Blaffende waakhonden bijten te laat voor toezicht op algoritme

Algoritmes vragen om proactief systeemtoezicht waarbij organisaties allereerst zelf moeten zorgen dat beheersing op orde is. Wel getoetst door toezichthouders met zowel branche- als technische kennis.

Uit onderzoeken blijkt dat een groot deel van de burgers geen vertrouwen heeft in de inzet van algoritmes bij de overheid. De schandalen rondom fraudeopsporing bij gemeente Rotterdam en de toeslagenaffaire hebben daarbij niet geholpen. Daarmee lijkt het voornemen om een algoritmetoezichthouder op te tuigen een stap in de goede richting. Investeringen in een sterke positie van de AP worden nu in één adem genoemd met het toezicht op algoritmes. In beginsel lijkt dat een logische oplossing. De meest impactvolle algoritmes gebruiken immers persoonsgegevens en gaan over personen. Daarmee is de relatie met privacy direct gelegd. Bovendien bevat de wet Algemene Verordening Gegevensbescherming (AVG) een artikel over geautomatiseerde besluitvorming. Algoritmes dus.

Toch is het beleggen van toezicht op algoritmes bij de AP een slecht idee. Deze waakhond werkt reactief. Als het kwaad al is geschied, komt de AP in beeld. Deze reactieve manier van werken, leent zich niet voor algoritmes. De toeslagenaffaire is het pijnlijke bewijs. Voor effectief toezicht op algoritmes is bovendien kennis nodig van zowel gebruikte technologie als van de sector waar de algoritmes worden ingezet. De kwaliteit van een risicoanalyse in de bankensector is immers van een hele andere orde dan de risicotoets in de zorgsector waar algoritmes worden ingezet bij het voorspellen van een bepaalde diagnose. Toezicht op algoritmes is daarmee wezenlijk anders dan toezicht op privacy. De AVG-wetgeving bepaalt namelijk wat wel en niet is toegestaan bij de verwerking van persoonsgegevens ongeacht de omgeving waarin die persoonsgegevens worden gebruikt.  

Elke risicoanalyse is anders

Algoritmes vragen om proactief systeemtoezicht. Zo moeten organisaties in eerste instantie zelf zorgen dat het systeem van interne risicobeheersing op orde is. Daarvoor is inzicht nodig in de verschillende algoritmes die een organisatie gebruikt. Het door de WRR geopperde algoritmeregister voor bedrijven kan daarvoor uitkomst bieden. Organisaties kunnen daarmee zelf adequaat risicoanalyses uitvoeren waarbij de toezichthouder van de sector zoals de AFM in de financiële sector of de NZA in de zorg kan toetsen of het stelsel van interne beheersing op orde is. Dit risicogebaseerd toezicht is effectief en scheelt veel tijd, geld en capaciteit. Want dat ontbreekt momenteel ook bij de AP.

Het is uiteraard aan de politiek om de juiste keuzes te maken. Als het toch de AP wordt die toezicht gaat houden op algoritmes, moet de hele organisatie op de schop. Want een blaffende waakhond zorgt niet voor grip op algoritmes. Alleen proactief systeemtoezicht zorgt ervoor dat organisaties en burgers hun voordeel doen met algoritmes. Burgers willen vooral uitleg waarom ze wel of geen hypotheek krijgen of al dan niet in aanmerking komen voor een uitkering. Of die uitleg wordt gegeven met hulp van een computer of een deskundig persoon, doet er nauwelijks toe. Zolang genomen beslissingen maar goed uit te leggen zijn. Dat kan alleen als van het begin af aan duidelijk is of de gebruikte algoritmes deugen.