Copilot bij de gemeente: de DPIA na het AP-advies in 10 stappen

Een middelgrote gemeente, een gewone dinsdagochtend. Het klantcontactcentrum wil Copilot om antwoorden op veelgestelde vragen sneller op te stellen. Juridische Zaken wil bezwaarschriften laten samenvatten. Communicatie heeft het in een proefomgeving al geprobeerd en is enthousiast. De CIO heeft veertig licenties in de begroting en vraagt de privacy officer om voor de kerst groen licht: "Het blijft toch binnen onze tenant, en de Rijksoverheid heeft er al een DPIA op gedaan?"

Sinds het advies van de Autoriteit Persoonsgegevens (AP) over Microsoft 365 Copilot bij de gemeente Haarlemmermeer is dat antwoord niet meer met een handtekening onder een standaardformulier te geven. De AP concludeerde dat de voorgenomen verwerking "inbreuk zou maken op de AVG" en sloot af met een helder advies: "Niet starten met de voorgenomen verwerking dan nadat de bovengenoemde maatregelen zijn genomen." Dat betekent niet dat Copilot bij gemeenten verboden is. Het betekent wel dat de eigen DPIA van de gemeente het werk moet doen, en dat de referentie-DPIA van SLM Rijk daarvoor niet in de plaats kan komen. In dit artikel leest u wat de AP precies vraagt, wat dat voor uw gemeente betekent, en hoe u de DPIA in tien stappen opbouwt.

Wat de AP adviseerde over Copilot bij Haarlemmermeer

De gemeente Haarlemmermeer diende op 11 juni 2025 een verzoek om voorafgaande raadpleging in voor een kleinschalige pilot met Microsoft 365 Copilot. Volgens bijlage 1 van het advies ging het om 15 tot 20 medewerkers, met nog niet vastgestelde use cases, binnen een kader dat beperkt was tot het klantcontactcentrum, efficiencywinst in het werkproces bezwaar en beroep, en communicatie en externe betrekkingen. De gemeente baseerde zich op de referentie-DPIA die in opdracht van SLM Rijk is uitgevoerd, gedateerd 17 december 2024. Het advies verscheen in juli 2026 op de site van de AP.

Eén vroeg punt verdient aandacht, omdat veel gemeenten zo redeneren. De gemeente verwachtte dat de pilot geen nieuwe verwerking van persoonsgegevens zou opleveren. De AP volgde dat niet (hoofdstuk 5): de in- en output is gekoppeld aan individuele gebruikers, de inhoud kan persoonsgegevens bevatten, en via de Microsoft Graph heeft Copilot toegang tot bestanden en metadata. Dat de gemeente die gegevens al verwerkt, maakt niet uit. De AP vindt een pilot positief, maar voegt toe: "ook een pilot aan de AVG moet voldoen."

De AP gaat niet in op de grondslag (artikel 6 AVG), de uitzonderingen voor bijzondere persoonsgegevens (artikel 9) en de rechtmatigheid van trainingsdata (hoofdstuk 6). Dat is geen vrijbrief: die vragen beantwoordt u in uw eigen DPIA. Het eigenlijke advies bestaat uit drie onderdelen.

A. De basis op orde

Voordat een organisatie een generatief AI-systeem in gebruik neemt, moet volgens de AP de informatiebeveiliging en gegevenshuishouding op orde zijn (paragraaf 6.1). De redenering: wanneer een generatief AI-systeem toegang krijgt tot de systemen van de organisatie, kan het bestaande, nog niet ontdekte problemen blootleggen en verergeren. De AP noemt vier randvoorwaarden.

• Verwerkingsregister (6.1.1). Een actueel register dat ten minste globaal laat zien welke verwerkingen door het AI-systeem worden geraakt, en dat tijdens en na de implementatie wordt bijgewerkt.
• Overzicht van documenten en labelen (6.1.2). Weten welke persoonsgegevens er op documentniveau zijn, verouderde bestanden opschonen of uitsluiten, en bestanden labelen die niet in het AI-systeem mogen terechtkomen. Volgens de VNG, die de AP via een notitie van de Informatiebeveiligingsdienst aanhaalt, labelen de meeste gemeenten geen documenten. En scherp: "Het is uitdrukkelijk niet de bedoeling dat hier pas mee wordt gestart zodra het generatieve AI-systeem al in gebruik is genomen."
• Autorisaties (6.1.3). "Copilot heeft volgens de Gemeente toegang tot alle gegevens waar de gebruiker ook toegang toe heeft." De AP acht het daarom noodzakelijk dat de organisatie eerst haar autorisatiebeleid en lopende autorisaties onderzoekt (artikel 32 AVG, de BIO), en noemt functies die automatisch toegang toekennen via een gedeelde link.
• Cloudomgeving (6.1.4). Zicht op de verwerkingen in de bestaande cloudomgeving, getoetst aan de AVG en het Rijksbrede cloudbeleid 2022. Al klant zijn bij een leverancier ontslaat niet van de plicht alternatieven te onderzoeken; bij hoog risico kan een self-hosted systeem volgens de AP noodzakelijk zijn.

