AP start nieuwe directie voor AI-toezicht: wat TCA betekent voor bedrijven en burgers

De Autoriteit Persoonsgegevens (AP) heeft een nieuwe directie opgericht voor het toezicht op kunstmatige intelligentie en algoritmes. De directie heet Toezicht en Coördinatie AI/Algoritmes, afgekort TCA, en ging op 9 oktober 2026 van start. Het is een stap in een taak die de AP sinds 2023 coördinerend uitvoert, nu met een directie en een blik op het toekomstige markttoezicht onder de Europese AI-verordening.

Voor bedrijven die AI ontwikkelen of inzetten, en voor burgers die dagelijks met AI-systemen te maken krijgen, is dit nieuws met praktische gevolgen. Het betekent nog niet dat de AP morgen boetes kan uitdelen als AI-markttoezichthouder, maar het toezicht krijgt wel een vaste vorm en organisaties kunnen zich beter voorbereiden op regels die eraan komen.

Wat is er precies gestart

TCA zet het coördinerend toezicht op AI en algoritmes voort dat de AP sinds 2023 uitvoert. Dat toezicht gaat over de risico’s en effecten van AI-systemen die sectoren overstijgen: systemen die mensen beïnvloeden, selecteren of beoordelen, en systemen die steeds zelfstandiger taken uitvoeren. De nieuwe directie bundelt die werkzaamheden en bereidt tegelijk het AI-markttoezicht voor.

Samen met de Rijksinspectie Digitale Infrastructuur (RDI) werkt TCA aan een AI-sandbox en aan een gezamenlijk AI Coördinatiecentrum. In een sandbox kunnen organisaties en toezichthouders samen verkennen hoe nieuwe AI-toepassingen zich verhouden tot de regels, voordat die op grote schaal worden ingezet.

Waarom de AP dit nu doet

AI is geen experiment meer dat alleen in een laboratorium plaatsvindt. Het zit in wervingssystemen die cv’s sorteren, in klantenservice die vragen beantwoordt, in camera’s die beelden analyseren en in software die beslissingen voorbereidt over mensen. Die systemen kunnen grote gevolgen hebben voor individuen, voor organisaties en voor de samenleving als geheel.

De AP wijst in haar toelichting op recente incidenten waarbij AI-agents zonder toestemming toegang kregen tot private en publieke online omgevingen. Zulke voorbeelden laten volgens de toezichthouder zien dat regels alleen niet genoeg zijn. Er is ook goed georganiseerd, proactief en deskundig toezicht nodig, en dat toezicht moet vroeg ingrijpen, dus voordat een probleem op grote schaal schade veroorzaakt.

Daar komt bij dat de Europese AI-verordening een nieuwe toezichtstructuur vraagt. Lidstaten moesten hun toezichthouders aanwijzen, met als deadline 2 augustus 2025. Nederland bouwt die structuur nu verder op, en de start van TCA is een zichtbaar onderdeel van die opbouw. Het is dus geen losse reorganisatie, maar een voorbereiding op een wettelijke taak die nog moet worden vastgelegd.

Wat TCA wel kan, en wat nog niet

Dit onderscheid is belangrijk, omdat het gemakkelijk tot misverstanden leidt. De AP is de beoogde markttoezichthouder voor AI in Nederland, maar zij is nog niet formeel aangewezen als zodanig. Zij beschikt pas over bevoegdheden in het AI-markttoezicht zodra de Nederlandse Uitvoeringswet AI-verordening van kracht is. Die wet is op dit moment nog in voorbereiding.

Wat TCA nu al wel doet, is coördineren, kennis opbouwen en voorbereiden. De directie werkt samen met andere toezichthouders en met het Europese AI-bureau aan de inrichting van de Europese toezichtaanpak. Zij bouwt expertise op over AI-veiligheid, onder meer over het testen van geavanceerde modellen. En zij blijft organisaties informeren over verantwoorde inzet van AI.

Wat TCA nu nog niet doet, is optreden als volwaardige AI-markttoezichthouder met de handhavingsbevoegdheden die bij die rol horen. Zonder uitvoeringswet ontbreekt de wettelijke basis daarvoor.

