Mag AI beslissen over krediet? Ja, maar nooit alleen

Mag AI beslissen over krediet? Het korte antwoord

Ja, mits je er een wettelijke basis voor hebt, de klant een mens kan laten ingrijpen en je kunt uitleggen hoe het besluit tot stand kwam. Dat geldt vandaag al, en niet alleen voor banken.

De aanleiding: Vesta, een Amerikaans bedrijf dat software bouwt voor hypotheekverstrekkers, haalde op 8 oktober 30 miljoen dollar op (persbericht, TechCrunch, gecontroleerd op 12 oktober 2026). Volgens Vesta zelf doen AI-agents en automatische processen ongeveer 40 procent van de taken. Sommige klanten laten de agents ook zelf beslissen of een hypotheek wordt geaccepteerd.

"Veel van onze klanten beginnen met een AI-agent waarvan een mens het werk goedkeurt, laten hem daarna een deel van de leningen zelf afhandelen en breiden dat dan uit."

Daar knellen de Europese regels. Dit is bronnenonderzoek in de wetteksten, geen juridisch advies.

Krediet op rekening, lease en betaaltermijnen: ook buiten de bank

Artikel 22 AVG en de AI Act-regel voor kredietscores kijken naar wat het systeem doet, niet naar wie het gebruikt. Een groothandel die een agent laat bepalen wie op rekening koopt, valt eronder zodra de klant een natuurlijk persoon is.

Krediet aan een bv of nv valt buiten de AI Act-regel, en artikel 22 beschermt mensen, geen ondernemingen. Een zzp'er of eenmanszaak is wel een natuurlijk persoon. Wie bij een bv de persoonlijke borg van de directeur beoordeelt, beoordeelt ook een persoon. Dat laatste staat niet letterlijk in de wet; zo lees ik de definities.

Wat nu al geldt: artikel 22 AVG en het Schufa-arrest

Artikel 22 AVG verbiedt een besluit dat alleen op geautomatiseerde verwerking berust en iemand in aanmerkelijke mate treft. Een geweigerde lening is zo'n besluit. Het mag alleen als het nodig is voor een overeenkomst, als een wet het toestaat of met uitdrukkelijke toestemming. Bij de eerste en de laatste heeft de klant recht op een mens die ingrijpt, op zijn eigen standpunt en op het aanvechten van het besluit.

Wanneer is een score al een besluit?

Veel bedrijven redeneerden: de computer rekent, een medewerker beslist. Het Hof van Justitie veegde dat op 7 december 2023 weg. Een automatisch berekende kans op terugbetaling is zelf een besluit, zodra de bank of leverancier die de score krijgt er sterk op leunt bij het sluiten, uitvoeren of beëindigen van een contract (arrest C-634/21). Anders, schrijft het Hof, wordt artikel 22 omzeild.

Die zaak ging over kredietbureau Schufa en een bank. Ik lees het zo dat het ook geldt voor een score uit je eigen systeem. Een agent die zelf goedkeurt, ontsnapt er zeker niet aan.

In 2025 voegde het Hof eraan toe dat de klant recht heeft op een begrijpelijke uitleg van de procedure en de principes die echt zijn toegepast (C-203/22). Een beroep op bedrijfsgeheim sluit dat recht niet zomaar uit: dan beslist de toezichthouder of de rechter hoeveel de klant te zien krijgt.

Beoordeel je personen systematisch en uitgebreid, en berusten je besluiten daarop, dan eist de AVG vooraf een DPIA, een risicobeoordeling (artikel 35, lid 3, onder a). Voor consumentenkrediet komt er uiterlijk 20 november 2026 een eigen regel over geautomatiseerde kredietbeoordeling bij, uit de herziene consumentenkredietrichtlijn (memorie van toelichting).

Wat er per 2 december 2027 bijkomt: de AI Act

Bijlage III, punt 5(b) van de AI Act noemt AI die de kredietwaardigheid van natuurlijke personen beoordeelt of hun kredietscore vaststelt hoog risico. Fraudedetectie valt erbuiten. De Digital Omnibus (Verordening 2026/1744) schoof deze regels door van augustus 2026 naar 2 december 2027 (Europese Commissie). Meer daarover in onze governance-checklist.

De uitweg voor AI die alleen voorbereidend werk doet, vervalt zodra het systeem personen profileert (artikel 6). Een kredietscore over een persoon is volgens mij bijna altijd profilering, dus een mens die meekijkt haalt het systeem niet uit die categorie.

De plichten voor de gebruiker: artikel 26 en 27

Wie zo'n systeem inzet, is gebruiker (in de wet: gebruiksverantwoordelijke); wie het bouwt en verkoopt, is aanbieder. Artikel 26 vraagt onder meer:

• gebruik volgens de gebruiksaanwijzing van de aanbieder
• menselijk toezicht door mensen met de nodige bekwaamheid, opleiding en bevoegdheid
• de werking volgen, en bij risico de aanbieder inlichten en het gebruik stoppen
• de automatische logs minstens zes maanden bewaren
• de klant laten weten dat zo'n systeem over hem meebeslist

Dat staat los van artikel 50, dat geldt voor AI die zelf met klanten praat, zoals een chatbot.

Artikel 27 maakt het voor kredietscores strenger. Een grondrechteneffectbeoordeling (FRIA) is normaal iets voor overheden, maar bij punt 5(b) doet elke gebruiker hem, ook een private, vóór het eerste gebruik. De uitkomst gaat naar de markttoezichthouder; de FRIA mag aansluiten op de DPIA. Artikel 86 geeft de klant een eigen recht op uitleg over de rol van het systeem in het besluit.

Valt jouw toepassing eronder?

Vier vragen. De uitkomst toont wat nu geldt, wat in december 2027 bijkomt en welke documenten je nodig hebt.

Interactief

Valt jouw kredietbeslissing onder de AVG of de AI Act? Loop het na

VragenNuDec. 2027Documenten

Vraag 1 van 4

Over wie beslist het systeem?

Een consument of particulierEen zzp’er of eenmanszaakDat is een natuurlijk persoon.Een bv of nv

Geen juridisch advies; lees de wetstekst. Gebouwd door AI Centrum Nederland op AVG artikel 22 en 35, de arresten C-634/21 en C-203/22 en AI Act bijlage III en artikel 6, 26, 27 en 86. Stand: 12 oktober 2026.

Wie controleert dit in Nederland?

Op artikel 22 let de Autoriteit Persoonsgegevens (AP) nu al. Voor de AI Act stelde het kabinet in een Kamerbrief van 20 april 2026 een hybride model voor, met tien toezichthouders en een centrale rol voor de AP en de RDI.

Volgens Stibbe gaan AFM en DNB over AI bij financiële instellingen, en krijgt de AP een groot deel van de hoog-risicotoepassingen, waaronder kredietverlening. Het is nog een wetsvoorstel (Accountant.nl). Voor een leasebedrijf of groothandel wordt dat naar mijn verwachting de AP.

Volgende Stap

De AI-scan laat zien waar AI in je processen al meebeslist. Liever samen doorlopen: neem contact op.

Headerbeeld: Vesta (via TechCrunch).