B. Generatieve AI in de publieke sector

Het tweede onderdeel (paragraaf 6.2) geldt voor elk generatief AI-systeem, niet alleen voor Copilot.

Doelbinding, dataminimalisatie en opslagbeperking (6.2.1). "Het inzetten van een generatief AI-systeem mag geen doel op zich zijn." De gemeente omschreef het doel als "het ondersteunen van de medewerker"; de AP vindt dat te vaag en te algemeen om als welbepaald en uitdrukkelijk omschreven doel te gelden. Noodzaak en proportionaliteit beoordeelt u vanuit het doel, niet vanuit de oplossing. Voor dataminimalisatie moet vooraf vaststaan tot welke gegevens en applicaties het systeem toegang heeft; toegang tot e-mail vraagt een aparte onderbouwing. Biedt de leverancier die instellingen niet, dan kan het systeem volgens de AP niet in gebruik worden genomen.

Onjuiste of ongewenste antwoorden (6.2.2). Een generatief AI-systeem geeft niet altijd het juiste antwoord, en onjuiste output klinkt meestal plausibel. Samen met automation bias maakt dat het juistheidsbeginsel van artikel 5 lid 1 onder d AVG tot een reëel probleem. Gebruikers moeten de kennis en de tijd hebben om output te controleren.

Geautomatiseerde besluitvorming (6.2.3). Gelet op de publieke taak en de beschreven werkprocessen, waaronder bezwaar en beroep, acht de AP het zeer waarschijnlijk dat daarin individuele besluitvorming met rechtsgevolgen kan plaatsvinden; uit de DPIA bleek niet dat de gemeente dat had getoetst. Heeft een generatief AI-systeem een beslissende rol, dan is sprake van uitsluitend geautomatiseerde besluitvorming (artikel 22 AVG). De gemeente moet periodiek toetsen of de menselijke factor doorslaggevend blijft, en medewerkers moeten voldoende kennis hebben van werking en risico's.

Rechten van betrokkenen (6.2.4). De DPIA van de gemeente noemde het recht op informatie niet. De AP verlangt dat burgers worden geïnformeerd over nieuwe en geraakte verwerkingen, en beveelt aan Copilot bij gebruik te registreren in het Algoritmeregister van de Nederlandse overheid.

C. De specifieke risico's van Copilot

Het derde onderdeel (paragraaf 6.3) volgt de vier hoge restrisico's uit de oorspronkelijke referentie-DPIA van SLM Rijk, waarvan de AP aannam dat de gemeente ze onderschreef: betrokkenen kunnen hun rechten niet uitoefenen, onjuiste gegenereerde persoonsgegevens kunnen negatieve gevolgen hebben, er is verlies van controle door gebrek aan transparantie over Required Service Data (RSD), en gepseudonimiseerde gegevens kunnen worden geheridentificeerd door onbekende bewaartermijnen van RSD. In haar samenvatting (hoofdstuk 2) stelt de AP: "Een gebrek aan transparantie vanuit Microsoft ontslaat de Gemeente echter niet van de verplichting om de AVG na te leven." Ook wijst ze erop dat niet zij maar de Ierse Data Protection Commission leidend toezichthouder is voor Microsoft.

De concrete punten:

• Rol van Microsoft (6.3.1). De gemeente wist zelf niet in welke hoedanigheid Microsoft handelt, en volgens de referentie-DPIA is Microsoft voor sommige verwerkingen verwerkingsverantwoordelijke. Wil de leverancier niet meewerken aan aanvullende afspraken, dan kan hij niet worden ingeschakeld als de gemeente weet dat daarmee de AVG wordt overtreden.
• Randvoorwaarden uit de referentie-DPIA (6.3.2). De informatiehuishouding op orde, Bing blokkeren, de gratis consumentenvarianten en het openbare feedbackforum blokkeren, vooraf aangevinkte marketingmails uitzetten, en centraal bewaartermijnen vaststellen voor prompts en antwoorden. Allemaal vóór ingebruikname.
• Inzagerecht (6.3.3). De AP acht aannemelijk dat overheidsorganisaties door gebrek aan transparantie bij Microsoft niet aan het inzagerecht kunnen voldoen, met name voor Diagnostic Data.
• Onjuiste persoonsgegevens en filters (6.3.4). De chatinterface versterkt automation bias, bronverwijzingen zijn onvolledig of verwijzen soms naar niet-bestaande bestanden, en het Responsible AI-filter van Microsoft kan niet worden aangepast. De AP acht het noodzakelijk dat de gemeente inzicht en invloed heeft op die filters.
• Required Service Data en bewaartermijnen (6.3.5 en 6.3.6). Zolang Microsoft niet voldoende duidelijk maakt wat er in RSD zit, waarvoor het wordt gebruikt en hoe lang het wordt bewaard, "is de enige manier voor de Gemeente om dit risico te mitigeren het niet gebruiken van Copilot."

De conclusie: twee lijsten met maatregelen

Hoofdstuk 8 zet de maatregelen in twee lijsten. De eerste geldt voordat de gemeente een generatief AI-systeem in gebruik neemt, ongeacht welk systeem: de punten uit onderdeel A en B hierboven. De tweede komt daar bovenop als de keuze op Copilot valt: de punten uit onderdeel C, met als harde voorwaarde niet starten zonder voldoende transparantie over RSD en bewaartermijnen. De AP-maatregelen komen bovenop alle maatregelen uit de referentie-DPIA; de AP gaat ervan uit dat de gemeente die vóór gebruik ook implementeert. Werkt een leverancier niet mee, dan moet dat alsnog worden geborgd of kan de leverancier niet worden ingeschakeld. Zonder deze maatregelen zal de verwerking volgens de AP "waarschijnlijk als onrechtmatig" kwalificeren. Een kleinschalige pilot met de use cases met het laagste risico kan nodig zijn om te verifiëren dat de maatregelen werken.

Juridisch is dit een schriftelijk advies op grond van artikel 36 lid 2 en artikel 58 lid 3 onder a AVG, geen bindend besluit. De AP houdt wel haar gewone bevoegdheden: klachten of andere informatie over de verwerking kunnen er volgens hoofdstuk 9 alsnog toe leiden dat zij nadere inlichtingen inwint of een onderzoek start.

Mag uw gemeente Copilot gebruiken? Wat het advies betekent

Het advies is gericht aan één gemeente. De AP schrijft in de inleiding dat andere gemeenten of overheidsinstellingen die van het advies gebruik willen maken, zelf moeten beoordelen of hun verwerking overeenkomt met die van Haarlemmermeer, en daarbij zelf alle omstandigheden van hun eigen verwerking moeten afwegen. Daar volgen naar onze lezing vier praktische conclusies uit.

Ten eerste: de referentie-DPIA is input, geen DPIA. De AP schrijft over de referentie-DPIA van SLM Rijk dat die "niet voldoet aan de eisen van artikel 35 AVG", omdat het een referentie-DPIA is die individuele verwerkingsverantwoordelijken gebruiken om hun eigen afweging in te kleuren. Tegelijk noemt de AP haar waardevol voor inzicht in de technische werking van Copilot. Wie de conclusies van de versie uit 2024 overneemt, neemt ook de vier hoge restrisico's over, zoals de AP bij Haarlemmermeer aannam: omdat de gemeente zich op de referentie-DPIA baseerde, ging de AP ervan uit dat zij ook die vier hoge restrisico's onderschreef.

Ten tweede: de updates van SLM Rijk zijn niet door de AP beoordeeld. SLM Rijk publiceerde op 11 september 2025 een eerste update van de referentie-DPIA. Daarin hielpen de maatregelen van Microsoft om twee van de vier hoge risico's te mitigeren, en daalden de andere twee naar middelhoog: mogelijk onjuiste en onvolledige persoonsgegevens in gegenereerde antwoorden, en de weinig verfijnde bewaartermijn van 18 maanden voor gepseudonimiseerde Required Service Data en telemetriegegevens. Een tweede update van 27 mei 2026 komt uit op twee middelhoge en negen lage risico's, en legt bij overheidsorganisaties de verantwoordelijkheid om te bepalen voor welke taken zij Copilot toestaan. De AP heeft de eerste update buiten haar advies gehouden (hoofdstuk 4): de gemeente had die versie niet meegenomen, de termijn van artikel 36 lid 2 AVG liet te weinig tijd om haar te beoordelen, en daarbij speelde mee dat een deel van de maatregelen in de publieke versie vertrouwelijk is. De tweede update komt in het advies niet voor; de AP baseerde zich alleen op de eerste versie van de referentie-DPIA en de DPIA van de gemeente. Of de maatregelen de risico's voor uw verwerking voldoende verkleinen, beantwoordt u dus in uw eigen DPIA, met de actuele stand bij Microsoft en SLM Rijk als bron. Naar onze lezing is het AP-advies daarover niet het laatste woord, maar de updates zijn dat evenmin.