Wat dit betekent voor bedrijven

Voor bedrijven verandert er op korte termijn geen enkele concrete verplichting door de start van TCA alleen. Er komt geen nieuwe vergunningplicht bij en de privacyregels veranderen niet. De Algemene Verordening Gegevensbescherming (AVG) geldt onverminderd, ook voor AI-systemen die persoonsgegevens verwerken.

Op middellange termijn is de boodschap duidelijker: bereid je voor. Organisaties die AI inzetten voor beslissingen over mensen, doen er goed aan om nu al vast te leggen welke gegevens een systeem gebruikt, waar die gegevens vandaan komen, welke keuzes het systeem maakt en hoe een mens die keuzes kan controleren. Dat soort documentatie is niet alleen nuttig voor later toezicht, maar helpt ook intern: het maakt duidelijk waar een systeem goed werkt en waar het risico’s oplevert.

Wat burgers eraan kunnen hebben

Voor burgers is het belangrijkste effect misschien wel het minst zichtbare: er komt een toezichthouder die specifiek kijkt naar AI-systemen die mensen beoordelen of beïnvloeden. Denk aan een systeem dat bepaalt of iemand wordt uitgenodigd voor een sollicitatiegesprek, of een chatbot die medische of financiële vragen beantwoordt. Zulke systemen moeten transparant zijn over hun rol en mogen mensen niet ongemerkt benadelen.

De AP bouwt haar werk voort op ervaring met de AVG. Dat betekent dat de bescherming van persoonsgegevens een vast onderdeel blijft van het AI-toezicht. Burgers houden hun bestaande privacyrechten: het recht om te weten welke gegevens worden verwerkt, het recht om onjuiste gegevens te laten corrigeren en in bepaalde gevallen het recht om bezwaar te maken tegen een geautomatiseerde beslissing.

Wat er nog moet gebeuren

De belangrijkste openstaande stap is de Nederlandse Uitvoeringswet AI-verordening. Zodra die wet van kracht is, krijgt de AP haar volledige bevoegdheden als markttoezichthouder. Tot die tijd blijft het werk van TCA voorbereidend van aard. Hoe snel die wet er komt, is een politieke vraag, en de AP kan dat proces niet alleen bepalen.

Daarnaast moet de samenwerking met andere toezichthouders in de praktijk gaan werken. AI raakt veel sectoren, van zorg en financiën tot onderwijs en werk, en elke sector heeft al eigen toezichthouders. Het AI Coördinatiecentrum moet voorkomen dat die werelden langs elkaar heen werken.

De start van TCA is daarmee geen eindpunt, maar een markering. Nederland krijgt een herkenbare plek waar het toezicht op AI en algoritmes wordt georganiseerd. Voor bedrijven is dat een signaal om hun AI-huishouding op orde te brengen. Voor burgers is het een signaal dat hun belangen in het AI-tijdperk een vaste bewaker krijgen, ook als de volledige bevoegdheden nog even op zich laten wachten.

Frequently Asked Questions

Is de AP nu al de officiële AI-markttoezichthouder?

Nee. De AP is de beoogde markttoezichthouder, maar nog niet formeel aangewezen. Zij krijgt haar bevoegdheden voor het AI-markttoezicht pas zodra de Nederlandse Uitvoeringswet AI-verordening van kracht is.

Wat doet directie TCA op dit moment dan wel?

TCA zet het coördinerend toezicht op AI en algoritmes voort dat de AP sinds 2023 uitvoert, bereidt het toekomstige AI-markttoezicht voor en werkt met de RDI aan een AI-sandbox en een gezamenlijk AI Coördinatiecentrum.

Moet mijn bedrijf nu al iets anders doen door de start van TCA?

Er komt geen nieuwe verplichting bij door de start alleen, en de privacyregels blijven onveranderd gelden. Het is wel verstandig om nu al vast te leggen welke gegevens een AI-systeem gebruikt en hoe mensen de uitkomsten kunnen controleren.