Bestuurbaar?

Wanneer een overheid haar eigen systemen niet meer kan uitleggen, controleren of stopzetten, is private code opgehouden hulpmiddel te zijn. Dan heeft zij publiek recht gevormd.

De wethouder vraagt wat er precies is misgegaan. Een inwoner heeft bezwaar aangetekend tegen een beslissing over zijn zorgpakket. Het systeem berekende een score. De score leidde tot een afwijzing. De inwoner wil weten waarom.

De beleidsmedewerker opent het dashboard. Er staan getallen, vlaggen, een eindoordeel. Maar de beslisregels zitten in een model van een externe leverancier. De trainingdata is niet auditeerbaar onder het contract. Het model is tweemaal bijgewerkt in het afgelopen jaar; de logs zijn eigendom van de vendor. Het contract loopt tot en met 2028.

De gemeente heeft de Algemene wet bestuursrecht (Awb). De inwoner heeft recht op een begrijpelijke uitleg van het besluit. De wethouder weet dat. Wat hij niet weet, is hoe hij die uitleg moet leveren als de weg naar de redenering afgesloten is.

Dit scenario is niet hypothetisch. Het speelt, in wisselende combinaties van systemen en domeinen, bij tientallen gemeenten en uitvoeringsorganisaties. Het gaat over zorgindexering, sociale zekerheid, handhaving, vergunningverlening. De vraag is niet of publieke organisaties te vertrouwen zijn. De vraag is of zij nog in staat zijn datgene te doen waartoe het publiek recht hen verplicht.

Niet iedere afhankelijkheid is een probleem — maar sommige zijn dat wél

Publieke instellingen hebben altijd gebruikgemaakt van externe dienstverleners, van drukkers tot notarissen tot IT-leveranciers. Dat is geen democratisch bezwaar op zichzelf. Het bezwaar begint waar de aard van de afhankelijkheid verandert: wanneer een publieke organisatie voor een cruciale taak niet zelfstandig meer kan inspecteren, veranderen, migreren of afdwingen wat haar systemen doen.

De Raad voor het Openbaar Bestuur (ROB) onderzoekt in 2026 hoe de democratische rechtsstaat beschermd kan worden in de digitale transitie. Wat de Raad constateert — en dit is een geverifieerd standpunt, geen uitgewerkt oordeel over afzonderlijke risico's — is dat de controleerbaarheid van geautomatiseerd beleid, de machtsspreiding in de rechtsstaat, en de greep van de staat op cruciale processen onder druk kunnen komen wanneer grote buitenlandse bedrijven de transitie mede vormgeven. Dat is de context. Wat eraan te doen valt, is de vraag die dit stuk volgt.

Drie niveaus helpen om helder te blijven. Wat is geverifieerd ROB-standpunt? Wat zegt externe analyse over de aard van de afhankelijkheid? En waar begint eigen duiding? Zonder dat onderscheid loopt een analyse het risico publiek-private samenwerking als zodanig verdacht te maken — of juist te doen alsof een contract en formeel eigendom voldoende zijn voor echte regie. Geen van beide klopt.

De vier vormen van afhankelijkheid

Digitale afhankelijkheid is geen enkelvoudig fenomeen. Vier vormen versterken elkaar, en juist die versterking maakt ze gevaarlijk.

De eerste is infrastructuurafhankelijkheid. Cloud, hosting, identiteitsplatforms en kantooromgevingen zijn de basislaag geworden van vrijwel elke publieke dienst. Digitale Overheid meldde in juli 2026 dat enkele grote niet-Europese aanbieders gezamenlijk ongeveer 70% van de Europese cloudmarkt in handen hebben. De implicatie is niet dat iedere cloudkeuze onrechtmatig is. Wél dat onderhandelingsmacht, continuïteit en het vermogen om te wisselen van aanbieder publieke kwesties worden — niet alleen IT-kwesties. Het Nederlandse plan voor een soevereine overheidscloud is precies dat: een poging om handelingsruimte terug te winnen, niet slechts een bezuiniging op serverruimte.

De tweede is kennisafhankelijkheid. Een overheid moet een besluit kunnen uitleggen, de feiten die daartoe leidden kunnen reconstrueren, en een burger een reële route naar herstel bieden. Dat wordt problematisch wanneer trainingdata, beslisregels, logs, modelwijzigingen of foutanalyses buiten het bereik van de publieke organisatie blijven. Een menselijke naam onder een beslissing is onvoldoende als die mens de uitkomst niet kritisch kan beoordelen of corrigeren — en als de weg naar die beoordeling contractueel of technisch geblokkeerd is.