Ten derde: de eerste lijst geldt voor elk generatief AI-systeem. Een gemeente die overstapt op een ander generatief AI-systeem, ontloopt de basis op orde en de publieke-sectortoets niet. Naar onze lezing is het advies daarmee breder dan de titel doet vermoeden.

Ten vierde: dit is meer dan een privacytraject. Autorisaties, labels en tenantinstellingen liggen bij informatiebeheer en IT, afspraken met Microsoft bij inkoop, besluitvorming bij de lijn. De DPIA is de plek waar die stukken samenkomen.

De Copilot-DPIA in tien stappen

De stappen hieronder volgen de opbouw van artikel 35 lid 7 AVG (beschrijving, noodzaak en evenredigheid, risico's, maatregelen) en zijn ingericht op de punten die de AP bij Haarlemmermeer liet zien. Ze zijn onze vertaling van het advies naar een werkvolgorde, geen voorschrift van de AP. Wanneer een DPIA bij AI verplicht is en hoe u die afbakent, staat in onze handleiding over de DPIA voor AI-systemen; de wettekst staat op de pagina over artikel 35 AVG. Welke onderdelen een gewone DPIA bij AI mist, staat in de AI-aanvulling op uw DPIA.

Twee opmerkingen bij die laatste stap. De AP adviseert binnen acht weken, een termijn die met zes weken kan worden verlengd, en die termijn wordt opgeschort zolang de AP op gevraagde informatie wacht (artikel 36 lid 2 AVG). Bij Haarlemmermeer vroeg de AP aanvullende informatie op en volgde een gesprek met de FG en een privacy officer; reken zulke rondes mee in uw planning. En volgens hoofdstuk 9 moet een gemeente bij een wezenlijk andere verwerking beoordelen of zij die opnieuw moet toetsen onder artikel 35 en eventueel opnieuw de AP moet raadplegen. Opschaling naar de hele organisatie is naar onze lezing zo'n moment; de AP noemt opschaling zelf "geen doel op zich" (voetnoot 133). De wettekst staat op de pagina over artikel 36 AVG.

Copilot en de AI Act: artikel 4, artikel 50 en hoog risico

De AP merkt in het advies zelf op dat naast de AVG ook de AI-verordening van toepassing kan zijn. Voor Copilot bij een gemeente betekent dat in de praktijk drie dingen.

Artikel 4 geldt al. De plicht rond AI-geletterdheid geldt sinds 2 februari 2025, en sinds 27 juli 2026 in de tekst van de Digital Omnibus (Verordening (EU) 2026/1744): aanbieders en gebruiksverantwoordelijken nemen maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen, zonder een specifiek individueel niveau te hoeven garanderen. Het AP-advies verwijst nog naar de oorspronkelijke formulering. De kern blijft: laat per rol zien welke maatregelen u nam, want de AP koppelt die kennis direct aan betekenisvolle menselijke tussenkomst.

Artikel 50 geldt sinds 2 augustus 2026, grotendeels aan de kant van de aanbieder. De plichten om AI-interactie kenbaar te maken (lid 1) en gegenereerde content machineleesbaar te markeren (lid 2) rusten op de aanbieder, bij Copilot dus op Microsoft. Voor systemen die al vóór 2 augustus 2026 op de markt waren, zoals Copilot, geldt lid 2 vanaf 2 december 2026 (artikel 111 lid 4). Bouwt de gemeente zelf een assistent voor inwoners op basis van Copilot Studio en stelt zij die onder eigen naam in gebruik, dan kan zij naar onze analyse zelf aanbieder van dat systeem zijn en geldt lid 1 ook voor haar. Als gebruiksverantwoordelijke heeft een gemeente vooral met lid 4 te maken. Maakt Communicatie met AI realistische beelden, audio of video die een deepfake vormen, dan moet zij bekendmaken dat de content kunstmatig is gegenereerd of gemanipuleerd. En wie met AI gegenereerde tekst publiceert om het publiek te informeren over aangelegenheden van algemeen belang, moet dat kenbaar maken, tenzij de tekst menselijk is beoordeeld of redactioneel is gecontroleerd en iemand de redactionele verantwoordelijkheid draagt. Een communicatieafdeling die Copilot-teksten redigeert en onder eigen verantwoordelijkheid publiceert, valt naar onze lezing doorgaans onder die uitzondering; leg die redactionele controle dan wel vast.

