Computer says no? Wat er leeft bij woningcorporaties, live vanaf CorporatiePlein.

Een jaar geleden begonnen we met wat Joyce "een gek experiment" noemt. Inmiddels zitten we in het tweede seizoen van PRISM de Podcast, en dat vierden we op een plek die ons nauw aan het hart ligt: CorporatiePlein, de jaarlijkse IT-beurs voor woningcorporaties. Rogier Verdier en Joyce de Jong verruilden de studio voor de beursvloer en spraken met corporatiemensen, de organisatie en collega's over wat er nú speelt. Het werd een feestelijke aflevering, maar met verrassend veel inhoud. Dit zijn de belangrijkste inzichten.

1. AI bij woningtoewijzing: geen verbod, wel hoog risico

Wie over de beursvloer liep, kon er niet omheen: AI was overal. Bijna tachtig exposanten, en een groot deel daarvan liet zien wat AI allemaal kan. Joyce gaf op de stand juist een kennissessie over de andere kant van het verhaal: de AI Act.

"Eigenlijk iedereen hier komt vertellen wat allemaal kan. En dan kom ik vertellen wat allemaal niet mag," grapt Joyce. Al is dat natuurlijk niet helemaal waar. Het gaat vooral om de risico's en de regels waar je rekening mee moet houden.

Voor corporaties is dat geen theoretische discussie. Alle processen rond het krijgen en behouden van een woning raken een essentiële dienst die direct invloed heeft op het welzijn van mensen. Zet je daar AI voor in, dan valt dat volgens de AI Act in de hoog-risicocategorie. Dat betekent geen verbod, maar wel strenge eisen.

En dat is niet voor niets. Rogier vat het treffend samen: je moet er niet aan denken dat je wordt afgewezen voor een woning omdat een algoritme zegt "computer says no". Zeker niet als dat systeem hallucineert of een ingebakken vooringenomenheid heeft.

2. Het NIS2-misverstand

Tijdens de sessie kreeg Joyce ook een vraag die Joyce graag beantwoordde. Hebben corporaties nu wel of niet te maken met NIS2 en de Cyberbeveiligingswet? Er is de afgelopen tijd veel geroepen dat deze wetgeving ook voor woningcorporaties gaat gelden. Volgens Joyce is dat niet zo. Bij Audittrail houden we niet van bangmakerij: de Cyberbeveiligingswet is niet van toepassing op corporaties, de AI Act wél. En juist daar verdient het verschaffen van woonruimte extra aandacht.

3. Kennis delen is de superkracht van de sector

Een van de mooiste eigenschappen van de corporatiesector? Corporaties zijn geen concurrenten van elkaar. Leen Spaans, na veertig jaar in de sector bijna met pensioen, richtte ruim 25 jaar geleden Corponet op met precies dat motto: kennis delen. Inmiddels zijn er zo'n 160 corporaties lid, die samen kennis opbouwen over digitalisering, architectuur, security en privacy. Corponet ontwikkelde onder meer de Baseline Informatiebeveiliging Corporaties (BIC) en het procesmodel CORA.

Volgens Leen worstelen alle corporaties met dezelfde vragen:

• Wat ís digitalisering eigenlijk? Het is een containerbegrip waaronder dataminimalisatie, het opschonen van data en het ontsluiten van data allemaal vallen.
• Wat doet AI met je data? "Daar heb je dus goede data voor nodig." Sommige corporaties bouwen al hun eigen AI-agents, anderen zijn nog aan het verkennen.
• Wat betekent AI voor je mensen? Is het een bedreiging, een hulpmiddel, en verdwijnen er banen?
• Hoe bescherm je persoonsgegevens? Corporaties beschikken over veel gegevens van huurders en woningzoekenden. Daar hoort een zorgplicht bij.

Leen is nuchter over de hype: "We hebben in het verleden wel meer trends gehad, en die zag je na een, twee, drie jaar weer verdwijnen. Maar AI is denk ik wel een blijvertje."

Leen plaatst ook een interessante kanttekening bij data en de woningnood. Corporaties weten veel over de profielen van woningzoekenden, maar dat is een momentopname. Tussen het besluit om te bouwen en de oplevering zitten al snel vijf tot acht jaar. Is dat dan nog wat de huurder wil? En hoe neem je de vergrijzing mee?

