AI en algoritmes beleid Gooise Meren

4.1.1 Achtergrond

AI bestaat al sinds de vorige eeuw, maar sinds de uitvinding van de zogenaamde Transformers (Wikipedia contributors, 2024d) nemen Large Language Models (LLM’s) (Wikipedia contributors, 2024a) in 2022 een flinke stap vooruit wanneer ChatGPT uitkomt (Wikipedia contributors, 2024c).

Met deze Generatieve AI (GenAI) (Wikipedia contributors, 2024b) hebben we opeens de mogelijkheid om nieuwe content (tekst, video, foto en audio) op basis van een beschrijving (prompt) te genereren.

Naast de verschillende losstaande oplossingen die er zijn om deze Generatieve AI te gebruiken, hebben de grote Tech-bedrijven (Microsoft, Google, Apple) de strategie om deze Generatieve AI in hun producten te bouwen.

4.1.2 Risico’s en maatregelen

#

Risico

Maatregel

1

Datalekken

Het lekken van (onbedoeld) vertrouwelijk informatie of persoonsgegevens.

a) Bewustwording / Training

De gemeente zorgt voor voldoende bewustwording van de risico’s van het gebruik van vertrouwelijke informatie of persoonsgegevens in AI-tools. Als gemeente bieden wij trainingen aan om de medewerkers te scholen in dit onderwerp.

b) Technische maatregelen

Persoonlijke data mag niet gedeeld worden. De gemeente neemt technische maatregelen om dit zoveel mogelijk te voorkomen of te signaleren.

2

Betrouwbaarheid Output

Op dit moment wil GenAI nog wel eens hallucineren, waardoor de output niet altijd klopt.

a) Bewustwording / Training

Bewustwording van de betrouwbaarheid van de output. De gemeente biedt trainingen aan om de medewerkers te scholen in dit onderwerp.

3

Inbreuk op intellectueel eigendomsrecht

Bij GenAI is het niet altijd duidelijk waar de informatie vandaan komt, waarmee het model getraind is. Soms is dit onrechtmatig verkregen (zonder toestemming van de eigenaar).

a) Bewustwording

Een medewerker kan niet altijd weten of gegenereerde tekst of beeld grotendeels overeenstemt met al bestaande (auteursrechtelijk beschermde) teksten en/of beelden van derden. Het is van belang dat een medewerker daar bewust van is en mee omgaat. Als gemeente bieden wij trainingen aan om de medewerkers te scholen in dit onderwerp

4

Privacy

Verlies van controle over (persoons)gegevens.

a) Bewustwording / Training

Bewustwording van de betrouwbaarheid van de output. De gemeente biedt trainingen aan om de medewerkers te scholen in dit onderwerp.

b) Voldoen aan wetgeving

Product/tool moet voldoen aan de EU/NL wetgeving. Zo wordt er o.a., indien dit noodzakelijk is, een DPIA uitgevoerd en de principes van Privacy by Design en - Default toegepast.

5

Ethiek

AI kan discriminerende algoritmes bevatten, daarnaast zitten er vaak Amerikaanse normen die mogelijk afwijken van de lokale normen en waarden.

Ethische toets

Doorloop een DEDA (de ethische data-assistent) (Schäfer et al., 2018) waardoor het helder moet worden of we als gemeente dit algoritme kunnen/moeten willen inzetten.

6

Hoog Risico AI gebruik

AI kan discriminerende algoritmes bevatten, daarnaast zitten er vaak Amerikaanse normen die mogelijk afwijken van de lokale normen en waarden.

IAMA

Bij het gebruik van hoog risico AI is het IAMA (impact assessment voor mensenrechten bij de inzet van algoritmen) verplicht. (Ministerie van Algemene Zaken, 2024)

4.1.3 Toepasbaarheid

Als gemeente willen we de Generatieve AI tools omarmen, wanneer het onze collega’s kan ondersteunen in hun processen of werkzaamheden. De verschillende Generatieve AI-tools worden niet uitgesloten van gebruik, zolang er maar:

1Geen koppeling is met ons IT-landschap, of;

2Een koppeling met ons IT-landschap is (bijvoorbeeld wanneer er gebruik wordt gemaakt van vertrouwelijke informatie, persoonsgegevens of bij integratie met systemen van de gemeente) de toepassing gecontracteerd is, of

3een interne risicoafweging is gemaakt.

Goed om te weten

AI-tools uit landen met een offensief cyberprogramma (Nationaal Cyber Security Centrum) tegen Nederland worden nooit toegestaan.

