AI bij incasso: wat het AP-onderzoek betekent voor uw gemeente

Stel: u bent privacy officer bij een gemeente. Het team Invordering draagt openstaande vorderingen die niet betaald worden over aan een incassobureau. Op de website van dat bureau staat "slim incasseren met AI". In uw eigen systeem bepaalt een set regels wie na hoeveel dagen een herinnering krijgt en wie wordt doorgezet. Weet u wat het bureau met de gegevens van uw inwoners doet, en wat uw eigen regels eigenlijk beslissen?

Op 29 oktober 2026 publiceerde de Autoriteit Persoonsgegevens (AP) een onderzoek naar algoritmes en AI bij incassobureaus. Het gaat over de sector, maar de lessen gelden voor elke organisatie die vorderingen int of laat innen.

Wat de AP onderzocht

De AP selecteerde 29 bureaus uit het register van de Wet kwaliteit incassodienstverlening: 17 omdat ze op hun website zeiden AI te gebruiken, 12 omdat ze daar niets over zeiden. In het nieuwsbericht en het onderzoeksrapport van 29 oktober 2026 beschrijft de AP wat ze zag. De bureaus innen voor bedrijven, instellingen en overheden, onder meer bij medische facturen, verkeersboetes, studieschulden en bankvorderingen.

De AP noemt de uitkomst zelf het gunstigste scenario: wie niet in het register staat, deed niet mee, terwijl die bureaus waarschijnlijk vaker ook de AVG niet naleven. Opvallend: in de helft van de gevallen kwamen de antwoorden in de enquête niet overeen met de privacyverklaring op de website.

Waarom dit ook over uw gemeente gaat

Een incassobureau dat namens uw gemeente int, werkt met gegevens die u aanlevert. Welke rol het bureau onder de AVG heeft, verwerker of zelfstandig verwerkingsverantwoordelijke, hangt af van wie doel en middelen bepaalt (artikel 4 punt 7 en 8 AVG). Is het een verwerker, dan mag u alleen zo'n partij inschakelen als die voldoende garanties biedt (artikel 28 lid 1 AVG), en dan blijft u verantwoordelijk voor wat er met de gegevens van uw inwoners gebeurt. Is het bureau verwerker, dan rusten de informatieplicht en artikel 22 op de gemeente als verwerkingsverantwoordelijke. Bepaalt het bureau met eigen algoritmes zelf doel en middelen, dan is het voor dat deel zelf verwerkingsverantwoordelijke. En de software die uw eigen team gebruikt om te bepalen wie wanneer een herinnering krijgt, valt gewoon onder dezelfde regels.

Les 1: een schuld is een persoonsgegeven, een score ook

Sommige bureaus zagen alleen naam, adres en woonplaats als persoonsgegevens. De schuld zelf niet, en de uitkomst van een systeem ook niet. De AP is daar duidelijk over: alles wat iets zegt over een herkenbaar persoon is een persoonsgegeven (artikel 4 punt 1 AVG), dus ook de hoogte van de schuld en een score.

De bureaus zeiden ook geen bijzondere persoonsgegevens te verwerken. Maar debiteuren schrijven en vertellen vrijuit, bijvoorbeeld over hun gezondheid, en sommige bureaus laten AI die berichten en gesprekken analyseren. De AP acht de kans daarom groot dat er wel bijzondere persoonsgegevens worden verwerkt, waarvoor een verbod geldt met beperkte uitzonderingen (artikel 9 AVG).

Voor uw gemeente: neem in de afspraken met het bureau en in uw eigen verwerkingsregister ook schuldbedragen, scores en wat inwoners in contact vertellen mee.

Les 2: ook een gunstig automatisch besluit valt onder artikel 22

Eén bureau gaf aan alleen automatisch te beslissen over betalingsregelingen als de uitkomst gunstig is voor de debiteur; een afwijzing zou altijd door een mens gaan. De AP: de bedoelde uitkomst maakt geen verschil voor het verbod. Artikel 22 gaat over elk besluit dat uitsluitend op geautomatiseerde verwerking berust en rechtsgevolgen heeft of iemand anderszins in aanmerkelijke mate treft (artikel 22 lid 1 AVG), ook als het gunstig uitpakt.

