De Franse belastingdienst DGFiP zet nieuwe algoritmen in na een hack waarbij gegevens van 678.000 belastingbetalers zijn buitgemaakt. Het gaat om extra controle op inloggen en opvallende activiteiten in online belastingportalen in Frankrijk. De inzet volgt op een recent ontdekt datalek en moet misbruik en identiteitsfraude tegengaan. De stap valt onder regels van de AVG en raakt aan eisen uit de Europese AI-verordening (AI Act) voor overheidsgebruik van kunstmatige intelligentie.
Fiscus versnelt AI-inzet
De DGFiP gebruikt nu systemen voor patroonherkenning om verdachte inlogpogingen en wijzigingen in accounts sneller te zien. Zo’n systeem is software die leert van voorbeelden en afwijkingen markeert voor controle. Denk aan ongebruikelijke tijden, nieuwe apparaten of massale pogingen met foutieve wachtwoorden. Doel is om misbruik gauw te blokkeren en betrokken burgers te waarschuwen.
De dienst benadrukt dat automatische signalen niet automatisch tot sancties leiden. Medewerkers bekijken opvallende gevallen en beslissen daarna pas over maatregelen. Dat heet menselijke toetsing en moet fouten door het model beperken. Zo blijft de rechtspositie van burgers gewaarborgd.
Technisch gaat het om profilering van aanmeldgedrag, niet om het automatisch vaststellen van fraude. De algoritmen draaien op loggegevens die de overheid al verzamelt voor beveiliging. Deze data worden volgens de dienst beperkt bewaard en alleen gebruikt om misbruik te voorkomen. Daarmee sluit het gebruik aan bij het beginsel van dataminimalisatie uit de AVG.
Lek treft 678.000 accounts
Bij de hack zijn gegevens van 678.000 belastingbetalers geraakt. Welke gegevens precies verschillen per account, maar het gaat vaak om contactgegevens en accountinformatie. Het onderzoek naar de herkomst en methode van de aanval loopt op het moment van schrijven. De autoriteiten sluiten misbruik van eerder gelekte wachtwoorden of geautomatiseerde inlogpogingen niet uit.
Na ontdekking zijn extra beveiligingsmaatregelen opgestart. Denk aan het resetten van wachtwoorden en het tijdelijk blokkeren van verdachte profielen. Gebruikers krijgen meldingen bij ongebruikelijke activiteiten. Wie geen vreemde signalen ziet, hoeft niets te doen, maar alert blijven op phishing is raadzaam.
De DGFiP werkt samen met de Franse privacytoezichthouder CNIL voor melding en opvolging. Slachtoffers houden onder de AVG recht op inzage en op informatie over de impact. Zij kunnen bij twijfel een klacht indienen bij de CNIL. Ook adviseert de dienst het gebruik van twee-factorauthenticatie waar mogelijk.
678.000 getroffen belastingbetalers: zo groot is het lek dat de Franse fiscus nu onderzoekt.
AVG en AI Act gelden
De inzet van algoritmen door de overheid valt onder de AVG en de Europese AI-verordening. Voor dit soort systemen geldt het principe van doelbinding: beveiliging en fraudepreventie, niet meer. Een gegevensbeschermingseffectbeoordeling (DPIA) is vereist bij grootschalige, risicovolle verwerkingen. Daarin staat welke data echt nodig zijn, hoe lang ze bewaard worden en wie toegang heeft.
De AI-verordening plaatst AI voor overheidsbesluiten die burgers raken in de categorie hoog risico. Dat vraagt om strikte eisen aan data-kwaliteit, uitlegbaarheid, logging en menselijk toezicht. De aanbieder en de gebruiker van het systeem moeten risico’s voortdurend beheren en documenteren. Burgers hebben recht op duidelijke informatie over het gebruik en de gevolgen.
Voor Frankrijk is de DGFiP de gebruiker en eindverantwoordelijke. Eventuele leveranciers van detectiesoftware moeten aantonen dat hun modellen voldoen aan de technische normen. Transparantie en audittrail zijn verplicht, zodat achteraf te zien is hoe een signaal tot stand kwam. Dit helpt bij het corrigeren van fouten en bij toezicht door autoriteiten.
Beperkte data en menselijke toets
Privacy en veiligheid vragen om zo min mogelijk data te verwerken. Voor beveiligingsdoelen volstaan vaak technische loggegevens, geanonimiseerd waar het kan. Versleuteling tijdens opslag en transport is daarbij standaard. Zo daalt het risico dat diefstal van data meteen tot misbruik leidt.
Menselijke toets blijft cruciaal om onterechte verdenkingen te voorkomen. Algoritmen kunnen bias of ruis bevatten en ongewone maar legitieme patronen verkeerd lezen. Een medewerker moet elk belangrijk gevolg toetsen, zoals het blokkeren van een account. Die rol en bevoegdheden horen vastgelegd te zijn in procedures.
Bekend is dat risicomodellen soms verkeerde groepen raken. De Nederlandse toeslagenaffaire geldt als waarschuwend voorbeeld van foutgevoelige risicoselectie. Dat onderstreept de noodzaak van zorgvuldige datakeuze, uitleg en bezwaarrecht. Zonder goede waarborgen kan schade snel groot zijn.
Gevolgen voor Nederland en EU
Ook Nederlandse overheden gebruiken algoritmen voor beveiliging en toezicht. Het Rijk publiceert modellen in het Algoritmeregister, zodat burgers weten waar systemen draaien. De Autoriteit Persoonsgegevens vraagt daarbij om DPIA’s en heldere doelen. De Franse zaak laat zien dat transparantie en snelle reactie bij incidenten onmisbaar zijn.
De Europese AI-verordening brengt voor alle lidstaten gelijke basisregels. Overheden moeten hun systemen inventariseren, labelen op risico en aantoonbaar beheersen. Leveranciers van detectiesoftware moeten technische dossiers en testen paraat hebben. Dit verkleint verschillen in aanpak tussen landen en vergemakkelijkt toezicht.
Voor grenswerkers en studenten met een Frans belastingaccount geldt hetzelfde beschermingsniveau. Zij kunnen rechten uitoefenen onder de AVG, ook vanuit Nederland of België. Bij problemen is klachtindiening mogelijk bij de CNIL of de eigen nationale toezichthouder. Samenwerking tussen toezichthouders is voorzien in de Europese regels.
Wat burgers nu merken
Wie een Frans belastingaccount heeft, kan extra controles bij het inloggen zien. Dat zijn bijvoorbeeld nieuwe meldingen of een verzoek om tweede factor. Het doel is bescherming tegen misbruik, niet het lastigvallen van gebruikers. Dit soort stappen verlaagt het risico op kaping van accounts.
Praktische tips blijven eenvoudig en effectief. Gebruik unieke, sterke wachtwoorden en zet twee-factorauthenticatie aan. Klik niet op links in verdachte e-mails, maar ga direct naar de officiële site. Controleer regelmatig uw accountactiviteit en pas gegevens aan bij twijfel.
Bij een vermoeden van fraude is snel handelen belangrijk. Blokkeer de toegang, wijzig wachtwoorden en meld het bij de dienst. Vraag inzage in de verwerking van uw gegevens en noteer de communicatie. Zo houdt u grip op de afhandeling en uw rechten.