI/Algoritmes Risicoanalyse & Coördinatie (ARC) kijkt breed naar maatschappelijke risico’s. Denk aan systemen die mensen selecteren, beoordelen of indelen en daarbij kunnen discrimineren, fouten maken of ondoorzichtig werken. ARC moet risico’s signaleren, kennis delen en helpen om het toezicht van verschillende instanties op elkaar af te stemmen.
De afdeling Markttoezicht AI (MTA) bouwt technische en juridische kennis op voor de toekomstige controles onder de AI-verordening. Daar hoort volgens de AP ook het kunnen onderzoeken en testen van AI-systemen bij. Samen met de Rijksinspectie Digitale Infrastructuur (RDI) werkt de AP bovendien aan een AI-coördinatiecentrum en een zogenoemde regulatory sandbox.
Zo’n sandbox is een gecontroleerde omgeving waarin organisaties met toezichthouders kunnen bekijken hoe een innovatief AI-systeem aan de regels kan voldoen. Het is geen vrijstelling van de wet en ook geen keurmerk dat garandeert dat een systeem veilig of toegestaan is.
Welke AI-regels gelden al?
De Europese AI-verordening wordt stap voor stap van toepassing. Daardoor is één ingangsdatum misleidend.
| Datum | Wat veranderde? | Wat betekent dat in gewone taal? |
|---|---|---|
| 2 februari 2025 | De eerste verboden AI-praktijken en de plicht tot AI-geletterdheid gingen gelden. | Organisaties moeten medewerkers voldoende kennis geven om AI verantwoord te gebruiken; enkele toepassingen met een onaanvaardbaar risico zijn verboden. |
| 2 augustus 2025 | Europese governance-regels en verplichtingen voor aanbieders van algemene AI-modellen gingen gelden. | Voor brede modellen waarop veel toepassingen worden gebouwd, ontstond een Europees toezichtspoor. |
| 2 augustus 2026 | Het grootste deel van de AI-verordening en nieuwe transparantieregels werden van toepassing. | Een chatbot moet bijvoorbeeld duidelijk maken dat u met AI communiceert; deepfakes en bepaalde andere synthetische inhoud moeten herkenbaar zijn. |
| 2 december 2026 | Een extra verbod op AI voor niet-consensueel seksueel of intiem materiaal gaat gelden. | Zogenoemde nudification-toepassingen vallen dan expliciet onder het verbod. |
| 2 december 2027 en 2 augustus 2028 | Regels voor verschillende categorieën hoog-risico-AI gaan later gelden. | Systemen in gevoelige domeinen en AI in gereguleerde producten krijgen extra eisen, maar niet allemaal op hetzelfde moment. |
Deze tijdlijn volgt de actuele uitleg van de Europese Commissie. De data kunnen voor specifieke systemen en overgangssituaties anders uitwerken. Het overzicht is daarom geen juridisch advies.
Wie kan nu optreden?
| Situatie | Wie is in beeld? | Stand van zaken |
|---|---|---|
| Een AI-systeem verwerkt persoonsgegevens in strijd met de AVG. | De Autoriteit Persoonsgegevens. | De AP heeft hiervoor al bestaande privacybevoegdheden. |
| Een aanbieder van een algemeen AI-model overtreedt specifieke Europese verplichtingen. | Het Europese AI Office. | Dit toezicht is op Europees niveau ingericht. |
| Een AI-systeem valt onder nationaal markttoezicht van de AI-verordening. | De Nederlandse toezichthouder die voor dat domein wordt aangewezen. | De Uitvoeringswet AI-verordening moet de verdeling en bevoegdheden afronden; de AP is beoogd toezichthouder voor meerdere gebieden. |
| AI wordt gebruikt in een sector met een bestaande toezichthouder. | Mogelijk de sectorale toezichthouder, in samenwerking met AP en RDI. | Het wetsvoorstel gaat uit van een stelsel met meerdere instanties, niet van één enkele AI-waakhond. |
Dit onderscheid is belangrijk. De zin “de AP kan nog niet handhaven” zou te breed zijn. De AP kan wel degelijk optreden op grond van de AVG wanneer persoonsgegevens in het spel zijn. Wat zij nog niet heeft, zijn alle beoogde bevoegdheden als nationale markttoezichthouder onder de AI-verordening.
Wat merkt een gewone gebruiker hiervan?
Sinds 2 augustus moet het in veel gevallen duidelijk zijn wanneer u met een AI-assistent communiceert of naar een deepfake kijkt. Dat betekent niet dat elk AI-beeld een groot waarschuwingslabel moet dragen: de precieze plicht hangt af van het soort systeem, de inhoud en wie die aanbiedt of gebruikt.
