Geautomatiseerde beslissing in KYC: waar eindigt de beoordeling, waar begint de beslissing?

In het kort: op 21 augustus 2026 legde de Autoriteit Persoonsgegevens Uber een boete op van 825 miljoen euro, omdat het bedrijf chauffeursaccounts deactiveerde op basis van geautomatiseerde beslissingen, zonder echte menselijke tussenkomst. Dit keer komt het signaal niet uit een ver land: het komt van de toezichthouder die ook over uw markt waakt. Artikel 22 AVG reguleert volledig geautomatiseerde beslissingen met aanzienlijke gevolgen voor een persoon, en het HvJ-EU oordeelde eind 2023 dat een score op zichzelf al zo'n beslissing kan zijn. Voor KYC-, antiwitwas- en due-diligenceteams is de vraag niet langer of ze moeten automatiseren, maar waar de grens ligt tussen het automatiseren van de risicobeoordeling en het automatiseren van de beslissing over een persoon. Het antwoord past in 4 voorwaarden die maken dat een menselijke tussenkomst echt is, en geen simpele valideerklik.

‍

De zaak Uber: wat er werkelijk gebeurde

‍

Tussen 2018 en 2022 deactiveerde Uber chauffeursaccounts op basis van geautomatiseerde systemen, onder meer bij fraudevermoedens of te lage beoordelingen. Wie de toegang tot de app verliest, verliest de toegang tot zijn inkomen: het gevolg voor de persoon is aanzienlijk, in de meest concrete zin van het woord.

‍

Op 21 augustus 2026 sprak de Autoriteit Persoonsgegevens, de Nederlandse privacytoezichthouder, een boete uit van 825 miljoen euro, de op 1 na hoogste in de geschiedenis van de AVG. Het kernverwijt is niet het gebruik van algoritmes op zich, maar het ontbreken van voldoende menselijke tussenkomst. De reviews die deze deactiveringen moesten omkaderen, werden als louter formeel beoordeeld, zonder echt onderzoek van de dossiers. Uber betwist de beslissing en heeft beroep aangekondigd: de zaak is dus nog niet definitief beslecht, maar het signaal aan bedrijven is nu al glashelder. En voor organisaties in Nederland en België is het extra relevant: dit is de handhavingslijn van een toezichthouder uit de eigen regio, geen theoretisch scenario van elders.

‍

Dat signaal reikt veel verder dan platformen voor personenvervoer. Elke organisatie die personen scoort en op die basis acties in gang zet, staat voor dezelfde governancevraag.

‍

Wat artikel 22 AVG zegt, en wat het HvJ-EU ervan maakte

‍

Artikel 22 AVG stelt een principe: een persoon heeft het recht niet te worden onderworpen aan een beslissing die uitsluitend op geautomatiseerde verwerking berust en die rechtsgevolgen voor hem heeft of hem op vergelijkbare wijze aanzienlijk treft. Een krediet weigeren, een klantrelatie weigeren, de toegang tot een dienst beëindigen: zulke gevolgen vallen typisch binnen dat bereik.

‍

Het SCHUFA-arrest van het Hof van Justitie van de Europese Unie (7 december 2023, zaak C-634/21) heeft de lezing van deze bepaling flink aangescherpt. Het Hof oordeelde dat het geautomatiseerd opstellen van een kredietwaardigheidsscore op zichzelf al een geautomatiseerd individueel besluit kan zijn, zodra de ontvanger van de score er op doorslaggevende wijze op vertrouwt. Anders gezegd: als uw organisatie de score van een leverancier vrijwel systematisch volgt, valt de geautomatiseerde beslissing niet op het moment dat u klikt, maar op het moment dat de score binnenkomt. De berekening uitbesteden verplaatst de verantwoordelijkheid niet.

‍

Artikel 22 kent uitzonderingen: de beslissing die noodzakelijk is voor het sluiten van een overeenkomst, de beslissing die is toegestaan door Unierecht of nationaal recht, en de uitdrukkelijke toestemming. Maar geen enkele uitzondering schrapt de waarborgen: informatie aan de betrokkene, het recht op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en de beslissing aan te vechten.

‍

KYC en due diligence staan niet buitenspel

‍

De natuurlijke reflex van complianceteams is te denken dat hun verwerkingen buiten schot blijven, omdat de wet ze oplegt. Dat klopt gedeeltelijk, en precies daar zit de nuance.

