Algoritmeregister, AI-register en shadow AI: zo krijgt u overzicht
Het Algoritmeregister is de openbare lijst waarin Nederlandse overheidsorganisaties beschrijven welke impactvolle algoritmes en AI-systemen zij gebruiken. Voor bedrijven is het geen verplichting, maar het is wel een goed model: wie de AI-verordening wil naleven, heeft een eigen intern AI-register nodig, inclusief de schaduw-AI die medewerkers buiten IT om gebruiken.
Het belangrijkste in het kort
- Het Algoritmeregister van de overheid staat op algoritmes.overheid.nl, wordt beheerd vanuit het ministerie van BZK en bevatte op 12 oktober 2026 1.587 algoritmebeschrijvingen.
- Registreren is voor overheidsorganisaties nog niet wettelijk verplicht; een wettelijke plicht is aangekondigd. Bedrijven registreren hier niet.
- Het register staat los van de EU-databank uit artikel 71 van de AI-verordening, waarin AI-systemen met een hoog risico uit bijlage III worden geregistreerd.
- Elke organisatie die AI gebruikt, heeft baat bij een intern AI-register: zonder overzicht kunt u niet classificeren, geen toezicht inrichten en geen transparantie bieden.
- Schaduw-AI vindt u niet met één enquête. Combineer inkoopdata, SSO- en netwerklogs, extensies, licenties en een korte uitvraag.
Wat is het Algoritmeregister?
Sinds december 2022 publiceren Nederlandse overheidsorganisaties in het Algoritmeregister van de Nederlandse overheid informatie over algoritmes die zij in hun werk gebruiken. Ministeries, uitvoeringsorganisaties, provincies, waterschappen en gemeenten beschrijven daar wat een algoritme doet, welke gegevens het gebruikt, welke toetsen vooraf zijn gedaan (bijvoorbeeld een DPIA) en waar u terechtkunt met vragen of bezwaar. Een gemeente die een algoritme inzet om meldingen over de openbare ruimte te sorteren, of de Belastingdienst met het algoritme ‘Dynamisch Monitoren’, staat er met naam en contactgegevens in.
Het register richt zich op impactvolle algoritmes. Volgens de veelgestelde vragen van het register horen er in ieder geval in: AI-systemen die de AI-verordening als hoog risico aanmerkt (de toepassingsgebieden van bijlage III, zoals biometrie, kritieke infrastructuur en werkgelegenheid) en algoritmes die direct bijdragen aan besluiten over iemands rechten, zoals het opleggen van een boete of het toekennen of weigeren van een subsidie. Soms wordt maar een deel van de informatie gepubliceerd, bijvoorbeeld bij algoritmes voor opsporing.
Is registratie verplicht?
Nog niet. Het register zegt zelf dat aanleveren voor overheidsorganisaties nu nog niet verplicht is, maar dat die verplichting er wel aankomt; het kabinet kondigde een wettelijke transparantieplicht aan in een Kamerbrief van december 2022. Per oktober 2026 is zo’n wet er niet. Toch publiceren steeds meer organisaties uit eigen beweging. De Autoriteit Persoonsgegevens is coördinerend algoritmetoezichthouder en kijkt mee of overheidsalgoritmes aan de regels voldoen.
Hoe verhoudt het zich tot de EU-databank van de AI-verordening?
Dat zijn twee verschillende registers. De AI-verordening verplicht aanbieders om AI-systemen met een hoog risico uit bijlage III vóór het in de handel brengen te registreren in een EU-databank (artikelen 49 en 71). Gebruiksverantwoordelijken die overheidsinstantie zijn, registreren daarnaast hun gebruik van zo’n systeem. Die plichten gelden voor bijlage III-systemen vanaf 2 december 2027. Het Nederlandse Algoritmeregister blijft daarnaast bestaan, omdat het ook niet-zelflerende algoritmes en algoritmes met een lager risico bevat. Het Rijk zoekt aansluiting, zodat een overheid met een hoog-risicosysteem in het Nederlandse register makkelijk ook aan de Europese plicht voldoet.
| Algoritmeregister (NL) | EU-databank (AI-verordening) | |
|---|---|---|
| Voor wie | Nederlandse overheidsorganisaties | Aanbieders van bijlage III-systemen; overheidsinstanties als gebruiksverantwoordelijke |
| Wat | Impactvolle algoritmes, ook zonder AI | AI-systemen met een hoog risico uit bijlage III |
| Verplicht? | Nog niet, wel aangekondigd | Ja, voor bijlage III vanaf 2 december 2027 |
| Beheer | Ministerie van BZK | Europese Commissie |
| Openbaar? | Ja, met uitzonderingen zoals opsporing | Grotendeels; sommige gebieden in een niet-openbaar deel |
Hulp nodig van experts bij algoritmeregister?
