Je mag AI gebruiken voor automatische beslissingen over klanten als aan ten minste één van de drie wettelijke uitzonderingen is voldaan: de beslissing is noodzakelijk voor een overeenkomst, de klant heeft uitdrukkelijk toestemming gegeven, of een wettelijke bepaling staat het toe. Buiten deze uitzonderingen verbiedt de AVG volledig geautomatiseerde besluiten die aanzienlijke gevolgen hebben voor een persoon. Dit geldt voor elke organisatie die AI inzet in klantcontact, van routering tot kredietbeoordeling. In dit artikel beantwoorden we de meest gestelde vragen over geautomatiseerde besluitvorming en AI, zodat je weet waar je aan toe bent.
Wat zegt de AVG over geautomatiseerde besluitvorming?
De AVG (Algemene Verordening Gegevensbescherming) geeft betrokkenen in Artikel 22 het recht om niet onderworpen te worden aan een besluit dat uitsluitend gebaseerd is op geautomatiseerde verwerking, inclusief profilering, als dat besluit aanzienlijke gevolgen voor hen heeft. Dit is geen verbod op het gebruik van AI, maar een verbod op volledig geautomatiseerde besluiten zonder menselijke tussenkomst, tenzij een uitzondering van toepassing is.
In de praktijk betekent dit dat je AI prima mag inzetten als ondersteunend hulpmiddel: een medewerker bekijkt de aanbeveling van het systeem en neemt zelf de uiteindelijke beslissing. Pas wanneer het systeem zonder enige menselijke beoordeling een besluit neemt dat directe gevolgen heeft voor een klant, kom je in het toepassingsgebied van Artikel 22 terecht.
Belangrijk om te weten: de AVG geldt voor alle organisaties die persoonsgegevens van mensen in de EU verwerken, ongeacht waar de organisatie zelf gevestigd is. In 2026 is de combinatie van de AVG en de EU AI Act bovendien steeds relevanter. De AI Act voegt daar een extra laag aan toe, met name voor zogenoemde hoog-risico AI-systemen die profilering van natuurlijke personen uitvoeren. Die vallen altijd in de strengste categorie.
Welke drie uitzonderingen laten automatische AI-beslissingen toe?
De AVG erkent drie situaties waarin volledig geautomatiseerde besluitvorming toch is toegestaan. Ten eerste als de beslissing noodzakelijk is voor de uitvoering of het sluiten van een overeenkomst met de betrokkene. Ten tweede als een wettelijk voorschrift de beslissing toestaat of vereist. Ten derde als de betrokkene uitdrukkelijke toestemming heeft gegeven voor de geautomatiseerde verwerking.
In alle drie gevallen gelden aanvullende verplichtingen:
- De betrokkene moet het recht hebben om menselijke tussenkomst te verzoeken.
- De betrokkene moet zijn standpunt kenbaar kunnen maken.
- De betrokkene moet de beslissing kunnen aanvechten.
In de praktijk is de uitzondering op basis van een overeenkomst het meest relevant voor klantenservice. Denk aan een geautomatiseerde kredietcheck bij het afsluiten van een abonnement, of een identiteitsverificatie bij het openen van een account. De toestemmingsgrondslag klinkt aantrekkelijk, maar is in de praktijk lastig te gebruiken: toestemming moet vrijelijk gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Bij een ongelijke machtsverhouding, zoals bij een werkgever-werknemerrelatie, is vrije toestemming al snel twijfelachtig.
Wat is het verschil tussen profilering en een geautomatiseerd besluit?
Profilering is het automatisch verwerken van persoonsgegevens om bepaalde persoonlijke aspecten van iemand te evalueren, zoals gedrag, interesses, locatie of betrouwbaarheid. Een geautomatiseerd besluit is een beslissing die uitsluitend op basis van zo’n geautomatiseerde verwerking tot stand komt, zonder dat een mens de uitkomst beoordeelt. Profilering hoeft op zichzelf geen besluit te zijn, maar vormt vaak de aanloop naar één.