De derde is veranderafhankelijkheid, vaak verkleind tot 'vendor lock-in', maar het probleem is preciezer. De werkelijke kosten van vertrek zitten in dataformaten die nergens anders worden gelezen, API-koppelingen die in duizend werkprocessen zijn verweven, maatwerkfuncties die buiten het systeem niet bestaan, en de vaardigheid die medewerkers kwijtraken zodra het systeem die vaardigheid overneemt. Een contractueel opzegrecht zonder exporteerbare data, testbare overdracht en technische interoperabiliteit is papieren autonomie. Het recht bestaat. De uitoefening ervan niet.

De vierde is het minst zichtbaar en het meest principieel: normatieve afhankelijkheid. Systemen bepalen niet alleen de snelheid van een beslissing, zij vertalen publieke keuzes naar parameters. Wat is fraudeverdacht gedrag? Welke aanvraag krijgt voorrang in een schaarse woningmarkt? Wanneer wordt een dossier geblokkeerd voor verdere behandeling? Welke informatie krijgt een burger als eerste te zien? Die vragen zijn geen technische vragen. Het zijn politieke en juridische vragen, en de antwoorden liggen besloten in ontwerpkeuzes die deels door commerciële standaarden en deels door de algoritmen van een externe partij worden gemaakt. De ROB-zorg over machtsspreiding gaat precies hierover: de vraag is niet alleen wie uitvoert, maar wie de regel feitelijk definieert.

De tegenmacht is reëel — maar niet vanzelf werkzaam

Nederland en Europa zijn niet ongewapend. De instrumenten zijn serieus; het is de vraag of ze vroeg genoeg en breed genoeg worden ingezet.

Artikel 27 van de AI-verordening (Verordening (EU) 2024/1689) verplicht publieke organen en private partijen die hoog-risico AI inzetten voor publieke dienstverlening, vóór ingebruikname een grondrechteneffectbeoordeling te doen. Welke groepen worden geraakt? Welke schaderisico's zijn er? Hoe ziet menselijk toezicht eruit? Welke herstelmaatregelen zijn beschikbaar? Het Nederlandse Algoritmekader maakt die norm bruikbaar: bescherming van grondrechten, betekenisvolle menselijke controle, transparantie, governance en verantwoord inkopen zijn geen losse ethische voorkeuren — ze zijn gekoppeld aan Awb, Algemene verordening gegevensbescherming (AVG), Wet open overheid (Woo) en EU-recht, en het kader beschrijft concrete inkoopmaatregelen om ze contractueel te verankeren.

De Autoriteit Persoonsgegevens (AP) heeft in 2025 een helder standpunt ingenomen over democratische beheersing van algoritmen. Volksvertegenwoordigers moeten kaders kunnen stellen vóórdat een systeem live gaat. Uitvoeringsorganisaties moeten actief transparant zijn over werking, incidenten en klachten. Rekenkamers, ombudsmannen en media moeten onafhankelijk kunnen controleren. Dat model is machtiger dan enkel technische audits, omdat het erkent dat legitimiteit niet alleen over nauwkeurigheid gaat, maar ook over wie de keuze mag maken.

Op platform- en marktniveau leveren de Digital Services Act (DSA) en Digital Markets Act (DMA) aanvullende tegenmacht. DSA-handhaving geeft de Commissie toegang tot data en algoritmen bij zeer grote platforms. DMA-verplichtingen dwingen poortwachters tot interoperabiliteit en verlagen de uitstapkosten voor gebruikers.

Maar elk instrument heeft een grens. Een Algoritmeregister maakt systemen zichtbaar — niet automatisch begrijpelijk of aanpasbaar. Een effectbeoordeling verliest kracht als zij laat in een traject plaatsvindt, niet openbaar genoeg is, of niet gevolgd wordt door de capaciteit om werkelijk in te grijpen. DSA en DMA gelden voor specifieke categorieën; zij zijn geen algemeen antwoord op publieke cloud- of leveranciersafhankelijkheid over de hele breedte van een overheidsportfolio. De moeilijkste afhankelijkheden zijn breed en langjarig: cloud, identiteit, dataformaten, modellen, integraties, kennis. Die lopen dwars door alle instrumenten heen.

Vijf vragen die elk bestuur zou moeten kunnen beantwoorden

De harde les is dat het gebrek aan bestuurbaarheid zelden begint bij slechte bedoelingen. Het begint bij aanbestedingsteams die beoordelen op prijs, functionaliteit en rechtmatigheid — maar niet op auditbaarheid, data-overdraagbaarheid en exitkosten. En bij gemeenteraden die pas vragen stellen als een beslissing in de krant staat.