Onze cloud-architecten helpen u met algoritmeregister — van strategie tot implementatie. Plan een gratis adviesgesprek van 30 minuten zonder verplichting.
Waarom uw organisatie een eigen AI-register nodig heeft
Een bedrijf hoeft zich niet in het Algoritmeregister te melden. Maar het idee erachter, één overzicht met eigenaar, doel, data en risico per systeem, is precies wat de AI-verordening veronderstelt. Bijna elke plicht begint bij de vraag welke AI u eigenlijk gebruikt:
- Classificatie. U moet per systeem weten of het verboden, hoog risico, transparantierisico of minimaal risico is. Een rangschikkende module in uw sollicitatiesysteem valt onder bijlage III, punt 4.
- Plichten als gebruiksverantwoordelijke. Artikel 26 vraagt onder meer menselijk toezicht, monitoring en het bewaren van logs gedurende minstens zes maanden. Toezicht toewijzen aan een systeem dat niemand kent, lukt niet.
- Transparantie. Artikel 50 geldt sinds 2 augustus 2026 voor chatbots, deepfakes en bepaalde AI-tekst. Een kolom in het register laat zien waar een AI-melding nodig is; meer in ons artikel over artikel 50 en het AI-label.
- AVG. Het AI-register overlapt met uw verwerkingsregister en moet ernaar verwijzen in plaats van het te dupliceren. De AP noemde een actueel verwerkingsregister in juli 2026 nog als randvoorwaarde voor de inzet van Microsoft 365 Copilot bij een gemeente. Zie ook hoe de AI-verordening en de AVG samenhangen.
- AI-geletterdheid. De kolom ‘gebruikers’ laat zien wie welke training nodig heeft. De AP noemt het inventariseren van AI-systemen als eerste stap in haar actieplan voor AI-geletterdheid.
Het register is ook het eerste dat elke beoordeling opvraagt. Een AI Act gap-analyse begint ermee, en de gratis scan van Opsio voor AI-beleid en AI governance vraagt hoe u AI-gebruik bijhoudt als een van de tien domeinen die worden beoordeeld.
Wat is schaduw-AI?
Schaduw-AI, of shadow AI, is AI die medewerkers gebruiken zonder dat de organisatie het weet of heeft goedgekeurd. Denk aan een privé ChatGPT-account waarin een jurist een conceptcontract plakt, een vergaderbot die Teams-overleggen transcribeert, een browserextensie die ‘deze pagina samenvat’ en daarbij webmail kan lezen, of een AI-functie die een leverancier van uw CRM stilletjes heeft aangezet. Het probleem is zelden kwade wil. Het probleem is dat er geen contract, geen logging en geen afspraak over data is.
Zo vindt u de AI die al in gebruik is
Eén mail met de vraag ‘welke AI gebruiken jullie?’ levert alleen de bekende tools op. Combineer bronnen en leg ze naast elkaar.
Inkoop, facturen en declaraties
Doorzoek bestelopdrachten, contracten en declaraties op AI-leveranciers en op woorden als ‘AI’, ‘GPT’, ‘copilot’, ‘assistent’ en ‘voorspellend’. In declaraties duiken individuele abonnementen op ChatGPT Plus of Midjourney op.
SSO-, proxy- en DNS-logs
Uw identiteitsprovider laat zien bij welke applicaties medewerkers inloggen. Een webgateway, CASB of DNS-logging toont verkeer naar AI-diensten, ook vanaf accounts die niet door de organisatie worden beheerd. Kijk naar volume en terugkerend gebruik, niet naar één bezoek.
Browserextensies en desktopapps
Met endpointbeheer ziet u welke extensies geïnstalleerd zijn. Schrijfassistenten, vergaderrecorders en samenvattingsplug-ins hebben vaak leesrechten op alles in de browser, inclusief interne systemen.
Licenties voor Copilot en vergelijkbare tools
Controleer toewijzingen voor Microsoft 365 Copilot, ChatGPT Enterprise of Team, Gemini voor Workspace en dergelijke. Noteer welke groepen toegang hebben en welke bronnen de tool kan lezen, bij Copilot bijvoorbeeld SharePoint-sites en mailboxen. Juist daar zit het risico dat de AP in het Haarlemmermeer-advies benoemde: een generatieve AI-tool kan bij alle documenten waar de gebruiker zelf bij kan, dus autorisaties moeten kloppen.
