• CorporatieGids
• Nieuws

Hans Akershoek en Patrick van Lingen (Chaptr2): AI verantwoord inzetten begint bij grip op privacy, governance en leveranciers

Geplaatst door CorporatieMedia op Thursday 13 August 2026

AI biedt woningcorporaties steeds meer mogelijkheden. Tegelijkertijd raken AI-toepassingen al snel aan privacy, zeker wanneer persoonsgegevens van huurders, medewerkers of andere betrokkenen worden verwerkt. De AVG en AI Act moeten daarom niet los van elkaar worden bekeken, stellen Business Consultants Hans Akershoek en Patrick van Lingen van Chaptr2. CorporatieGids Magazine sprak met hen over veilige inzet van AI en wat verantwoordelijkheid voor gegevensverwerking in de praktijk betekent.

Wat zijn volgens jullie momenteel de belangrijkste uitdagingen voor woningcorporaties als het gaat om privacy en AI?
De AVG sluit de AI Act niet uit en andersom, het kan zo zijn dat een verwerking op basis van de AI Act is toegestaan, maar dat er vanuit de AVG een blokkade is. Hier ligt dan ook de uitdaging. Neem bijvoorbeeld een AI-gestuurde chatbot. Die kun je prima inzetten voor het eerste contact met de huurder, maar je hebt geen controle over wat de huurder vraagt. Het kan zijn dat hier bijzondere persoonsgegevens in worden geplaatst die dan wel worden verwerkt. En juist aan de verwerking van dit type persoonsgegevens stelt de AVG hogere eisen.

Een tweede uitdaging zijn de verwerkersovereenkomsten die vaak bij de invoering van de AVG zijn afgesloten en geen rekening houden met de inzet van AI binnen de dienstverlening. Het is zaak dat woningcorporaties bestaande verwerkingsovereenkomsten herijken wanneer een leverancier AI gaat inzetten binnen zijn dienstverlening.

Waar ligt de overlap tussen privacy en AI voor woningcorporaties?
De AI-systemen binnen een corporatie kunnen persoonsinformatie van huurders verwerken. Voor de verwerking van persoonsgegevens geldt de AVG, die onder andere kijkt naar de rechtmatigheid van de verwerking en de rechten van de betrokkenen. De AI Act kijkt naar de risico’s van AI-systemen. Zodra de informatie van de AI-systemen gebruikt wordt voor besluitvorming of profilering, raken deze elkaar.

Waar zitten volgens jullie de belangrijkste spanningen tussen die twee kaders?
De snelheid van innovatie – AI – en de remmende kracht van wetgeving – AVG en AI Act – zijn elkaars tegenpolen en dat veroorzaakt spanning. Om te voorkomen dat de spanningen ontstaan, is het zaak om met het team dat AI wil gaan inzetten er vanaf het begin af aan bij betrokken te zijn als privacy officer. Vanuit deze rol kan je dan ook de toets doen voor wat betreft de AI Act.

Jullie zien verschillen in hoe leveranciers met deze wetgeving omgaan. Waar moeten corporaties volgens jullie extra alert op zijn?
De wetgeving komt tot uiting in verschillende onderdelen, zoals het verwerkingsregister en de verwerkersovereenkomsten met de leveranciers. Deze laatste worden vaak geschreven vanuit leveranciersperspectief. Eisen worden dan zacht en niet SMART geformuleerd.

Vanuit de AVG is er geen verplichting om de inzet van AI op te nemen in de verwerkersovereenkomst, maar het is ook goed om alvast het gebruik van AI mee te nemen in de verwerkersovereenkomst en bij de jaarlijkse leveranciersbeoordelingen. Een voorbeeld is de vraag waar data blijven wanneer een contract wordt beëindigd en er gebruik is gemaakt van een AI-functionaliteit. En hoe toon je daarbij aan dat de data ook daadwerkelijk zijn vernietigd na beëindiging van het contract?

Wat blijft in zo’n situatie de verantwoordelijkheid van de corporatie en wat mag je van een leverancier verwachten?
De verantwoordelijkheid blijft bij de corporatie zelf. De corporatie is in de meeste gevallen verwerkingsverantwoordelijke volgens de AVG. Dat een leverancier AI-functionaliteit gebruikt, verandert niet dat de corporatie het systeem inzet, de doelen bepaalt en de gevolgen draagt. Toch mag je van de leverancier verwachten dat deze AI verantwoord inzet. Denk bijvoorbeeld aan de beveiliging en de transparantie van de verwerkingen die plaatsvinden.

Wat moet een corporatie zélf minimaal weten voordat zij AI-toepassingen in processen of dienstverlening gebruikt?
Als woningcorporaties moet je zelf op de hoogte zijn over wat AI is en hoe je het kan inzetten, maar ook de gevaren van de inzet. Die kennis kun je delen via workshops, intranet en spelregels voor het gebruik van AI in het dagelijkse werk. Ook stelt de AI Act dat een woningcorporatie een mate van AI-geletterdheid bezit, oftewel weet wat AI potentieel kan en hoe je er verantwoord mee om kunt gaan.

Welke rol speelt een privacy officer hierin?
De privacy officer speelt hierin een centrale rol. Hij of zij bewaakt de risico’s, geeft adviezen en brengt de betrokken partijen aan tafel. Zeker bij AI gaat het niet alleen om privacy in het kader van de AVG, maar ook om beleid, ethiek, beveiliging en transparantie. De corporatie moet intern zorgen dat de verschillende rollen die te maken hebben met AI en de AVG samenwerken. Denk aan bestuur, privacy officer, security officer, audit en control, het AI-team en de verantwoordelijke binnen de business.

Vanuit Chaptr2 kunnen wij woningcorporaties ondersteunen met de invulling van de rol van de privacy officer op basis van een abonnement. De inzet dekt het hele spectrum van de AVG, dus ook een binnengekomen inzageverzoek van een huurder. Daarnaast heeft Chaptr2 ook een Masterclass AVG en AI Act.

Hoe kunnen woningcorporaties zich de komende jaren het beste organiseren om verantwoord met AI om te gaan en privacy te waarborgen?
Woningcorporaties kunnen AI de komende jaren het beste centraal en verantwoord organiseren, in plaats van versnipperd of ad hoc. Dat begint met helder beleid op het gebied van privacy en AI, blijvende training van medewerkers en nauwe samenwerking tussen privacy en security. Om te voorkomen dat losse initiatieven buiten de compliance om ontstaan, helpt het om AI centraal te beleggen. Een privacyverklaring op de website moet aan de achterkant worden ondersteund door actuele verwerkingsovereenkomsten, vastgesteld privacybeleid met aandacht voor AI, een up-to-date verwerkingsregister én uitgevoerde DPIA’s waar nodig. Alleen dan kan AI op een manier worden ingezet die niet alleen vernieuwend is, maar ook verantwoord en aantoonbaar zorgvuldig.

Bron: CorporatieGids Magazine, Foto: Theo Scholten