Copilot is in gewoon kantoorgebruik geen hoog-risicosysteem, maar het gebruik kan dat veranderen. De taak bepaalt de classificatie, niet de tool. Zet de gemeente Copilot structureel in voor een doel uit bijlage III, bijvoorbeeld om te beoordelen of iemand recht heeft op een voorziening of uitkering (punt 5 onder a) of om kandidaten te selecteren (punt 4), dan gelden vanaf 2 december 2027 de hoog-risicoplichten. Dat is anders als Copilot daarin alleen een voorbereidende of beperkte procedurele taak heeft, de uitkomst niet wezenlijk beïnvloedt en geen profilering uitvoert (artikel 6 lid 3); die afweging moet de aanbieder, hier mogelijk de gemeente zelf, dan wel vooraf documenteren (artikel 6 lid 4). Geldt het hoge risico wel, dan heeft de gemeente als gebruiksverantwoordelijke de plichten van artikel 26, zoals menselijk toezicht door bekwame personen, het bewaren van logs en het vooraf informeren van werknemersvertegenwoordigers, werknemers en betrokkenen, en moet zij als publiekrechtelijke instelling een grondrechteneffectbeoordeling (FRIA) uitvoeren onder artikel 27. Wie het beoogde doel van een AI-systeem voor algemene doeleinden zo wijzigt dat het hoog risico wordt, wordt bovendien zelf aanbieder van dat hoog-risicosysteem (artikel 25 lid 1 onder c), met de bijbehorende aanbiedersplichten. De overgangsregel van artikel 111 lid 2 (uiterlijk 2 augustus 2030 voor systemen die bedoeld zijn voor gebruik door overheidsinstanties) helpt hier weinig: die geldt alleen voor een hoog-risicosysteem dat al vóór 2 december 2027 voor dat bijlage III-doel in gebruik was, en vervalt bij een aanzienlijke wijziging in het ontwerp. Bij een clouddienst die de leverancier doorlopend bijwerkt, kunt u daar naar onze analyse niet op bouwen. Let ook op twee toepassingen die dit artikel zelf noemt. Bezwaar en beroep over voorzieningen of uitkeringen ligt naar onze analyse dicht tegen bijlage III punt 5 onder a aan, en het gebruik van Copilot-logs om prestaties of gedrag van medewerkers te beoordelen tegen punt 4 onder b. Sluit bijlage III-doelen in de DPIA daarom uitdrukkelijk uit, of maak de afweging van artikel 6 lid 3 zichtbaar. Meer in onze vergelijking van DPIA en FRIA, de FRIA voor gemeenten en ons stuk over het AI-register.

Een werkpakket voor de Copilot-DPIA

Om de stappen hierboven niet bij een leeg document te laten beginnen, hebben we een Copilot-DPIA-pakket samengesteld: een checklist langs de maatregelen uit het AP-advies, een vragenlijst voor de leverancier over rollen, Required Service Data en bewaartermijnen, en tekstblokken voor de DPIA die u op uw eigen situatie aanpast. Voor een eerste gestructureerde check van een concrete toepassing onder de AVG en de AI Act kunt u ook de casus-check gebruiken.

Terug naar de gemeente uit de opening. Het eerlijke antwoord aan de CIO is geen nee, maar een volgorde. Eerst de autorisaties, het register en de labels, want die hebben ook zonder Copilot waarde. Dan een paar afgebakende use cases met een concreet doel, buiten bezwaar en beroep zolang de menselijke beoordeling niet is ingericht. Dan de tenantinstellingen, de afspraken met Microsoft en een eerlijke weging van wat over Required Service Data nog onbekend is. En pas daarna een kleine pilot, met een DPIA die elk punt uit het AP-advies weegt, of met een eigen raadpleging van de AP. Wilt u dat de volgende AI-toepassing dezelfde route volgt, van aanmelding tot advies van de FG, dan beschrijft AI-governance via de privacyfunctie hoe u die route vast inricht. Wilt u dat iemand die DPIA met uw privacy officer en FG doorloopt of de juridische toets uitvoert, dan kunt u Zahed Ashkara inhuren als juridisch adviseur voor AI en privacy. Heeft uw gemeente geen of een overbelaste FG, dan kan dat ook als externe FG met AI-toezicht; wilt u een onafhankelijk oordeel met handtekening over uw Copilot-DPIA, kijk dan naar de beoordeling.