‍

De antiwitwasverplichtingen berusten op Unierecht en nationaal recht, zoals de Wwft in Nederland en de antiwitwaswetgeving in België: een KYC-proces kan dus steunen op de uitzondering van artikel 22. Hetzelfde geldt voor de due diligence van derden, bijvoorbeeld de anticorruptiebeoordeling van leveranciers, wanneer die op een wettelijke verplichting berust. Maar een rechtsgrond om te beoordelen is geen vrijbrief om automatisch te weigeren. 3 situaties verdienen een eerlijke doorlichting van uw processen:

‍

• De automatische afwijzing bij onboarding. Een scoringengine analyseert identiteit, risicosignalen en sanctielijsten, de score overschrijdt een drempel, en de klantrelatie wordt geweigerd zonder dat een analist het dossier heeft geopend. De beoordeling was verplicht; de afwijzing zonder review is een organisatiekeuze.
• De leveranciersdue-diligence die een derde op basis van een score uitsluit. Een zzp'er die automatisch wordt doorgelicht (uiteindelijk begunstigden, sancties, negatieve pers) wordt geweigerd als leverancier, louter op grond van een hoge score. Het gevolg voor zijn activiteit is aanzienlijk, en de natuurlijke persoon achter de eenmanszaak is wel degelijk een betrokkene.
• De externe score die blind wordt gevolgd. Sinds SCHUFA werkt het niet meer om u te verschuilen achter "dat is de score van de leverancier", als die score doorslaggevend is voor uw beslissing.

‍

De scheidslijn is dus niet "compliance of geen compliance". De vraag is: sturen uw drempels de dossiers naar het juiste behandelniveau, of spreken zij zelf de weigering uit?

‍

De AI Act voegt een 2e laag toe

‍

De AVG is niet langer de enige tekst die de vraag stelt. De Europese AI-verordening classificeert de kredietwaardigheidsbeoordeling van natuurlijke personen als hoog risico, met eisen rond transparantie, documentatie en effectief menselijk toezicht. De tekst is expliciet over een punt dat naadloos aansluit bij de zaak Uber: het toezicht moet een mens in staat stellen de mogelijkheden en beperkingen van het systeem te begrijpen, alert te blijven op automatiseringsbias, en in te grijpen of het systeem stop te zetten. Toezicht dat zich beperkt tot het bekrachtigen van de output van de machine voldoet niet aan die definitie. Voor de details van de verplichtingen en het tijdschema, lees onze analyse van de AI Act toegepast op scoring, identiteit en fraude.

‍

Human in the loop: de 4 voorwaarden voor een echte tussenkomst

‍

Dit is de kern van de zaak, en het punt waarop de zaak Uber, de Europese richtsnoeren over geautomatiseerde besluitvorming en de AI Act samenkomen: een menselijke tussenkomst is pas echt als ze betekenisvol is, uitgeoefend door iemand met de bevoegdheid en de competentie om de beslissing te veranderen. Concreet veronderstelt dat 4 voorwaarden.

‍

• Het resultaat begrijpen. De analist moet weten waarom de score is wat hij is: welke signalen hebben gewogen, in welke richting, met welke kracht. Een ondoorzichtige score maakt de menselijke tussenkomst per definitie formeel: wat u niet kunt uitleggen, kunt u niet aanvechten. Dat is precies wat verklaarbare AI garandeert, die haar redenen beslissing per beslissing teruggeeft.
• Over de informatie beschikken om hem in twijfel te trekken. De score zien volstaat niet: de analist moet toegang hebben tot de onderliggende gegevens, hun bron en hun actualiteit, om een fout of een context die het model niet kent te kunnen opmerken.
• De tijd hebben om een oordeel te vellen. Als de organisatie mikt op een dossiervolume per analist dat onverenigbaar is met een echte review van de gesignaleerde gevallen, bestaat de menselijke tussenkomst op het organigram, niet in de praktijk. Dat is een werklastparameter, en dus een directiekeuze.
• De macht hebben om anders te beslissen. De analist moet een beslissing kunnen nemen die afwijkt van de score, in beide richtingen, en die beslissing moet worden vastgelegd met haar motief. Als het systeem dat niet toelaat, of als niemand het ooit doet, is de menselijke review een stempel.

‍

Deze 4 voorwaarden hebben een praktisch gevolg: de human in the loop decreteert u niet in een intern beleid, u toont hem aan in uw tooling en in uw cijfers. Een toezichthouder die uw proces doorlicht, leest niet uw procedure: hij kijkt naar het aandeel beslissingen waarin uw analisten hebben ingegrepen, naar uw reviewtijden en naar de traceerbaarheid van uw beslissingen.

