De algoritmes die de overheid gebruikt, voldoen in de meeste gevallen niet aan de basiseisen. Dat brengt allerlei risico’s met zich mee, zoals een datalek of ongeautoriseerde toegang. Met name algoritmes die gebruikt worden door de politie, het ministerie van Justitie en Veiligheid en de Rijksdienst voor Identiteitsgegevens schieten tekort. Dat blijkt uit onderzoek van de Algemene Rekenkamer.
Een algoritme is simpel gezegd een reeks instructies die een computer uitvoert. Algoritmes worden in de politiek gebruikt om besluitvorming sneller, doelmatiger en effectiever te laten plaatsvinden. Ook zijn ze in staat om patronen te herkennen. Dat is handig om bijvoorbeeld fraude sneller op te sporen en terug te dringen.
Dat klinkt mooi, maar uit de praktijk weten we dat het gebruik van algoritmes soms totaal verkeerd kan uitpakken. De Fraude Signalering Voorziening (FSV) is daar een goed voorbeeld van. De Belastingdienst verzamelde jarenlang onrechtmatig persoonsgegevens van Nederlanders waarvan het vermoeden bestond dat deze mogelijk had gefraudeerd. Een algoritme spoorde potentiële fraudeurs op.
De Autoriteit Persoonsgegevens concludeerde dat de fiscus de rechten van 270.000 Nederlanders “op ongekende wijze” had geschonden. “Mensen werden vaak onterecht als fraudeur bestempeld, met vreselijke gevolgen. Stond je in FSV, dan kregen sommigen geen betalingsregeling of kwam je niet in aanmerking voor schuldsanering. De Belastingdienst heeft met FSV levens overhoop gehaald”, aldus AP-bestuursvoorzitter Aleid Wolfsen. Daarom legde de toezichthouder de Belastingdienst een boete van 3,7 miljoen euro op.
Bovenstaand voorbeeld is misschien een uitschieter. De Algemene Rekenkamer meent dat algoritmes op een verantwoorde manier ingezet kunnen worden door uitvoeringsorganisaties van de overheid. In praktijk gebeurt dat helaas niet altijd.
Onderzoekers keken naar negen verschillende algoritmes die door overheidsdiensten worden gebruikt. In drie gevallen voldeden de algoritmes aan alle basisvereisten. Bij de overige zes is dat niet het geval en zijn er uiteenlopende risico’s. Een gebrekkige controle op prestaties of effecten, vooringenomenheid, een datalek of ongeautoriseerde toegang noemt de Rekenkamer als voorbeeld.
Volgens de Rekenkamer voldoen de algoritmes die worden gebruikt door de politie, het directoraat-generaal Migratie van het ministerie van Justitie en Veiligheid en de Rijksdienst voor Identiteitsgegevens niet aan de basisvereisten. De laatste twee instanties besteden de ontwikkeling en het beheer van het algoritme uit. De Rijksdienst voor Identiteitsgegevens kan zodoende niet nagaan of het algoritme de kwaliteit van pasfoto’s correct vaststelt. “Dit kan discriminatie in de hand werken”, zo waarschuwt de Rekenkamer.
Onderzoekers waarschuwen verder dat bij zes van de negen organisaties geen overzicht is welke medewerkers toegang hebben tot data en het algoritme. “Ongeautoriseerde toegang tot systemen kan tot beschadiging of verlies van data leiden, met alle gevolgen voor burgers of bedrijven”, aldus de Algemene Rekenkamer. Organisaties lopen eveneens risico als het IT-beheer niet op orde is.
Maar er is ook goed nieuws. De geautomatiseerde aanpak voor het vaststellen van medische rijgeschiktheid door het Centraal Bureau Rijvaardigheid (CBR) voldoet aan alle basiseisen. Dat geldt ook voor het koppelen van verkeersboetes aan kentekengegevens door het Centraal Justitieel Incassobureau (CJIB) en de controle via een algoritme op rechtmatigheid van bijstandsuitkeringen door het Inlichtingenbureau.
En dat is maar goed ook. “Zonder de inzet van algoritmes is rijksbeleid niet uitvoerbaar”, zo schrijft de Algemene Rekenkamer. “Zo worden snel en geautomatiseerd miljoenen handelingen per maand verricht, problemen opgelost of voorspellingen gedaan.”
De overheid neemt de onderzoeksresultaten van de Algemene Rekenkamer serieus. Staatssecretaris van Koninkrijksrelaties en Digitalisering Alexandra van Huffelen gaat met uitvoeringsorganisaties in gesprek om te kijken hoe tekortkomingen kunnen worden aangepakt. Nog voor het zomerreces wil de staatssecretaris de Tweede Kamer informeren over eventuele vervolgstappen.