Een concreet voorbeeld: een AI-systeem dat klantgedrag analyseert en een risicoscore toekent, voert profilering uit. Als een medewerker die score vervolgens gebruikt om te beslissen of een klant in aanmerking komt voor een dienst, is er menselijke tussenkomst en valt het buiten Artikel 22. Maar als het systeem op basis van die score automatisch een aanvraag afwijst of een klant in een andere tariefcategorie plaatst, is er sprake van een volledig geautomatiseerd besluit.
Onder de EU AI Act is profilering van natuurlijke personen altijd aangemerkt als hoog-risico AI, ongeacht de context. Dat betekent strengere eisen aan documentatie, transparantie en toezicht, ook als de uitkomst van de profilering uiteindelijk door een mens wordt beoordeeld.
Wanneer heeft een AI-beslissing ‘aanzienlijke gevolgen’ voor een klant?
Een beslissing heeft aanzienlijke gevolgen als ze de rechtspositie van iemand beïnvloedt, een significant effect heeft op zijn omstandigheden, of hem op een andere manier substantieel raakt. Denk aan het weigeren van een lening, het beëindigen van een contract, het vaststellen van een verzekeringspremie, of het blokkeren van toegang tot een dienst. Niet elke AI-aanbeveling valt hieronder.
Beslissingen die doorgaans wel als aanzienlijk worden beschouwd:
- Krediet- of verzekeringsbesluiten op basis van een algoritmische score.
- Automatische weigering van een serviceaanvraag of klacht.
- Prioritering van klanten waarbij bepaalde groepen structureel slechter worden bediend.
- Automatische opzegging of contractwijziging op basis van gedragsdata.
Beslissingen die doorgaans niet als aanzienlijk worden beschouwd:
- Gepersonaliseerde productaanbevelingen zonder bindend karakter.
- Automatische routering naar de juiste afdeling op basis van het onderwerp van een vraag.
- Spam- of fraudefilters die berichten markeren voor menselijke beoordeling.
De grens is niet altijd scherp. Bij twijfel is het verstandig om altijd een menselijke toetsstap in te bouwen en dit te documenteren.
Welke verplichtingen gelden als AI toch automatisch beslist?
Als je gebruikmaakt van een van de drie uitzonderingen en dus toch automatisch beslist, gelden er meerdere concrete verplichtingen vanuit de AVG. De betrokkene moet vooraf geïnformeerd worden, het recht op menselijke tussenkomst moet actief worden aangeboden, en de beslissing moet aanvechtbaar zijn. Bovendien moet je als organisatie kunnen uitleggen hoe de beslissing tot stand is gekomen.
Concreet betekent dit:
- Transparantie: Informeer klanten in je privacyverklaring dat geautomatiseerde besluitvorming plaatsvindt, wat de logica erachter is en welke gevolgen dit kan hebben.
- Recht op menselijke beoordeling: Bied altijd een duidelijk en toegankelijk kanaal aan waarmee een klant een menselijke heroverweging kan aanvragen.
- Recht op bezwaar: Klanten moeten hun standpunt kenbaar kunnen maken voordat of nadat een beslissing is genomen.
- Gegevensminimalisatie: Gebruik alleen de persoonsgegevens die strikt noodzakelijk zijn voor de beslissing.
- Data Protection Impact Assessment (DPIA): Bij grootschalige geautomatiseerde verwerking met aanzienlijke gevolgen is een DPIA verplicht.
Onder de EU AI Act komen hier voor hoog-risico systemen nog extra verplichtingen bij, zoals het bijhouden van logbestanden, het uitvoeren van grondrechteneffectbeoordelingen en registratie in de EU-databank.
Hoe richt je AI-besluitvorming in zonder AVG-overtredingen?
De sleutel tot AVG-conforme AI-besluitvorming is het inbouwen van betekenisvolle menselijke tussenkomst op de juiste momenten, gecombineerd met transparantie richting de klant. Dit is geen bureaucratische formaliteit, maar een ontwerprequirement die je van het begin af aan meeneemt in je processen.