‍

Wat dit verandert aan de keuze en configuratie van uw tools

‍

De analyse automatiseren blijft onmisbaar: niemand keert terug naar de handmatige verificatie van elk dossier, en dat is wenselijk voor de fraudedetectie noch voor de ervaring van legitieme klanten. De opgave is de automatisering zo te configureren dat ze snel en goed beoordeelt, terwijl de beslissing over gevallen met aanzienlijke gevolgen bestuurd blijft. 4 concrete criteria, te stellen vanaf de aanbesteding:

• Native uitlegbaarheid. Geeft de score zijn redenen terug voor elke beslissing, in een taal die een analist kan gebruiken, of moet u de machine op haar woord geloven?
• De drempelarchitectuur. Laat de tool toe om onderscheid te maken tussen de vlotte validatie van gezonde dossiers, de menselijke review van twijfelgevallen, en de blokkering van uitsluitend de gevallen waar de wet die oplegt (sancties bijvoorbeeld)? Een systeem dat alleen "geaccepteerd of geweigerd" kent, duwt u mechanisch richting de geautomatiseerde beslissing.
• De getraceerde correctie. Kan de analist een beslissing nemen die afwijkt van de score, met verplicht motief, tijdstempel en bewaring in het dossier? Dat is het materiële bewijs van uw menselijke tussenkomst.
• Het volledige audittraject. Kunt u bij een controle of een betwisting door de betrokkene de volledige beslissing reconstrueren: geraadpleegde gegevens, modelversie, doorslaggevende signalen, eventuele menselijke tussenkomst? Deze eisen sluiten aan bij de criteria die we uitwerken in onze gids om een KYC-oplossing te kiezen, en ze worden structureel bepalend naarmate AML6 de controles harmoniseert op Europese schaal.

‍

Tot slot

‍

De Uber-boete veroordeelt de automatisering niet: ze veroordeelt automatisering zonder governance. Tussen een tool die beoordeelt en een systeem dat beslist, loopt de grens niet door de technologie maar door de organisatie: drempels die sturen in plaats van beslissen, analisten die begrijpen wat ze valideren, de tijd en de macht om anders te beslissen, en het spoor van dat alles. De teksten convergeren, van de AVG tot de AI Act, via de SCHUFA-rechtspraak: de beoordeling mag automatisch zijn, de beslissing over een persoon moet bestuurd blijven. Organisaties die dit nu meenemen in de keuze van hun tools, zetten een regelgevend risico om in een voordeel: beslissingen die sneller EN verdedigbaar zijn. Wil u zien wat een uitlegbare scoring oplevert waarbij de analist het laatste woord houdt, getest op uw eigen dossiers? Plan een demo.

‍

FAQ

‍

Wat is een volledig geautomatiseerde beslissing in de zin van de AVG?

Het is een beslissing die zonder betekenisvolle menselijke tussenkomst wordt genomen en die rechtsgevolgen heeft voor een persoon of hem op vergelijkbare wijze treft: een kredietweigering, een geweigerde klantrelatie, de deactivering van een account. Artikel 22 AVG geeft het recht om er niet aan te worden onderworpen, behoudens uitzonderingen (overeenkomst, wettelijke toestemming, uitdrukkelijke toestemming), altijd gekoppeld aan waarborgen.

‍

Valt een KYC-scoring onder artikel 22?

Niet automatisch: de kwalificatie hangt af van de aard van de verwerking, de betrokkene en de gevolgen van de beslissing. De antiwitwasverplichtingen bieden een rechtsgrond voor de beoordeling. Maar als de score een weigering in gang zet zonder echte menselijke review, of als een externe score op doorslaggevende wijze wordt gevolgd (SCHUFA-rechtspraak), schuift het proces op richting de volledig geautomatiseerde beslissing en haar verplichtingen.

‍

Wat is een echte menselijke tussenkomst?

Een tussenkomst door iemand die het resultaat begrijpt (de redenen van de score), over de informatie beschikt om het aan te vechten, de tijd heeft om het dossier te onderzoeken en de macht heeft om een andere beslissing te nemen, vastgelegd met haar motief. Een valideerklik op een scherm "hoog risico, weigeren" vervult geen enkele van deze voorwaarden.

‍

Wat verandert de AI Act ten opzichte van de AVG op dit punt?

De AVG beschermt de persoon tegen de geautomatiseerde beslissing; de AI Act reguleert het systeem zelf. Voor toepassingen met hoog risico, zoals de kredietwaardigheidsbeoordeling van natuurlijke personen, legt hij transparantie, technische documentatie en effectief menselijk toezicht op, met expliciete aandacht voor automatiseringsbias. De 2 teksten gelden naast elkaar.

‍

Mag u een klant automatisch weigeren om compliance-redenen?

De automatische blokkering is het best verdedigbaar waar de wet die rechtstreeks oplegt, zoals een bevestigde match op een sanctielijst. Voor de rest bestaat de robuuste praktijk erin de routering van dossiers te automatiseren (vlotte validatie, verscherpte review) en de weigering van twijfelgevallen voor te behouden aan een gedocumenteerde menselijke beslissing.

Bronnen: Autoriteit Persoonsgegevens, sanctie van 21 augustus 2026 (825 miljoen euro, beroep aangekondigd); HvJ-EU, 7 december 2023, SCHUFA Holding, C-634/21; AVG, artikel 22; richtsnoeren van het EDPB inzake geautomatiseerde individuele besluitvorming (WP251); Verordening (EU) 2024/1689 (AI Act), bijlage III en artikel 14.

‍