AP adviseert incassobureaus over algoritmes en AI

De Autoriteit Persoonsgegevens (AP) publiceert vandaag aanbevelingen voor AI en algoritmes bij incassobureaus, na een onderzoek onder 29 bureaus dat risico’s rond persoonsgegevens, besluitvorming en transparantie zichtbaar maakt.

Voor een incassobureau maakt de publicatie bestaande AVG-regels concreet in softwarestappen die bepalen wie eerst wordt benaderd, welke betalingsregeling mogelijk is en welke informatie een medewerker meeweegt. De inzet loopt daardoor van datamodel tot leverancierscontract en het eerste contact met een schuldenaar.

De cijfers gaan vooral over algoritmes

Security.NL vat de uitkomst samen als breed gebruik van AI. De AP-cijfers zijn specifieker: van de 22 bruikbare antwoorden noemden 10 minstens één algoritme. Alle tien gebruikten regelgebaseerde systemen; drie ook AI. De AP kreeg 22 bruikbare antwoorden op vragen over algoritmes en AI bij incassobureaus.

De overige 12 respondenten zeiden geen algoritmes te gebruiken; de helft overwoog het alsnog. Omdat ook eenvoudige beslisregels als algoritme meetellen, zijn 10 algoritmegebruikers niet hetzelfde als 10 AI-gebruikers.

Een score kan het besluit zijn

Incassobureaus gebruiken algoritmes en AI om te kiezen via welk kanaal en hoe vaak zij contact zoeken. Systemen beantwoorden ook vragen over schulden, verwerken betalingsafspraken en analyseren gesprekken. Andere modellen schatten de inningskans met gegevens zoals kredietscore, locatie en betaalgeschiedenis. Medewerkers gebruiken die score om te bepalen wie voorrang krijgt; systemen zoeken ook contact- en bankgegevens op of signaleren kwetsbaarheid.

Juist bij die toepassingen is het niet altijd duidelijk waar een advies eindigt en een geautomatiseerd besluit begint. Het AP-rapport beschrijft een bureau dat positieve verzoeken om een betalingsregeling automatisch afhandelt, maar negatieve uitkomsten aan een medewerker voorlegt. De AP wijst erop dat ook een positieve uitkomst onder de AVG-regels voor geautomatiseerde besluitvorming kan vallen als die iemand in aanmerkelijke mate raakt. Bij sommige andere bureaus komt een mens pas in beeld wanneer de schuldenaar daarom vraagt.

Het Hof van Justitie van de EU oordeelde in de SCHUFA-zaak dat een automatische score zelf als besluit kan gelden wanneer een derde partij er zwaar op leunt. Die zaak ging over kredietwaardigheid, niet over de prioritering van incassodossiers. De vergelijking maakt dus niet iedere inningsscore automatisch verboden. Ze onderstreept wel waarom het gebruik, de gevolgen en de echte invloed van een medewerker moeten worden beoordeeld.

De AP vraagt om controle in de hele keten

Naast menselijke controle vraagt de AP om vaste controles op gegevens, uitleg, leveranciers en risico’s. Bureaus moeten in kaart brengen welke persoonsgegevens een systeem gebruikt en oplevert, of daar een grondslag en noodzaak voor bestaat, en of er bijzondere persoonsgegevens in dossiers terechtkomen. De AP vraagt ook om duidelijke informatie aan schuldenaren, met uitleg over algoritmische verwerking en hun rechten. Die informatie hoort actief bij het eerste contact te worden gedeeld wanneer de gegevens van een opdrachtgever komen.

Dat sluit aan bij de twee AVG-documenten die de AP in juli voor AI-bouwers en AI-inkopers publiceerde. Voor incassobureaus voegt het rapport daar betekenisvolle menselijke tussenkomst aan toe: een medewerker moet genoeg tijd, uitleg en bevoegdheid hebben om een uitkomst te beoordelen en aan te passen. Een formele goedkeuringsstap volstaat niet als de medewerker de score niet begrijpt of geen ruimte heeft om ervan af te wijken.

Ook leveranciersbeheer hoort bij die controle. De meeste bureaus die algoritmes gebruiken, kopen de software in. De afspraken verschillen en zijn niet altijd verwerkersovereenkomsten: sommige bureaus zien de leverancier niet als verwerker of denken dat het systeem geen persoonsgegevens verwerkt. De AP vond bovendien dat in ongeveer de helft van de onderzochte gevallen de antwoorden van een bureau niet overeenkwamen met de eigen privacyverklaring. Dat maakt vastleggen wat een leverancier doet en controleren wat er in de praktijk draait onderdeel van AI-governance.

De AI-verordening vormt een tweede regelgevingslaag. De Europese wetstekst noemt AI voor de beoordeling van kredietwaardigheid of kredietscore als hoog-risicogebruik, met regels voor bijlage III vanaf 2 december 2027. Het AP-rapport vraagt incassodiensten per toepassing te beoordelen welke categorie geldt en noemt ook systemen die de bereidheid beoordelen om betalingsverplichtingen na te komen. Daardoor wordt het doel van een score juridisch relevant.

De aanbodkant beweegt eveneens. Op 14 oktober maakte Genpact een suite met modules voor incasso, geschilafhandeling en betalingsmatching beschikbaar voor industriële klanten. Dat aanbod richt zich op zakelijke vorderingen; het AP-onderzoek gaat over bureaus die ook schulden van particulieren innen. De twee ontwikkelingen raken dezelfde geldstroom, maar de AP legt de nadruk op de persoonsgegevens en gevolgen voor mensen in het incassoproces.

Het rapport geeft geen sectorpercentage

De 29 bureaus kwamen uit het incassoregister en vormden ongeveer 13 procent van het totaal. De AP selecteerde 17 vanwege een online AI-vermelding en 12 zonder zulke informatie. De analyse is kwalitatief en niet representatief; niet-geregistreerde bureaus ontbreken, waardoor de AP de steekproef het gunstigste scenario noemt.

De publicatie onderbouwt dus dat algoritmische systemen in kernprocessen voorkomen en dat bureaus hun gegevensgebruik, leveranciers en menselijke controle beter moeten kunnen uitleggen. Ze meet niet welk aandeel van alle incassobureaus AI gebruikt of hoe snel dat aandeel groeit. De AP organiseert op 2 december een rondetafelgesprek met de branche; aanmelden kan tot 11 november. Daar staat de praktische vraag centraal die de enquête openlaat: welke score beïnvloedt welk contact of besluit, en wie kan die uitkomst daadwerkelijk veranderen?