Praktische stappen om overtredingen te voorkomen:
- Breng in kaart welke beslissingen aanzienlijke gevolgen hebben. Maak een overzicht van alle plekken waar AI een uitkomst produceert die direct invloed heeft op klanten.
- Bepaal per beslissing of er een geldige uitzondering is. Overeenkomst, wet of toestemming? Documenteer dit expliciet.
- Bouw een menselijke toetsstap in bij twijfelgevallen. Laat AI adviseren, maar laat een medewerker beslissen bij complexe of gevoelige situaties.
- Zorg voor uitlegbaarheid. Gebruik systemen die kunnen aangeven waarom een bepaalde uitkomst is gegenereerd, ook al is het een vereenvoudigde uitleg.
- Voer een DPIA uit voordat je een nieuw AI-systeem met aanzienlijke beslissingsbevoegdheid in productie neemt.
- Train je medewerkers. Vanaf 2 februari 2025 is AI-geletterdheid een wettelijke verplichting onder de EU AI Act. Medewerkers die met AI-systemen werken, moeten begrijpen wat die systemen doen en wanneer ze moeten ingrijpen.
Een goed ontworpen AI-systeem hoeft geautomatiseerde besluitvorming niet te vermijden, maar maakt duidelijk wanneer menselijke beoordeling noodzakelijk is en faciliteert dat actief.
Hoe Pegamento helpt met verantwoorde AI-besluitvorming
Wij begrijpen dat de combinatie van AVG en EU AI Act voor veel organisaties complex aanvoelt, zeker als je tegelijkertijd klantcontact wilt verbeteren en processen wilt automatiseren. Bij Pegamento helpen we je om AI op een verantwoorde manier in te zetten, zonder dat je in juridische valkuilen stapt en zonder kostbaar maatwerk, maar met slimme combinaties van bewezen modules.
Wat we concreet voor je doen:
- We ontwerpen AI-workflows waarbij menselijke tussenkomst op de juiste momenten is ingebouwd, zodat je voldoet aan Artikel 22 van de AVG.
- We zetten Agentic AI in voor klantenservice: een evolutie van uitvoerende bots naar zelfdenkende assistenten die zelfstandig initiatief nemen, maar altijd binnen de kaders die jij stelt.
- We bieden alles onder één dak: van advies en implementatie tot beheer en ondersteuning, met één aanspreekpunt voor het totaalpakket.
- We werken conform ISO 27001 (informatiebeveiliging), ISO 9001 en ISO 26000, zodat je zeker weet dat gegevensbeveiliging en kwaliteitsborging structureel zijn verankerd.
- We helpen je bij het documenteren van je AI-toepassingen, zodat je bij een eventuele toezichtsvraag aantoonbaar in control bent.
Wil je weten hoe jouw organisatie AI verantwoord kan inzetten zonder AVG-overtredingen? Neem contact met ons op en we denken graag met je mee.
Veelgestelde vragen
Geldt Artikel 22 van de AVG ook als een mens de AI-aanbeveling achteraf nog kan zien, maar nooit actief ingrijpt?
Ja, dat is een veelvoorkomende valkuil. Menselijke tussenkomst moet betekenisvol zijn: een medewerker moet de AI-uitkomst daadwerkelijk kunnen beoordelen en bijsturen, niet alleen formeel 'akkoord' klikken zonder inhoudelijke toetsing. Als een mens de beslissing rubber-stampt zonder echte beoordeling, beschouwt de toezichthouder dit nog steeds als een volledig geautomatiseerd besluit. Zorg dus dat medewerkers voldoende tijd, informatie en bevoegdheid hebben om echt te kunnen ingrijpen.
Wat moet ik doen als een klant bezwaar maakt tegen een automatisch genomen AI-beslissing?
Je bent verplicht om een duidelijk en toegankelijk bezwaarproces in te richten. Dit betekent concreet: een aangewezen contactpersoon of kanaal (zoals een e-mailadres of formulier), een redelijke reactietermijn, en een inhoudelijke heroverweging door een mens die niet simpelweg de AI-uitkomst herhaalt. Documenteer het bezwaar en de uitkomst zorgvuldig, want bij een klacht bij de Autoriteit Persoonsgegevens moet je kunnen aantonen dat je het recht op menselijke tussenkomst actief hebt gefaciliteerd.
