De IAMA is de mensenrechtentoets die een overheidsorganisatie doet voordat ze een algoritme inzet. Sinds februari 2026 is er een kortere versie die direct aansluit op de grondrechtentoets uit artikel 27 van de AI-verordening.
Voor een groot deel van de overheid wordt zo'n toets daarmee een wettelijke plicht. Wie een hoog-risico-AI-systeem inzet voor een publieke taak, moet hem straks aantoonbaar gedaan hebben.
Wat is de IAMA?
IAMA staat voor Impact Assessment Mensenrechten en Algoritmes. Het instrument is in 2021 ontwikkeld door de Universiteit Utrecht, in opdracht van het ministerie van Binnenlandse Zaken. Het doel staat in het Algoritmekader van de overheid: de risico's voor grondrechten beoordelen voordat een algoritme draait. Dat geldt voor AI-systemen en voor andere algoritmes, zoals een rekenregel die bepaalt welke aanvragen extra gecontroleerd worden.
De IAMA is uitdrukkelijk geen checklist. Het is een gestructureerd gesprek tussen mensen met verschillende achtergronden, dat eindigt in een advies aan degene die over de inzet beslist.
Wat is er veranderd in de versie van februari 2026?
In februari 2026 publiceerde de Rijksoverheid een herziene IAMA, gebaseerd op ervaringen van gebruikers. Het instrument is korter geworden en er is een apart toelichtingsdocument bij gekomen. De belangrijkste wijziging: de vragen die horen bij artikel 27 van de AI-verordening zijn herkenbaar gemarkeerd, met een eigen icoon.
De opbouw kent vijf delen. Het team begint bij het waarom: aanleiding, doel, publieke waarden, wettelijke grondslag en verantwoordelijkheden. Daarna volgt het wat, met het type algoritme, hoe het tot stand komt, de kwaliteit en de data governance en beveiliging. Het derde deel gaat over het hoe: de context waarin het algoritme gebruikt wordt, de rol van de medewerker, communicatie, monitoring en de impact op burgers. Pas in deel vier komen de grondrechten zelf aan bod, met de vragen naar ernst, effectiviteit, noodzaak en subsidiariteit. Deel vijf is de afweging en het advies, inclusief de restrisico's.
Wanneer is een IAMA verplicht?
De IAMA zelf is niet wettelijk verplicht. Het Algoritmekader beveelt hem aan voor hoog-risico-AI-systemen en voor algoritmes met veel impact op burgers.
De verplichting zit in de AI-verordening. Artikel 27 verplicht gebruikers van een hoog-risico-AI-systeem die een publiekrechtelijk orgaan zijn, of een private partij die openbare diensten verleent, tot een grondrechteneffectbeoordeling vóór het eerste gebruik. Dezelfde plicht geldt voor iedereen die AI inzet om de kredietwaardigheid van mensen te beoordelen of om risico's en premies voor levens- en ziektekostenverzekeringen te bepalen. Dat zijn de categorieën 5(b) en 5(c) uit bijlage III. Banken en verzekeraars vallen er dus ook onder. Systemen voor kritieke infrastructuur zijn juist uitgezonderd.
De beoordeling moet onder meer beschrijven in welk proces het systeem gebruikt wordt, hoe lang en hoe vaak, welke groepen mensen geraakt kunnen worden, welke risico's op schade er zijn, hoe menselijk toezicht geregeld is en wat je doet als het misgaat, inclusief klachtenregeling. De uitkomst meld je bij de markttoezichthouder.
Over de datum is dit jaar veel gedoe geweest. Met de Digital Omnibus on AI, sinds 27 juli 2026 van kracht, zijn de regels voor hoog-risicosystemen uit bijlage III verschoven naar 2 december 2027. Dat klinkt ver weg. Reken alleen even terug: een algoritme dat in 2027 live gaat, zit nu al in de ontwerpfase, en juist daar hoort deze toets thuis.
Hoe verhoudt de IAMA zich tot de DPIA?
Er is overlap. Een DPIA gaat over risicovolle verwerking van persoonsgegevens, de IAMA kijkt breder naar alle grondrechten, zoals gelijke behandeling. Artikel 27 staat toe dat je onderdelen van een bestaande DPIA hergebruikt, en BZK heeft een handreiking gemaakt om het Rijksmodel DPIA en de IAMA samen te gebruiken. Doe ze dus samen, met één team en één planning.
Wie zet je aan tafel?
De IAMA rekent op een team van vier tot zeven mensen onder leiding van een gespreksleider, dat bij voorkeur samen op locatie werkt. Het document noemt in elk geval een projectleider, een data scientist en een jurist. Voor het deel over grondrechten noemt het de jurist onmisbaar.
De tijdsinvestering is te overzien. De IAMA gaat uit van een sessie van twee uur voor de eerste twee delen, nog een sessie van twee uur voor deel drie en het begin van deel vier, uitzoekwerk door de jurist, en een afsluitende sessie van een uur. Het advies gaat daarna naar een inhoudelijk of politiek verantwoordelijke, die beslist en de restrisico's accepteert.
Mijn advies: beleg de IAMA niet alleen bij privacy of juridische zaken. Het ligt voor de hand om zo'n toets bij de privacy officer of de jurist neer te leggen, omdat het over rechten gaat. Maar een groot deel van de vragen gaat over hoe het systeem werkt: welke data erin gaat, hoe nauwkeurig het is, hoe het beveiligd is en wat er gebeurt als iemand de uitkomst manipuleert. Zet er daarom iemand bij die het systeem technisch begrijpt. Dat kan de data scientist zijn die het bouwde. Bij een ingekocht systeem is een AI security-specialist vaak de betere keuze, omdat die de leverancier de goede vragen stelt.
Voor organisaties die de rollen van functionaris gegevensbescherming en privacy officer nog aan het verdelen zijn, schreef ik eerder over waarom je die twee rollen beter splitst. Dat speelt hier ook: de FG houdt toezicht, maar schrijft de IAMA niet zelf.
Waar begin je?
Maak eerst een lijst van de algoritmes die je inzet of in ontwikkeling hebt, en bepaal per algoritme of het onder bijlage III valt. Plan voor nieuwe systemen de IAMA in de ontwerpfase, ruim voor de livegang. En kijk welke kennis je zelf in huis hebt. Ontbreekt de technische kant, dan is dat precies de plek voor tijdelijke versterking.
We zoeken specialisten in AI security en privacy en gegevensbescherming. Wat we voor de publieke sector doen, staat op onze pagina voor de overheid. Wil je sparren over wie je voor een IAMA nodig hebt? Bel of mail me.