Vijf vragen helpen om te toetsen of een publiek digitaal systeem bestuurbaar is. Ze zijn niet bedoeld als bureaucratische checklist, maar als de informatie die een bestuur minimaal nodig heeft om zijn verantwoordelijkheid te kunnen dragen.

Welke publieke taak hangt van dit systeem af, en wat is de maatschappelijke impact als het stopt of fouten maakt? Systemen die cruciale taken ondersteunen verdienen zwaardere governance dan systemen die intern een vergadering plannen.

Welke beslisruimte heeft de leverancier — en is dat bestuurlijk vastgelegd? Kiest de leverancier zelf wanneer het model wordt bijgewerkt? Kan hij dataformaten wijzigen? Wie heeft het laatste woord als de uitkomst van een systeem wordt aangevochten?

Zijn de data en logs toegankelijk voor onafhankelijke controle? Niet het eindoordeel, maar de weg ernaartoe. Kan een rekenkamer meekijken? Kan de organisatie zelf een fout traceren?

Hoe lang duurt een migratie naar een alternatief, wat kost die, en is die uitvoerbaar in een crisissituatie? Soevereiniteit is geen serverrack. Het is de aantoonbare mogelijkheid om te vertrekken als dat nodig is.

Wie kan de dienst stilzetten — en hoe snel? In een systeem dat fouten maakt of misbruikt wordt, is dat de meest directe maatstaf voor feitelijke regie.

Waar een uitvoeringsorganisatie geen antwoord op deze vragen kan geven, wordt democratische controle ritueel. De raad vergadert, het systeem draait door.

De toets

De soevereine overheidscloud die Nederland in juli 2026 aankondigde is kansrijk als zij als publiek alternatief wordt ingericht: met heldere governance, onafhankelijke toetsing, interoperabiliteit en een realistisch migratiepad. Maar zij is geen eindbestemming. Volledige zelfvoorziening is duur; digitale weerbaarheid vraagt ook Europese samenwerking, open standaarden en zorgvuldig gekozen marktpartners. Soevereiniteit betekent niet alles zelf bezitten, maar altijd een geloofwaardige uitweg en de beslissingsmacht om die te kiezen.

De toets is nuchter. Kan de overheid een systeem uitleggen, controleren, corrigeren, stoppen en vervangen? En kan een burger die macht betwisten?

Waar het antwoord ja is, is de afhankelijkheid beheersbaar — en is publiek-private samenwerking precies wat het zou moeten zijn: efficiëntie in dienst van publiek belang.

Waar het antwoord nee is, heeft private code niet alleen een publieke taak geholpen uitvoeren. Dan heeft zij een deel van het publieke recht gevormd.

Sources

Raad voor het Openbaar Bestuur

• Jaarplan 2026, pp. 7–8 — Raad voor het Openbaar Bestuur, 2025. Bevat het geverifieerde ROB-standpunt over controleerbaarheid van geautomatiseerd beleid in de digitale transitie.
• Digitale transitie en democratie — Raad voor het Openbaar Bestuur. Biedt bredere context bij de ROB-onderzoeksagenda rondom democratie en digitale systemen.

Nederlandse overheid en wetgeving

• Overheid zet in op eigen, veilige soevereine cloud — Digitale Overheid, 2 juli 2026. De aankondiging van het Nederlandse plan voor een soevereine overheidscloud.
• Grondrechten beschermen in algoritmes — Algoritmekader, Overheid.nl. Vertaalt de AI-verordening naar concrete inkoopmaatregelen voor publieke organisaties.
• Menselijke controle over algoritmes — Algoritmekader, Overheid.nl. Definieert wat betekenisvolle menselijke regie vereist van geautomatiseerde besluitvorming.
• Aanbevolen maatregelen — Algoritmekader, Overheid.nl. Concrete contractuele en procedurele maatregelen voor inkopers en beleidsmakers.
• Democratische beheersing van algoritmes en AI — Autoriteit Persoonsgegevens, 2025. Positiepaper over volksvertegenwoordiging, uitvoeringsorganisaties en algoritmisch toezicht.

Europees regelgevend kader

• Verordening (EU) 2024/1689 (AI Act), art. 27 — Europese Unie, 2024. De grondrechteneffectbeoordeling als verplichting voor hoog-risico AI in de publieke sector.
• DSA-handhaving — Europese Commissie. Biedt de Commissie toegang tot data en algoritmen bij zeer grote platforms.
• DMA-evaluatie 2026 — Europese Commissie, 2026. Bevestigt de werking van DMA-interoperabiliteitsverplichtingen voor poortwachters.