Het kennisniveau rond informatiebeveiliging verschilt sterk per corporatie, van klein tot heel groot. Het goede nieuws: security en privacy staan steeds vaker op de bestuurstafel, en er wordt geïnvesteerd in geld, tijd en mensen. "Maar we zullen er nooit zijn, want het blijft maar doorgaan."

4. Van 0 naar 100? Liever niet

Nicky van Hal werkt sinds een paar maanden als security officer bij WonenBreburg en kwam uit de financiële sector. Het verschil is groot. In de financiële wereld zorgen toezichthouders voor flink wat druk op de ketel. Beleid, processen en governance zijn daar daarom vaak al uitgekristalliseerd.

Bij corporaties komt de drive vooral uit intrinsieke motivatie. En dat vindt Nicky juist mooi. WonenBreburg kiest er zelf voor om de ISO 27001 te volgen, en de vertaling daarvan naar de sector: de BIC 4.0. Tegelijk ziet Nicky dat governance en duidelijkheid over wie waarvoor verantwoordelijk is, hier en daar nog een uitdaging zijn.

Het advies van Nicky aan corporaties die nog aan het begin van die reis staan:

1. Begin bij het begin. Breng in kaart wat je al doet en waar je baseline ligt.
2. Neem een lange adem. Gestructureerd en uniform werken is een echte verandering.
3. Wil niet van 0 naar 100. Wat in de financiële sector kan, werkt bij corporaties vaak anders.
4. Vertraag en kijk om je heen. Zie waar mensen aan toe zijn, en kijk dan pas naar de controls.
5. Zoek de passende aanpak. Wat werkt het best met jouw collega's? Nicky noemt het "een mooi schaakspel".

5. Weerbaarheid: van wereldkaart tot werkvloer

Collega Erik van de Beld gaf op de stand een kennissessie over de vraag hoe weerbaar jouw corporatie is tegen de dreigingen van vandaag én morgen. Erik nam de deelnemers mee van breed naar smal. Van het geopolitieke speelveld, met de invloed van de Verenigde Staten en de Europese wens naar digitale onafhankelijkheid, via Europese en Nederlandse wetgeving en de BIC, naar wat er concreet op organisaties afkomt.

De belangrijkste les uit de interactie met de zaal: integraliteit. Informatiebeveiliging, AI en technologie zijn niet meer los te zien van de business. Toch zie je de neiging om alles bij de informatiebeveiliger neer te leggen. Volgens Erik moet je dat juist terugschuiven: "De business moet ook betrokken zijn. Die willen iets, en anders ga jij bepalen wat er moet gebeuren." Daarnaast blijft bewustwording belangrijk naarmate je groeit in volwassenheid, en komt business continuity steeds nadrukkelijker op de agenda.

6. Een beurs als plek om kennis te delen

Paul Tuinte van CorporatiePlein kijkt terug op de zestiende en drukste editie ooit. Het geheim? Een mix van exposanten, een theaterprogramma waarin corporaties zelf kennis delen, en een goed verzorgde dag. Bijzonder is dat corporaties op het podium staan zonder iets te verkopen: "Het is geen pitch. Het gaat puur om het delen van de inhoud." Daarmee stellen ze zich kwetsbaar op, en dat waardeert de sector.

Ook leuk: voor één dag draaien de rollen om. Waar leveranciers normaal goed voorbereid bij corporaties langskomen, lopen nu de corporaties de stands op.

Conclusie: samen brengen we het verder

De corporatiesector staat voor grote vragen. AI vraagt om goede data, duidelijke kaders en aandacht voor wat het met mensen doet. Woningtoewijzing met AI is hoog risico en vraagt om zorgvuldigheid. En informatiebeveiliging groeit pas echt als de business meedoet. Het mooie is dat corporaties dit niet alleen hoeven te doen. Of zoals Erik het aan het eind van het gesprek samenvatte: "Samen brengen we het verder."

Wil je weten wat de AI Act precies betekent voor jouw corporatie, of zoek je praktische formats om je informatiebeveiliging naar een volgend niveau te tillen? Op het PRISM-platform vind je direct toepasbare documenten, het laatste privacy- en securitynieuws en een inhoudelijke helpdesk. Beluister de volledige jubileumaflevering van PRISM de Podcast op prismmembers.nl of via je favoriete podcast-app!