De AP wijst er ook op dat een tussenstap, zoals het berekenen van een risicoscore, al een besluit kan zijn. Zij verwijst naar het arrest SCHUFA van het Hof van Justitie (C-634/21). Daar berekende een kredietinformatiebureau een score, en die score was een besluit omdat het hoofdzakelijk van die score afhing of een derde een overeenkomst met de persoon sloot, uitvoerde of beëindigde. De AP past dat toe op tussenstappen in het eigen proces.

Een uitzondering is mogelijk, bijvoorbeeld als het besluit noodzakelijk is voor een overeenkomst met de betrokkene (artikel 22 lid 2). Bij die uitzondering, en bij uitdrukkelijke toestemming, moet de debiteur ten minste een mens kunnen vragen, zijn standpunt kunnen geven en het besluit kunnen aanvechten (artikel 22 lid 3). Voor een gemeente is de wettelijke route smal: artikel 40 van de Uitvoeringswet AVG maakt een uitzondering voor geautomatiseerde besluiten die noodzakelijk zijn om te voldoen aan een wettelijke verplichting of voor de vervulling van een taak van algemeen belang, anders dan op basis van profilering. De gemeente treft dan passende maatregelen (artikel 40 lid 2).

Les 3: een mens in het proces telt alleen als die echt meekijkt

Veel bureaus bouwen een mens in. De AP twijfelt of dat steeds betekenisvol is of slechts een formele stap zonder invloed op de uitkomst. Sommige bureaus zetten alleen een mens in als de debiteur daarom vraagt. Wie menselijke tussenkomst gebruikt om buiten artikel 22 te blijven, moet zorgen dat die tussenkomst betekenisvol is, bijvoorbeeld door genoeg tijd, goede instructies en een systeem dat de medewerker niet stuurt. De AP verwijst naar haar handvatten voor betekenisvolle menselijke tussenkomst; hoe u dat in de praktijk inricht, leest u in betekenisvolle menselijke tussenkomst in de praktijk.

Voor uw gemeente: leg per stap in de invordering vast wat de medewerker ziet, hoeveel tijd die heeft en hoe vaak hij afwijkt van het voorstel van het systeem. Wijkt niemand ooit af, dan is dat een signaal.

Les 4: informeer actief, uiterlijk bij het eerste contact

Alle bureaus hebben een privacyverklaring op hun website, maar slechts enkele sturen bij het eerste contact een link mee. Weinig verklaringen leggen uit welke algoritmes worden gebruikt. Komen de gegevens niet van de debiteur zelf maar van de schuldeiser, en worden ze gebruikt om contact op te nemen, dan moet de informatie uiterlijk bij het eerste contact worden gegeven (artikel 14 lid 3 onder b AVG). Uiterlijk een maand na verkrijging moet het in elk geval (artikel 14 lid 3 onder a). Neemt de organisatie besluiten als bedoeld in artikel 22, dan meldt zij dat, met nuttige informatie over de onderliggende logica en het belang en de verwachte gevolgen (artikel 14 lid 2 onder g). Volgens de AP mag dat niet wegvallen in een lange opsomming van alle verwerkingen.

Voor uw gemeente: vraag het bureau welke tekst uw inwoners bij de eerste brief krijgen, en controleer dat uw eigen aanmaningen verwijzen naar heldere informatie over hoe u selecteert.

Les 5: dossiers verrijken en kwetsbaarheid opsporen vragen om een grondslag

Bureaus laten systemen extra informatie zoeken in registers en op internet, zoals bankgegevens of activiteit op sociale media. Ze schatten met algoritmes in hoe kwetsbaar iemand is, of hoe groot de kans is dat een schuld wordt betaald. De AP noemt het verrijken van dossiers en het opsporen van kwetsbaarheid toepassingen die fundamentele vragen oproepen over de rechtmatigheid, en ziet ze samen met de inningskans als mogelijke profilering. De AP schrijft dat profilering verboden is tenzij een uitzondering geldt, en beveelt zonder voorbehoud aan te stoppen met verwerkingen die neerkomen op profilering van de debiteur.

