De Autoriteit Persoonsgegevens stelt dat fraudesignalen door mensen beoordeeld moeten worden, niet door AI-systemen. De waakhond richt zich op Nederlandse overheden en uitvoeringsinstanties die algoritmen inzetten. De oproep komt deze week, vanwege risico’s op fouten, discriminatie en onrechtmatige besluiten. Ook de Europese AI-verordening en de AVG leggen hier strikte grenzen op.
AP benadrukt menselijk oordeel
De Autoriteit Persoonsgegevens (AP) waarschuwt dat algoritmen wel patronen mogen vinden, maar dat een mens de uiteindelijke weging en beslissing moet doen. Een model kan een signaal geven, bijvoorbeeld een opvallende transactie of een onvolledige aanvraag. Maar alleen een medewerker kan context meewegen en beoordelen of er echt sprake is van fraude.
Volledig geautomatiseerde ingrepen, zoals het stopzetten van een uitkering op basis van een risicoscore, zijn in strijd met de privacyregels. Zulke beslissingen hebben grote gevolgen voor burgers. Daarom is “menselijke tussenkomst” nodig: echt, deskundig en met beslissingsruimte.
De AP wijst ook op het gevaar van automatiseringsbias: medewerkers die blind varen op een model. Organisaties moeten daarom uitleg kunnen geven over hoe een score tot stand komt. Zonder uitleg en tegenmacht dreigt een blackbox die onrecht vergroot.
Fraudesignalen zijn aanwijzingen dat iemand mogelijk fraude pleegt, voortkomend uit data-analyses, meldingen of afwijkende patronen. Een signaal is geen bewijs.
Wat organisaties wel mogen
Data-analyse mag helpen om werk te prioriteren of om extra vragen te stellen. Een algoritme kan dossiers met een hoger risico eerst laten bekijken. Maar de risicoscore mag niet automatisch leiden tot een straf, afwijzing of registratie.
Kleine, geautomatiseerde acties zonder grote gevolgen kunnen soms wel. Denk aan het vragen om een ontbrekend document of het plannen van een gesprek. Ook dan moet de organisatie beoordelen of het effect echt gering is.
De beoordeling moet aantoonbaar menselijk zijn, niet een formaliteit. Medewerkers horen getraind te zijn om het systeem tegen te spreken. Bij twijfel moeten ze escaleren en extra informatie verzamelen.
Strikte grenzen onder AVG
De AVG verbiedt op het moment van schrijven besluiten die uitsluitend geautomatiseerd zijn en grote impact hebben, zoals weigering van een uitkering of opname op een fraudelijst. Dat geldt ook als een besluit “in feite” door de machine wordt genomen. De betrokkene moet kunnen vragen om menselijke beoordeling, uitleg en correctie.
Voor fraudesystemen is een Data Protection Impact Assessment (DPIA) verplicht. Die toets beschrijft risico’s, noodzaak en proportionaliteit, en maatregelen zoals dataminimalisatie en versleuteling. Gevoelige gegevens, zoals etniciteit of religie, mogen niet gebruikt worden zonder zeer strikte wettelijke basis.
Organisaties moeten loggen hoe een signaal ontstaat en wie wat besluit. Transparantie naar burgers is nodig, in begrijpelijke taal. Zonder duidelijkheid over werkwijze en rechten is verwerking al snel onrechtmatig.
AI-verordening: gevolgen overheid
De Europese AI-verordening (AI Act) classificeert fraudedetectie in publieke diensten als hoog risico. Dat betekent, op het moment van schrijven, verplichte risicobeheersing, datakwaliteit, robuuste tests en effectieve menselijke controle. Overheden moeten bovendien technische documentatie bijhouden en, waar vereist, systemen registreren in de EU-database.
De AI Act verbiedt sociale scoring door overheden. Ook manipulatieve of ondoorzichtige inzet van systemen wordt aan banden gelegd. Wie inkoopt, moet dus eisen stellen aan uitlegbaarheid, toegang tot auditlogs en onafhankelijke toetsing.
De verordening treedt stapsgewijs in werking. Publieke instellingen doen er goed aan nu al aan de normen te voldoen. Zo voorkomen zij dure aanpassingen en juridische risico’s later.
Lessen uit Nederlandse affaires
Eerdere affaires tonen de gevolgen van fout gebruik van data en algoritmen. De rechtbank zette in 2020 een streep door SyRI, een breed fraude-instrument zonder voldoende waarborgen. De Fraudesignaleringsvoorziening (FSV) bij de Belastingdienst bleek onrechtmatig en schadelijk voor burgers.
Deze zaken onderstrepen dat transparantie, doelbinding en zorgvuldigheid geen formaliteiten zijn. Een signaal is niet hetzelfde als schuld. Elk dossier verdient een frisse blik, met ruimte om aannames te weerleggen.
De AP vraagt daarom om streng intern toezicht en onafhankelijke audits. Dat voorkomt dat foutieve aannames zich vastzetten in processen. En het dwingt leveranciers om kwaliteit en uitlegbaarheid te leveren.
Praktische stappen voor uitvoering
Begin met een DPIA en een heldere doelomschrijving: welk fraudeprobleem, met welke gegevens, en waarom is dit nodig. Stel drempelwaarden in voor signalen en leg vast wanneer een mens moet ingrijpen. Test modellen op foutpositieven en vooringenomenheid, en documenteer de resultaten.
Regel training voor medewerkers om scores te duiden en tegen te spreken. Maak beslisbomen die menselijke ruimte borgen. Zet escalatiepaden klaar voor complexe gevallen.
Communiceer duidelijk met burgers over het gebruik van algoritmen. Breng begrijpelijke uitlegbrieven en bied een laagdrempelig bezwaarproces. Zo voldoen organisaties aan de AVG en bouwen ze vertrouwen op, terwijl ze fraude doelgericht aanpakken.