Vermoedt u dat een organisatie uw persoonsgegevens onrechtmatig met AI verwerkt? Bewaar dan relevante schermafbeeldingen of berichten en neem eerst contact op met de organisatie. Gaat het om uw eigen persoonsgegevens en wordt het probleem niet opgelost, dan kunt u volgens de AP een privacyklacht indienen. Een algemene verdenking kan ook als tip worden gemeld.
Bij een puur AI-vraagstuk zonder privacycomponent is de route minder eenvoudig. Niet elke melding hoort bij de AP. Het type systeem, de sector en de regel die mogelijk is overtreden bepalen welke Nederlandse of Europese toezichthouder bevoegd is.
Organisaties kunnen niet wachten op de Nederlandse wet
Voor bedrijven en overheden is het ontbreken van de uitvoeringswet geen reden om niets te doen. De AVG geldt al bij de verwerking van persoonsgegevens en verschillende AI Act-verplichtingen zijn al van toepassing. Organisaties moeten daarom inventariseren welke AI-systemen zij aanbieden of gebruiken, wie verantwoordelijk is, welke gegevens worden verwerkt en welke transparantie- of documentatieplicht geldt.
De nieuwe AP-directie maakt zichtbaar dat Nederland technische expertise en coördinatie opbouwt. Maar de aankondiging vermeldt geen personeelsomvang, budget of datum waarop het volledige nationale toezicht operationeel wordt. Daarover lopen volgens de AP nog gesprekken.
De echte test volgt later
De oprichting van TCA is dus meer dan een naamswijziging, maar minder dan een afgerond toezichtstelsel. De AP brengt risicoanalyse, samenwerking en voorbereiding op markttoezicht dichter bij elkaar. Of dat in de praktijk leidt tot snelle onderzoeken, duidelijke loketten en effectieve handhaving, hangt ook af van de uitvoeringswet, formele aanwijzingen, financiering en samenwerking met andere toezichthouders.
Voor Nederlandse burgers is de belangrijkste boodschap dubbel: AI-regels zijn niet iets van de verre toekomst, maar het is ook nog niet altijd duidelijk bij welk loket een probleem thuishoort. Juist die kloof moet de nieuwe directie helpen verkleinen.
Bronnen en bewijsgrens
De centrale bron is de aankondiging van de Autoriteit Persoonsgegevens van 9 oktober 2026. De nationale toezichtstructuur is gecontroleerd bij de Rijksoverheid; de toepassingsdata en Europese taakverdeling bij de Europese Commissie.
De bronnen bevestigen de oprichting, taken en juridische stand van zaken. Ze bewijzen niet dat TCA al over alle beoogde markttoezichtbevoegdheden beschikt of hoe effectief de nieuwe directie in de praktijk zal zijn.
Onderzoekscheck
Zo weten we dit
Bekijk de methode, beperkingen en oorspronkelijke bron achter dit verhaal.
Volledige onderzoekscheck 5 onderdelen
- Onderzoeksopzet
- Officiële mededeling van een toezichthouder en juridisch-beleidsmatige uitleg; geen empirisch onderzoek en geen evaluatie van de effectiviteit van het toezicht.
- Vakblad of publicatie
- Autoriteit Persoonsgegevens — officieel nieuwsbericht
- Onderzoeksinstelling
- Autoriteit Persoonsgegevens
Belangrijkste beperking
De mededeling van de AP beschrijft een organisatorische verandering en beoogde verantwoordelijkheden. Zij bevat geen gegevens over personeelsomvang, budget of prestaties en betekent niet dat de AP alle geplande bevoegdheden voor markttoezicht onder de AI-verordening al heeft.
Wat dit niet bewijst
De nieuwe directie bewijst niet dat het Nederlandse AI-toezicht volledig operationeel is, dat iedere AI-klacht bij de AP thuishoort of dat deelname aan een regulatory sandbox neerkomt op goedkeuring door de toezichthouder.
Nederlandse context
Wat betekent dit voor Nederland?
Europese AI-regels gelden rechtstreeks in Nederland, terwijl de nationale verdeling van toezicht en bevoegdheden nog via de Uitvoeringswet AI-verordening moet worden afgerond.
Transparantie
Updates en correcties
Inhoudelijke update: De AP heeft op 9 oktober 2026 de directie Toezicht en Coördinatie AI/Algoritmes bekendgemaakt. De beoogde nationale markttoezichtbevoegdheden wachten nog op de Nederlandse Uitvoeringswet AI-verordening.
Zie je een fout of ontbreekt er context? Bekijk hoe we corrigeren.