Hoe leg ik klanten op een begrijpelijke manier uit hoe een AI-beslissing tot stand is gekomen?
De AVG vereist geen technische uitleg van het algoritme, maar wel een zinvolle toelichting: welke gegevens zijn gebruikt, wat de voornaamste factoren waren en welke gevolgen de beslissing heeft. Gebruik begrijpelijke taal in je privacyverklaring en communiceer actief op het moment van de beslissing, bijvoorbeeld via een automatisch bericht met de kernreden. Vermijd vage formuleringen zoals 'op basis van een geavanceerd model'; benoem concrete factoren zoals betalingsgeschiedenis of contractduur.
Vanaf wanneer is een DPIA verplicht voor een AI-systeem dat klantbeslissingen neemt?
Een Data Protection Impact Assessment (DPIA) is verplicht zodra de verwerking 'waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen'. Voor geautomatiseerde besluitvorming met aanzienlijke gevolgen is dit vrijwel altijd het geval, zeker bij grootschalige inzet of profilering. Voer de DPIA uit vóór de livegang van het systeem, niet achteraf. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA sowieso verplicht is, waaronder geautomatiseerde besluitvorming over krediet, verzekeringen en toegang tot diensten.
Wat verandert er concreet voor mijn organisatie door de EU AI Act ten opzichte van wat de AVG al vereist?
De AVG regelt de bescherming van persoonsgegevens en het recht op menselijke tussenkomst, terwijl de EU AI Act aanvullende eisen stelt aan de AI-systemen zelf. Voor hoog-risico AI-systemen — waaronder alle profileringssystemen — gelden verplichtingen zoals technische documentatie, automatische logregistratie, grondrechteneffectbeoordelingen en verplichte registratie in een EU-databank. Bovendien geldt sinds 2 februari 2025 de AI-geletterdheidsplicht: medewerkers die met AI werken, moeten aantoonbaar begrijpen wat het systeem doet en wanneer ingrijpen noodzakelijk is.
Mag ik toestemming gebruiken als juridische grondslag voor geautomatiseerde besluitvorming bij mijn klanten?
Technisch gezien wel, maar in de praktijk is dit de meest risicovolle grondslag. Toestemming moet volledig vrijwillig zijn, wat betekent dat klanten geen nadeel mogen ondervinden als ze weigeren. Bij een dienst die je alleen kunt gebruiken als je toestemming geeft voor geautomatiseerde besluitvorming, is die toestemming per definitie niet vrij. De grondslag 'noodzakelijk voor de uitvoering van een overeenkomst' is in de meeste klantenservice-contexten een robuustere keuze, mits de geautomatiseerde beslissing echt noodzakelijk is voor die overeenkomst en je dit goed kunt onderbouwen.
Hoe houd ik bij welke AI-beslissingen er in mijn organisatie worden genomen, zodat ik aantoonbaar in control ben?
Begin met een centraal register van alle AI-toepassingen die klantbeslissingen beïnvloeden, inclusief het type beslissing, de gebruikte grondslag, de betrokken gegevens en de ingebouwde waarborgen. Koppel hieraan een logstructuur die per beslissing bijhoudt welke input is gebruikt en wat de uitkomst was — dit is ook een vereiste onder de EU AI Act voor hoog-risico systemen. Combineer dit met periodieke audits waarbij je steekproefsgewijs controleert of de menselijke toetsstap daadwerkelijk functioneert zoals ontworpen.
Gerelateerde artikelen
- Wanneer is een klantenservice chatbot hoog-risico onder de AI Act?
- Wat zijn de transparantieverplichtingen in de AI Act voor klantenservice?
- Wat zijn de meest gemaakte fouten bij het meten van CSAT?
- Wat zijn de verborgen kosten van een klantenservice migratie?
- Wat zijn RPA proces selectie best practices?
Deze inhoud is gegenereerd met behulp van AI en kan fouten bevatten.