Aanschaf en eisen AI-producten

Wanneer er een nieuw AI-product wordt aangeschaft dan wordt er eerst contact gezocht met de informatiemanager. Door middel van een risicoanalyse vanuit Team IB&P wordt beoordeeld welke eisen er nodig zijn om aan relevante wetgeving zoals de EU AI-Act, AVG, NIS2 en BIO te voldoen. Onderdelen uit deze wetgeving die specifiek voor AI-toepassingen extra aandacht verdienen zijn Security by design, Security by default, ISO-27001, ISO-24028 & ISO-25027. Gooise Meren hanteert hier een best effort principe waar zo veel mogelijk gebruik wordt gemaakt van gestandaardiseerde methodieken en (internationale) standaarden. Bij het afnemen van producten en diensten kan (afhankelijk van het risicoprofiel) door Gooise Meren worden verlangd dat de wijze waarop Security-by-design is vormgegeven inzichtelijk wordt gemaakt via een onafhankelijke (code)review of audit.

Ontwikkeling door Gooise Meren

Wanneer een AI-toepassing door Gooise Meren of in opdracht van Gooise Meren wordt ontwikkeld, moet deze aan dezelfde eisen voldoen als een gecontracteerde toepassing.

4.2.1 Achtergrond

Een algoritme wordt gezien als een reeks instructies of regels om tot een resultaat te komen, we kunnen het ook wel vergelijken met een recept. Algoritmes zitten in praktisch alle software die wij als gemeente gebruiken.

Goed om te weten

Een AI is opgebouwd uit verschillende algoritmes, maar niet iedere algoritme is een AI. Dit is ook de reden dat we AI en algoritmes apart behandelen in dit beleid.

Interne ontwikkeling algoritmes

Binnen onze gemeente worden ook eigen algoritmes ontwikkeld. Deze algoritmes behandelen we op dezelfde manier als algoritmes die niet door onze gemeente zijn ontwikkeld.

4.2.2 Risico’s en maatregelen

Risico

Maatregel

Black Box

Een toepassing met een complex algoritme kan een Black-box (ondoorzichtig) zijn, waardoor het niet duidelijk is wat er gebeurd door het algoritme.

Ethische toets

De gemeente zal indien dit noodzakelijk is een DEDA (de ethische data-assistent) doorlopen (“Proces Dataproduct”, 2024), waardoor het helder wordt of we als gemeente dit algoritme kunnen/moeten willen inzetten.

Ethiek

Een algoritme kan discriminerende vooroordelen bevatten.

Ethische toets

De gemeente zal indien dit noodzakelijk is een DEDA (de ethische data-assistent) doorlopen (“Proces Dataproduct”, 2024), waardoor het helder wordt of we als gemeente dit algoritme kunnen/moeten willen inzetten

Privacy

Wanneer algoritmes toegang hebben tot persoonsgegevens kunnen deze leiden tot schending van privacy wanneer ze niet goed beveiligd worden.

Voldoen aan AVG

De gemeente zorgt ervoor dat de algoritmes voldoen aan de AVG (denk aan dataminimalisatie, gegevensanonimisatie/pseudonimisatie, beveiligingsmaatregelen).

Fouten in algoritmes

Het kan voorkomen dat er fouten in algoritmes zitten, dit kan in het ergste geval resulteren in een verkeerd gemaakt besluit voor de burger.

Correctie mogelijk maken

De gemeente zal ervoor zorgen dat de betrokkenen bij een (persoonlijk) besluit (welke gevolgen heeft voor hen) zich kunnen beroepen op “het recht op een menselijke blik”. De gemeente moet dan een nieuw besluit nemen waarbij een medewerker (een mens) hun gegevens opnieuw moet beoordelen

Adviescommissie Digitale Ethiek

Er wordt een Adviescommissie Digitale Ethiek in het leven geroepen, welke het college gevraagd en ongevraagd adviseert over het gebruik van nieuwe digitale technologieën (zoals algoritmen, AI en sensoren) in de Gemeente Gooise Meren. De commissie bestaat uit commissieleden met kennis en affiniteit op het gebied van (digitale) ethiek.

4.2.3 Toepasbaarheid

Als gemeente zijn we voor transparantie van het gebruik van algoritmes binnen de gemeente, dit brengen we ten uitvoer door gebruik te maken van het Algoritmeregister (Handreiking Algoritmeregister, 2023). In het algoritmeregister maken we onderscheid in de volgende te publiceren algoritmes:

1Hoog-risico algoritme

2Impactvol algoritme

Algoritmes die voldoen aan een van deze classificaties (Handreiking Algoritmeregister, 2023) publiceren wij als gemeente in het algoritmeregister (Handreiking Algoritmeregister, 2023).