AI in bestaande software
Deze categorie missen de meeste inventarisaties. HR-, CRM-, finance- en ticketingpakketten voegen regelmatig AI-functies toe, soms standaard ingeschakeld. Lees release notes, vraag het uw accountmanager en neem AI-vragen op in leveranciersbeoordelingen. Een sollicitatiesysteem dat ineens kandidaten gaat rangschikken, is van een gewone HR-tool een mogelijk hoog-risicosysteem geworden.
Ontwikkel- en datateams
Vraag naar model-API’s (Azure OpenAI, Amazon Bedrock, Google Vertex AI en andere), zelf getrainde modellen en codeassistenten. Cloudfacturen en overzichten van API-sleutels laten zien wat echt draait.
Een korte uitvraag bij afdelingen
Laat ten slotte elk afdelingshoofd bevestigen en aanvullen wat u vond. Houd het bij vijf vragen en beloof dat melden geen gevolgen heeft: het doel is de schaduw-AI zichtbaar te maken, niet mensen te straffen.
Welke velden horen in een AI-register?
Deze velden dekken wat de AI-verordening, de AVG en gewoon IT-beheer vragen. Gebruik ze als kolommen en voeg een vrij tekstveld toe waar een waarde uitleg nodig heeft.
| Veld | Wat u vastlegt | Waarom |
|---|---|---|
| Naam en ID | Product, module, versie of model | Eenduidige verwijzing bij audits en incidenten |
| Eigenaar | Een persoon met naam, geen afdeling | Iemand is aanspreekbaar |
| Leverancier | Leverancier, onderliggend model, contractnummer | Ketencontrole en gebruiksaanwijzing |
| Doel | Wat het systeem doet en welke besluiten het ondersteunt | Basis voor de risicoklasse |
| Gebruikers | Teams of rollen, aantal gebruikers | Training en toegangsbeheer |
| Betrokkenen | Klanten, sollicitanten, medewerkers, burgers | Informatieplicht en effectbeoordeling |
| Persoonsgegevens | Ja/nee, bijzondere gegevens gemarkeerd, link naar verwerkingsregister | Grondslag, DPIA, doorgifte |
| Risicoklasse | Verboden, hoog, transparantie, minimaal, met redenering | Welke plichten wanneer gelden |
| Rol | Aanbieder, gebruiksverantwoordelijke, importeur, distributeur | Wiens plichten u draagt |
| Artikel 50 | Chatbot, deepfake, gegenereerde tekst: ja/nee, melding aanwezig | Transparantie sinds 2 augustus 2026 |
| Menselijk toezicht | Wie beoordeelt en met welke bevoegdheid | Artikel 26 lid 2 bij hoog risico |
| Logging | Waar logs staan en hoe lang | Minstens zes maanden bij hoog risico |
| Status en herzieningsdatum | Pilot, live, uitgefaseerd; volgende review | Houdt het register actueel |
Een voorbeeldregel: ‘Selectiemodule in het sollicitatiesysteem; eigenaar: hoofd recruitment; leverancier: [ATS-leverancier]; rangschikt sollicitanten voor de shortlist; gebruikt door acht recruiters; betrokkenen: sollicitanten; persoonsgegevens: ja, cv’s; risicoklasse: hoog (bijlage III, punt 4); rol: gebruiksverantwoordelijke; artikel 50: nee; toezicht: senior recruiter beoordeelt elke shortlist; logs: dertig dagen bij leverancier (gat); herziening: maart 2027.’ Eén regel laat al een tekortkoming zien, en dat is precies de bedoeling. Voor overheidsorganisaties is zo’n regel ook het vertrekpunt voor een beschrijving in het Algoritmeregister en, bij een systeem met een hoog risico, voor de FRIA of het IAMA.
Het register actueel houden
Een AI-register veroudert snel. Koppel het daarom aan processen die toch al lopen:
- Inkoop. Geen bestelling van software met AI-functies zonder registerregel en leveranciersbeoordeling.
- Wijzigingsbeheer. Een nieuwe AI-functie in bestaande software is een wijziging die het register raakt.
- Kwartaalbevestiging. Elke eigenaar bevestigt elk kwartaal dat zijn regels kloppen.