Die zin is ruimer dan de AVG. De AVG verbiedt profilering niet als zodanig: profilering vraagt een grondslag (artikel 6 AVG), mag alleen voor een duidelijk doel en niet verder gaan dan nodig (artikel 5 lid 1 onder b en c), en berust zij op een taak van algemeen belang of een gerechtvaardigd belang, dan kan de betrokkene bezwaar maken (artikel 21 lid 1). Verboden is een besluit dat uitsluitend op geautomatiseerde verwerking berust, profilering inbegrepen, als er geen uitzondering geldt. Wij lezen de aanbeveling daarom zo: stop met profilering zonder grondslag, en met profilering waarop een besluit als bedoeld in artikel 22 berust. Het rapport maakt dat onderscheid zelf niet.

Kwetsbaarheid opsporen kan goed bedoeld zijn, om iemand eerder naar hulp te leiden. Maar als het signaal op gezondheid wijst, verwerkt u bijzondere persoonsgegevens. De DPIA-lijst van de AP noemt onder meer profilering, kredietscores en de financiële situatie als verwerkingen waarvoor een DPIA verplicht is (zie wanneer een DPIA verplicht is).

Les 6: maak afspraken met de leverancier en controleer ze

De meeste bureaus kopen hun software in. Leveranciers benaderen bureaus actief, en soms verschijnt er opeens een AI-functie in bestaande software. Niet altijd is er een verwerkersovereenkomst: soms is de leverancier geen verwerker, soms meent het bureau, terecht of mogelijk onterecht, dat er geen persoonsgegevens in het systeem gaan. De AP: zoek een leverancier waarmee goede afspraken te maken zijn, leg ze vast en let bij de inkoop op of u aan de AVG kunt voldoen.

Voor uw gemeente: vraag bij het bureau ook naar de leveranciers die het zelf gebruikt, en neem in het contract op dat een nieuwe AI-functie eerst wordt gemeld.

Les 7: koppel maatregelen aan de risico's die u zelf noemt

Veel bureaus noemden discriminatie als risico, maar geen maatregel daartegen. Ook het risico dat medewerkers zelf AI-tools gebruiken voor beslissingen werd genoemd, zonder maatregel. Meerdere bureaus vonden hun risico laag omdat ze eenvoudige regels en weinig gegevens gebruiken. De AP: ook een simpel algoritme kan grote gevolgen hebben. Opvallend was dat de bureaus die geen algoritmes gebruiken, de risico's het best in kaart hadden.

Wat de AI Act toevoegt

De AI Act geldt alleen voor AI-systemen, niet voor elke vaste als-dan-regel. Een systeem dat een kans berekent op basis van een getraind model is dat al snel wel.

• Kredietwaardigheid. Een AI-systeem dat de kredietwaardigheid van natuurlijke personen beoordeelt of hun kredietscore vaststelt, is hoog risico (bijlage III punt 5 onder b), behalve als het alleen dient om financiële fraude op te sporen. Volgens de AP valt daaronder ook een systeem dat beoordeelt of iemand bereid is betaalverplichtingen na te komen. Omdat zo'n systeem mensen profileert, is de uitzondering van artikel 6 lid 3 niet beschikbaar.
• Uitkeringen terugvorderen. Voor uw gemeente telt ook punt 5 onder a: AI-systemen die door of namens een overheid worden gebruikt om te beoordelen of iemand recht heeft op een essentiële overheidsuitkering, of om die te verlenen, te beperken, in te trekken of terug te vorderen. Wordt een AI-systeem gebruikt bij het besluit om te veel ontvangen bijstand terug te vorderen, dan kan dat dus hoog risico zijn.
• Grondrechtenbeoordeling. Een gemeente als gebruiksverantwoordelijke van zo'n systeem moet vooraf een beoordeling van de gevolgen voor de grondrechten doen; dat geldt ook voor elke gebruiksverantwoordelijke van een systeem onder punt 5 onder b, zoals een bank of een incassobureau (artikel 27). U mag daarin verwijzen naar uw DPIA voor wat die al dekt; zie ook de FRIA voor gemeenten.
• Telefoongesprekken. Leidt een systeem emoties af uit de stem, dan is het een systeem voor het herkennen van emoties: hoog risico (bijlage III punt 1 onder c), en de gemeente of het bureau informeert als gebruiksverantwoordelijke de mensen die eraan worden blootgesteld over de werking ervan (artikel 50 lid 3, geldt sinds 2 augustus 2026). Leidt het systeem emoties van uw eigen medewerkers af, bijvoorbeeld voor trainingsgesprekken, dan is dat verboden (artikel 5 lid 1 onder f, sinds 2 februari 2025), behalve als het om medische of veiligheidsredenen wordt ingevoerd. Volgens de AP gebruiken bureaus de gespreksanalyse juist ook voor trainingsgesprekken met medewerkers. Een sentimentscore die alleen op de tekst van een gesprek is gebaseerd, gebruikt geen biometrische gegevens en valt niet onder de definitie (artikel 3 punt 39).
• Chatbots. De aanbieder moet een chatbot zo ontwerpen dat mensen weten dat ze met AI praten (artikel 50 lid 1, geldt sinds 2 augustus 2026). Controleer dat bij inkoop.
• Menselijk toezicht is iets anders. De AP wijst erop dat menselijk toezicht bij een hoog-risicosysteem iets anders is dan menselijke tussenkomst onder de AVG: het gaat ook om het bewaken van de werking, het herkennen van automation bias en het kennen van de grenzen van het systeem (artikel 14 lid 4 onder a en b). De gebruiksverantwoordelijke wijst daarvoor bekwame mensen aan (artikel 26 lid 2).

