Geautomatiseerde besluitvorming met AI: wat de AP nu van u verwacht

De Autoriteit Persoonsgegevens (AP) publiceerde op 29 oktober 2026 een onderzoek naar algoritmes en AI bij incassobureaus. De grootste zorg: geautomatiseerde besluitvorming die de AVG verbiedt, zonder dat de bureaus het zelf doorhebben. Het rapport gaat over één branche, maar dezelfde fouten ziet u overal waar software klanten, aanvragers of leads scoort.

Wat de AP bij incassobureaus zag

De AP stuurde 29 geregistreerde incassobureaus een vragenlijst en kreeg van 22 bruikbare antwoorden. Tien bureaus gebruiken minstens één algoritmisch systeem, drie daarvan ook AI. Volgens het rapport gebruiken ze die systemen om:

• te kiezen hoe en hoe vaak ze contact zoeken (post, e-mail, telefoon, sms);
• vragen te beantwoorden en betalingsregelingen af te spreken via chatbots, spraakcomputers en taalmodellen die e-mail lezen;
• de kans op inning te berekenen, onder meer uit kredietscore, woonplaats en betaalgeschiedenis;
• dossiers te verrijken met gegevens uit registers en van internet, ook van sociale media;
• kwetsbare debiteuren te herkennen.

Wanneer is geautomatiseerde besluitvorming verboden?

Artikel 22 van de AVG geeft mensen het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust, profilering inbegrepen, als dat besluit rechtsgevolgen heeft of hen anderszins in aanmerkelijke mate treft. Er zijn drie uitzonderingen: het besluit is nodig voor een overeenkomst, een wet staat het toe met waarborgen, of de persoon heeft uitdrukkelijk toestemming gegeven. Bij een overeenkomst of toestemming moet u nog steeds menselijke tussenkomst bieden, en moet de persoon een eigen standpunt kunnen geven en het besluit kunnen aanvechten. De AP geeft voorbeelden van serieuze gevolgen, zoals geen uitnodiging voor een sollicitatiegesprek.

Drie punten uit het rapport zetten veel bedrijven op het verkeerde been:

1. Een positieve uitkomst is ook een besluit. Eén bureau automatiseerde alleen het goedkeuren van betalingsregelingen en liet elke afwijzing aan een medewerker over. Volgens de AP maakt de uitkomst voor het verbod geen verschil.
2. Een score kan het besluit zijn. In de SCHUFA-zaak van december 2023 oordeelde het Hof van Justitie dat een kredietscore zelf een geautomatiseerd besluit is als de partij die de score gebruikt er sterk op leunt. De AP neemt dat over: ook tussenstappen, zoals het berekenen van een risicoscore, kunnen als besluit tellen.
3. Eenvoudige regels zijn niet vanzelf laag risico. Meerdere bureaus schatten hun risico laag in, omdat ze regelgebaseerde algoritmes of weinig persoonsgegevens gebruiken. De AP is het daar niet mee eens: ook een simpel algoritme kan grote gevolgen voor mensen hebben.

Een mens in het proces moet echt iets toevoegen

Meerdere bureaus zeiden dat artikel 22 niet geldt, omdat er een medewerker bij het besluit betrokken is. De AP twijfelt of dat altijd klopt. Als de medewerker het systeem te veel vertrouwt, of het systeem de keuze stuurt, is de menselijke stap een formaliteit. De AP vraagt om genoeg tijd per dossier, goede instructies en een systeem dat de medewerker niet een kant op duwt. De handvatten voor betekenisvolle menselijke tussenkomst (juli 2025) helpen u uw eigen proces te toetsen.

Twee andere bevindingen gelden ver buiten de incassowereld. Sommige bureaus zagen de schuld zelf, of de uitkomst van hun systeem, niet als persoonsgegeven. Dat is het wel, zodra het iets over een persoon zegt. En leveranciers voegen soms ineens een AI-functie toe aan bestaande software, of benaderen bureaus actief om AI te verkopen. Zo kunnen persoonsgegevens in een systeem belanden waar niemand voor gekozen heeft. De AP wil duidelijke, vastgelegde afspraken met leveranciers.

De AI-verordening komt hier later bij

Het rapport wijst ook op de AI-verordening. AI-systemen die de kredietwaardigheid van natuurlijke personen beoordelen, of hun bereidheid om aan betaalverplichtingen te voldoen, vallen onder hoog risico. Incassobureaus die zulke systemen zelf ontwikkelen, moeten vanaf 2 december 2027 aan de eisen voor hoog-risicosystemen voldoen. De AVG-regels gelden nu al.

Wat u nu kunt doen

Scoort of rangschikt uw software mensen, zoals klanten, sollicitanten, huurders of zzp’ers? Doe dan het volgende:

1. Breng elke stap in kaart waar een systeem een score, label of keuze over een persoon maakt. Neem ook functies in ingekochte software mee.
2. Vraag per stap: beslist een medewerker echt, met tijd, informatie en de ruimte om van het systeem af te wijken? Of bevestigt die alleen wat het scherm zegt?
3. Is een stap volledig geautomatiseerd en heeft die aanmerkelijke gevolgen? Zoek uit welke uitzondering uit artikel 22 geldt en hoe mensen om een menselijke beoordeling kunnen vragen.
4. Behandel scores en modeluitkomsten als persoonsgegevens, in uw verwerkingsregister en in uw privacyverklaring.
5. Leg mensen bij het eerste contact in gewone taal uit hoe het systeem werkt, niet alleen in een privacyverklaring op uw website.
6. Controleer uw contracten met leveranciers op AI-functies.

Dit is geen juridisch advies. Vraag uw privacy officer of jurist hoe de regels voor uw proces uitpakken. Incassobureaus kunnen zich tot 11 november 2026 aanmelden voor het rondetafelgesprek dat de AP op 2 december houdt.

Hoe wij dit aanpakken

Voor een leasemaatschappij bouwden we een eerste beoordeling van leaseaanvragen. Het systeem leest het dossier, raadpleegt de registers en maakt een eerste beoordeling voor de beoordelaar. De beleidsregels staan los van het taalmodel, zodat een auditor ze kan nalezen, en het model ziet nooit wie de aanvrager is. Dat laatste leggen we uit in LLM’s gebruiken op persoonsgegevens zonder persoonsgegevens te versturen. Meer hierover leest u bij AVG-proof AI.