- Gebruiksbeleid. De lijst met goedgekeurde tools in uw AI-gebruiksbeleid komt rechtstreeks uit het register.
- Tooling. Begin met een spreadsheet. Stap over naar uw ITSM-, CMDB- of GRC-omgeving zodra het register stabiel is en u workflows nodig heeft.
Hoe het register past in de AI-verordening als geheel, leest u in onze uitleg over de AI-verordening.
Veelgestelde vragen
Wat is het Algoritmeregister van de overheid?
Het Algoritmeregister is een openbare website, algoritmes.overheid.nl, waarop Nederlandse overheidsorganisaties beschrijven welke impactvolle algoritmes zij gebruiken: wat ze doen, welke data ze gebruiken, welke toetsen zijn gedaan en waar u met vragen of bezwaar terechtkunt. Het bestaat sinds december 2022 en telde op 12 oktober 2026 1.587 beschrijvingen.
Moet mijn bedrijf zich in het Algoritmeregister registreren?
Nee. Het register is bedoeld voor overheidsorganisaties. Levert u als bedrijf een algoritme aan een gemeente of ministerie, dan kan de overheid u wel om informatie vragen voor haar beschrijving. Als aanbieder van een AI-systeem met een hoog risico uit bijlage III krijgt u vanaf 2 december 2027 wel te maken met registratie in de EU-databank.
Is het Algoritmeregister verplicht voor gemeenten?
Per oktober 2026 nog niet. Het register meldt dat aanleveren nog niet verplicht is, maar dat die verplichting eraan komt. Voor hoog-risico-AI geldt daarnaast de Europese registratieplicht in de EU-databank vanaf 2 december 2027. Veel gemeenten publiceren nu al vrijwillig, onder meer omdat burgers en gemeenteraden erom vragen.
Hoe pak ik shadow AI aan zonder alles te verbieden?
Maak het eerst zichtbaar met inkoopdata, logs en een uitvraag zonder sancties. Bied daarna een goedgekeurd alternatief, zoals een zakelijke Copilot- of ChatGPT-omgeving met passende contractvoorwaarden. Leg spelregels vast in een gebruiksbeleid en blokkeer alleen wat niet veilig te maken is. Een totaalverbod duwt het gebruik naar privételefoons.
Welke tool gebruik ik voor een AI-register?
Voor de meeste organisaties volstaat in het begin een gedeelde spreadsheet met vaste kolommen en één eigenaar. Zodra er tientallen systemen zijn en u goedkeuringsstappen of herinneringen wilt, past een ITSM-, CMDB- of GRC-tool beter. Belangrijker dan de tool is dat inkoop en wijzigingsbeheer het register automatisch voeden.
Van register naar beleid in 40 minuten
Een register laat zien wat er is; beleid bepaalt wat mag. Met de gratis AI governance-scan en AI-beleidsdocumenten van Opsio beantwoordt u in veertien stappen, ongeveer 40 minuten, vragen over uw AI-gebruik, ook over hoe u tools bijhoudt en schaduw-AI beheerst. Zodra u verzendt, krijgt u een volwassenheidsbeeld over tien domeinen en vier documenten op basis van uw antwoorden: een AI-gebruiksbeleid, een AI governance-raamwerk, een Checklist AI-leveranciersbeoordeling en een Sjabloon AI-risicoanalyse. De vragen zijn in het Nederlands, de documenten worden in het Engels geleverd als bewerkbare Word-bestanden. Gratis en vrijblijvend.
Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744. Gegevens over het Algoritmeregister en Nederlandse toezichthouders: stand oktober 2026.
Over de auteur
Hoofd Innovatie
Jacob leidt innovatie bij Opsio en is gespecialiseerd in digitale transformatie, AI, IoT en cloud-gedreven oplossingen die complexe technologie omzetten in meetbare zakelijke waarde. Met bijna 15 jaar ervaring werkt hij nauw samen met klanten om schaalbare AI- en IoT-oplossingen te ontwerpen, leveringsprocessen te stroomlijnen en technologische strategieën te creëren die duurzame groei en blijvende zakelijke impact stimuleren.
Redactionele richtlijnen: Dit artikel is geschreven door een gecertificeerde specialist en beoordeeld door ons engineeringteam. We herzien het wanneer de technologie of regelgeving waarover het gaat verandert; de datums hierboven tonen de laatste update. Opsio is redactioneel onafhankelijk — we adviseren oplossingen op technische merites, niet op basis van commerciële relaties.