De boete van 825 miljoen euro die de Autoriteit Persoonsgegevens vorige week aan Uber oplegde, leest als nieuws over een techgigant. Dat is het ook. Maar de regel waarop hij is gebaseerd, is geschreven voor iedereen die met een systeem over mensen beslist — en die regel kent geen ondergrens voor bedrijfsgrootte.
Waar Uber tegenaan liep
Tussen 2018 en 2022 deactiveerde Uber accounts van chauffeurs die door zijn systemen van fraude werden verdacht. Dat gebeurde via automatische systemen, zonder dat een mens die beslissing toetste en zonder de chauffeurs er goed over te informeren (Bron: Autoriteit Persoonsgegevens). Uber gaat in beroep, noemt de boete disproportioneel en zegt dat er inmiddels wel mensen bij zulke beslissingen betrokken zijn.
Waar het juridisch om draait is artikel 22 van de AVG. Kort samengevat: je mag niet onderworpen worden aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en dat je in aanzienlijke mate treft. De betrokkene heeft recht op menselijke tussenkomst, op uitleg, en op bezwaar.
Beginner-tip:je hoeft hiervoor geen AI te gebruiken. Artikel 22 gaat over geautomatiseerde besluitvorming, en een puntensysteem in een Excel-macro telt net zo goed als een taalmodel. Wat telt is of er een computer beslist en of dat besluit iemand raakt.
De vraag die je jezelf moet stellen
Niet: “gebruiken wij AI?” Maar: komt hier een besluit tot stand dat iemand aanzienlijk raakt, en kan een mens dat besluit daadwerkelijk anders maken?
Loop je eigen processen langs. In het MKB komt dit vaker voor dan mensen denken:
- Werving en selectie. Een ATS dat cv’s scoort en onder een drempel automatisch afwijst. Als niemand die afwijzingen nog ziet, is dat een geautomatiseerd besluit over iemands baan.
- Klantacceptatie en krediet. Een risicoscore die bepaalt of iemand op factuur mag kopen of een abonnement krijgt.
- Fraude- en misbruikdetectie. Een regel die accounts blokkeert bij afwijkend gedrag. Precies het Uber-scenario, in het klein.
- Verlenging en opzegging. Software die contracten of huurovereenkomsten automatisch niet verlengt op basis van een gedragsscore.
- Planning en beoordeling. Een systeem dat prestaties scoort en die score doorgeeft aan een beoordelingsgesprek of aan roosterverdeling.
Zit je in een van deze categorieën, dan heb je drie dingen te regelen.
| Wat | Hoe je het aantoonbaar maakt |
|---|---|
| Menselijke tussenkomst | Een bevoegd persoon beoordeelt en kan overrulen; leg vast hoe vaak dat gebeurt |
| Informatie vooraf | Privacyverklaring vermeldt de geautomatiseerde besluitvorming en de globale logica |
| Bezwaar achteraf | Een bereikbaar kanaal, een reactietermijn, en een dossier per bezwaar |
Waarom “iemand kijkt ernaar” meestal niet genoeg is
Het woord dat in de wet het meeste werk doet is betekenisvol. Toezichthouders kijken niet of er een mens in het proces zit, maar of die mens er iets toe doet.
Een medewerker die tweehonderd geflagde gevallen per dag afvinkt, is geen beoordelaar maar een doorgeefluik. Iemand die het advies van het systeem niet kan overrulen zonder toestemming van drie lagen erboven, evenmin. En iemand die niet ziet wélke signalen tot de flag hebben geleid, kan de zaak per definitie niet beoordelen.
Er is een simpele meting die dit zichtbaar maakt: hoe vaak wijkt je beoordelaar af van het systeemadvies? Staat die teller op nul over de laatste zeshonderd gevallen, dan heb je geen menselijke tussenkomst. Dan heb je een rubberstempel met een salaris. Dat is geen juridisch spitsvondigheid maar een operationeel signaal dat je zelf kunt aflezen voordat een toezichthouder het doet.
Gevorderden:de uitzonderingen op artikel 22 zijn noodzaak voor een overeenkomst, wettelijke grondslag, of uitdrukkelijke toestemming. Ook dan blijf je verplicht tot passende waarborgen, waaronder het recht op menselijke tussenkomst en bezwaar. De uitzondering haalt de verplichting dus niet weg, hij verplaatst hem. Wie zich erop beroept, moet kunnen uitleggen waarom het besluit noodzakelijk was en niet minder ingrijpend kon.
Wat je deze week kunt doen
Begin niet met beleid. Begin met een inventarisatie van een halve dag.
Zet op één A4 welke systemen in je bedrijf een uitkomst produceren die iemand raakt: sollicitanten, klanten, huurders, leveranciers, medewerkers. Zet erachter wie de uitkomst ziet, wie hem kan wijzigen, en of dat het afgelopen kwartaal ook echt is gebeurd. Waar het antwoord op die laatste vraag “nee” of “geen idee” is, ligt je werk.
Daarna pas de tekstuele kant: je privacyverklaring aanvullen, en bij afwijzingen of blokkades een regel opnemen die vertelt dat er geautomatiseerd is besloten en hoe iemand bezwaar maakt.
En houd in het achterhoofd dat er een tweede regime aankomt. Werving- en selectiesystemen vallen onder de EU AI Act in de categorie hoog risico, met eigen documentatie- en toezichtsverplichtingen bovenop de AVG. Welke Nederlandse toezichthouders daarbij horen, zetten we uiteen in EU AI Act: welke 10 Nederlandse toezichthouders jouw MKB raken, en het risiconiveau van je eigen tool bepaal je met AI Act: in welk risiconiveau valt jouw AI-tool?. De bredere duiding van de Uber-zaak staat op Het Laatste AI Nieuws.