De hoog-risicoplichten gelden voor nieuwe systemen vanaf 2 december 2027. Een systeem dat vóór 2 december 2027 in de handel is gebracht of in gebruik is gesteld, valt er pas onder bij een aanzienlijke wijziging van het ontwerp. Aanbieders en gebruiksverantwoordelijken van systemen die bedoeld zijn voor gebruik door overheidsinstanties voldoen uiterlijk 2 augustus 2030 (artikel 111 lid 2); dat geldt ook voor de grondrechtenbeoordeling van de gemeente. AI-geletterdheid (artikel 4) geldt al: wie AI-systemen aanbiedt of gebruikt, neemt maatregelen die de AI-geletterdheid van de mensen die ermee werken ondersteunen. Een bepaald niveau per persoon hoeft niet gewaarborgd te worden.

Voor een bank en een school

Een bank die achterstanden zelf beheert met een model dat de kans op betaling voorspelt, zit midden in dit onderzoek: artikel 22 AVG, de transparantie bij het eerste contact en, als het een AI-systeem is, bijlage III punt 5 onder b met een verplichte grondrechtenbeoordeling.

Een mbo-instelling of hogeschool die achterstallig les- of collegegeld laat innen, heeft dezelfde vragen aan het bureau als de gemeente: welke rol, welke afspraken, welke informatie krijgt de student bij het eerste contact.

Wat u nu doet

1. Maak een lijst van alle stappen in de invordering die een systeem zet of voorstelt, en noteer per stap of er een besluit met gevolgen voor de inwoner uit volgt.
2. Leg per besluit vast wie het neemt, hoeveel tijd die heeft en hoe vaak die afwijkt van het systeem.
3. Controleer welke informatie inwoners bij het eerste contact krijgen, bij u en bij het incassobureau.
4. Vraag het bureau schriftelijk welke algoritmes en AI het gebruikt, welke gegevens het toevoegt en van welke leveranciers.
5. Doe een DPIA als er wordt geprofileerd of gescoord, en noteer daarin al of het systeem een AI-systeem is en of bijlage III punt 5 geldt.
6. Zorg dat de mensen die met deze systemen werken weten hoe ze werken en waar ze fout kunnen gaan.

Wilt u voor een eigen systeem nagaan welke plichten onder de AVG en de AI Act gelden, gebruik dan de gratis casus-check. Recente besluiten en rapporten van de AP vindt u bij AVG-handhaving.

Wat open blijft

• Valt een inningskans onder bijlage III? De AP leest punt 5 onder b breed. De richtsnoeren van de Europese Commissie over de indeling van hoog-risicosystemen zijn nog niet vastgesteld; tot die er zijn, is dit een verdedigbare maar niet uitgemaakte lezing.
• Valt het innen van een terugvordering onder punt 5 onder a? Dat het besluit tot terugvordering eronder valt, is duidelijk. Of ook het innen van een al vastgestelde vordering eronder valt, is niet uitgemaakt.
• Welke uitzondering past bij een automatische betalingsregeling? De AP stelt dat ook gunstige besluiten onder artikel 22 vallen, maar gaat niet in op de vraag wanneer de uitzondering voor een overeenkomst geldt.
• Gesprek met de sector. De AP houdt op 2 december 2026 een rondetafelgesprek met de incassobranche over de bevindingen.