De Autoriteit Persoonsgegevens legde Uber vorige week een boete op van 824.990.000 euro, omdat software chauffeurs van het platform gooide zonder dat er een mens naar keek. Alleen het bedrag is uitzonderlijk: de regel erachter geldt net zo goed voor het fraudefilter in je webshop, voor het systeem dat sollicitaties sorteert en voor de tool die bepaalt welke klant achteraf mag betalen. Automatiseer jij ook zulke besluiten? Vrijwel zeker. De vraag is dan of er iemand tussen zit die er eentje kan tegenhouden.
Wat deed Uber precies?
Uber liet software het rijgedrag en de klantbeoordelingen van chauffeurs volgen en blokkeerde hun account automatisch zodra dat systeem fraude vermoedde of de beoordelingen te laag waren. Bij aanhoudend lage beoordelingen werd die blokkade permanent. Er kwam geen mens aan te pas. Dat gebeurde tussen 2018 en 2022, en tijdens zo'n blokkade viel het inkomen van de chauffeur via Uber meteen weg.
Volgens de Autoriteit Persoonsgegevens overtrad Uber daarmee twee dingen tegelijk: het verbod op volledig geautomatiseerde besluitvorming uit de AVG, en de plicht om mensen te vertellen dát een computer zulke besluiten neemt. Uber is er inmiddels mee gestopt, noemt de boete buitenproportioneel en tekent bezwaar aan.
Monique Verdier, vicevoorzitter van de AP, vatte het oordeel zo samen:
“Chauffeurs werden zonder pardon op non-actief gezet. Waarmee zij dus van het ene op het andere moment geen inkomen meer via Uber hadden. Dat is verboden. Een computer mag niet zelfstandig besluiten nemen die grote gevolgen voor jou hebben. Hier had eerst een mens naar moeten kijken.”
Monique Verdier, vicevoorzitter Autoriteit Persoonsgegevens
Even voor de beeldvorming: de boete komt neer op ongeveer 1,85 procent van de wereldwijde omzet van Uber, die in 2025 zo'n 44,5 miljard euro bedroeg. Het wettelijke maximum is 4 procent. Het is de op een na hoogste AVG-boete ooit, en de vierde die de AP aan Uber oplegt, na 600.000 euro in 2018, 10 miljoen in 2023 en 290 miljoen in 2024.
Overigens begon de zaak niet in Nederland. 171 Franse chauffeurs klopten aan bij een Franse mensenrechtenorganisatie, die namens hen een klacht indiende bij de Franse toezichthouder. Omdat het Europese hoofdkantoor van Uber in Amsterdam staat, kwam het onderzoek bij de AP terecht.
Waarom raakt dit ook jouw bedrijf?
De regel die Uber overtrad gaat niet over taxi's, maar over elk besluit dat een computer in zijn eentje neemt over een persoon en dat die persoon hard raakt. Of je nu dertig of drieduizend mensen bedient, de norm is hetzelfde. Alleen de boete schaalt mee met je omzet.
Vergelijk het met het deurbeleid van een club. Een portier die iedereen weigert die het systeem rood kleurt, zonder ooit zelf te kijken, is geen portier. Dat is een draaideur met een naambordje. Op precies dat verschil let de toezichthouder.
| Wat je systeem doet | Wie het raakt | Valt het onder het verbod? |
|---|---|---|
| Fraudefilter blokkeert een klantaccount of weigert een bestelling | Klant | Ja, als de blokkade direct ingaat zonder dat iemand meekijkt |
| Sollicitatiesysteem wijst kandidaten af op basis van een score | Sollicitant | Ja, dit voorbeeld staat letterlijk in de toelichting op de AVG |
| Achteraf betalen wordt geweigerd op basis van een kredietscore | Klant | Ja, ook als een externe partij die score levert |
| Platform zet een zzp'er of verkoper op non-actief na lage reviews | Leverancier | Ja, dit is de situatie van Uber |
| Roostertool geeft minder diensten aan wie laag scoort | Medewerker | Ja, als er minder werk of minder inkomen uit volgt |
| Systeem selecteert dossiers voor een extra controle | Klant of medewerker | Nee, zolang dat alleen leidt tot navraag en een mens daarna beslist |
Die laatste rij is belangrijk, want daar zit de ruimte. Een systeem dat opvallende gevallen naar boven haalt, mag gewoon. Het wordt pas een besluit als er automatisch gevolgen aan hangen.
Wanneer valt een besluit onder het verbod?
Artikel 22 van de AVG verbiedt besluiten die volledig door een systeem worden genomen en die iemand juridisch of anderszins aanmerkelijk raken. Aanmerkelijk betekent in de praktijk: het kost iemand geld, werk of toegang tot een dienst waar iemand van afhankelijk is. Een geweigerde bestelling van 30 euro valt daar meestal niet onder, een geblokkeerd verkopersaccount waarmee iemand omzet draait wel.
Er zijn drie uitzonderingen: het besluit is nodig om een contract uit te voeren, er is een wet die het toestaat, of de betrokkene heeft er uitdrukkelijk toestemming voor gegeven. Ook dan blijf je verplicht om drie waarborgen te regelen: het recht om alsnog een mens te spreken, het recht om je verhaal te doen, en het recht om bezwaar te maken.
De boete van Uber rust op twee overtredingen. Naast het besluit zelf rekende de AP het bedrijf aan dat chauffeurs onvoldoende wisten wat er gebeurde. Je moet mensen vooraf vertellen dat je op deze manier werkt, welke logica er ongeveer achter zit en wat de gevolgen kunnen zijn. Dat hoort in je privacyverklaring te staan, in gewone taal.
Wanneer telt die menselijke controle echt mee?
Menselijke tussenkomst telt pas als de beoordelaar het automatische besluit inhoudelijk kan wegen en het ook echt mag terugdraaien. Iemand die op akkoord klikt omdat het systeem dat adviseert, is geen waarborg. Het Hof van Justitie van de EU bepaalde in het SCHUFA-arrest van 7 december 2023 dat er geen sprake is van betekenisvolle tussenkomst wanneer de uitkomst van het algoritme vrijwel altijd tot hetzelfde besluit leidt, ook al zet een mens formeel de handtekening.
Datzelfde arrest bevat een tweede punt dat veel bedrijven over het hoofd zien: een score die de doorslag geeft, is zelf al een geautomatiseerd besluit. Koop je een risicoscore in bij een leverancier en volg je die vrijwel altijd op, dan kun je niet zeggen dat de leverancier maar advies gaf. Je kunt je dus niet achter je software verschuilen.
De Autoriteit Persoonsgegevens publiceerde eerder handvatten voor betekenisvolle menselijke tussenkomst. De kern daarvan is praktisch: de beoordelaar moet bevoegd zijn om het besluit te wijzigen, moet begrijpen hoe het systeem tot de uitkomst komt, en moet getraind zijn in het herkennen van automation bias, de neiging om een computeruitkomst te vertrouwen omdat er een getal bij staat.
Er is een simpele test die je zelf kunt doen. Draaide je beoordelaar de afgelopen maand geen enkel automatisch besluit terug, dan is dat geen controle maar een stempel. Kijk dan meteen naar het aantal: hoeveel besluiten zijn er langsgekomen, en hoeveel daarvan zijn aangepast?
Nog een nuance die scheelt in werk: de menselijke beoordeling hoeft niet tussen de aanvraag en het besluit te zitten, maar tussen het besluit en de gevolgen. Je systeem mag dus een voorstel doen. Het mag alleen niet zelf de deur dichttrekken.
Zo breng je het in een middag in kaart
Begin met een lijst van elk moment waarop je systeem zelfstandig nee zegt tegen een mens. Dat kost minder tijd dan je denkt, want in de meeste bedrijven zijn het er vijf tot tien.
- Inventariseer. Loop je klantreis en je personeelsproces door en noteer elk automatisch nee: geweigerde bestellingen, geblokkeerde accounts, afgewezen sollicitaties, geweigerde betaalmethodes.
- Weeg het gevolg. Kost het besluit iemand geld, werk of toegang? Dan is het aanmerkelijk en gelden de regels.
- Zoek de mens. Wijs per besluit iemand aan die het kan tegenhouden voordat de gevolgen ingaan, en leg vast dat die persoon het ook mag terugdraaien.
- Regel de uitleg. Zorg dat de betrokkene hoort wat er is besloten, waarom, en hoe daartegen bezwaar te maken is. Zet dat ook in je privacyverklaring.
- Meet het maandelijks. Tel hoeveel besluiten er zijn genomen en hoeveel er zijn aangepast. Blijft die teller op nul, dan werkt je controle niet.
Voor stap 1 tot en met 5 heb je geen dure tool nodig. Een spreadsheet met deze kolommen is genoeg, en het is meteen het bewijsstuk dat je aan een toezichthouder of een klant laat zien:
AI-besluitregister 1. Besluit : wat gebeurt er precies? (account geblokkeerd, sollicitant afgewezen) 2. Systeem : welke tool of leverancier neemt het besluit? 3. Gevolg voor persoon : geld / werk / toegang / geen van drie 4. Mens ertussen : rol of naam van wie het besluit kan tegenhouden 5. Bevoegdheid : mag die persoon het terugdraaien? ja / nee 6. Uitleg vooraf : waar staat dat wij dit geautomatiseerd doen? 7. Bezwaarroute : hoe maakt iemand bezwaar, en binnen hoeveel dagen? 8. Teruggedraaid : aantal besluiten vorige maand aangepast / totaal
Wat verandert de AI Act hieraan?
De AI Act komt bovenop de AVG, hij vervangt hem niet. Dat gaat vaak mis: bedrijven wachten op een AI Act-deadline terwijl de regel die Uber de kop kostte al sinds 2018 geldt.
De AI Act zet er straks extra eisen bovenop. Systemen die mensen selecteren voor werk, onderwijs of krediet gelden als hoog risico en moeten op 2 december 2027 aan de zware eisen voldoen, na het uitstel dat de EU vorig jaar afsprak. De transparantieplicht voor chatbots en gegenereerde content geldt al sinds 2 augustus 2026, en daar schreven we eerder over in de uitleg over het labelen van je chatbot. De volledige tijdlijn per verplichting staat in ons overzicht van de uitgestelde AI Act-deadlines en bij de Europese Commissie.
De haast zit hem in de combinatie. Uit onderzoek van Vision Compliance blijkt dat 74 procent van de organisaties geen duidelijke eigenaar heeft voor AI-governance, terwijl 83 procent van de Nederlandse recruiters inmiddels AI gebruikt volgens de Recruitment Tech Survey, tegen 63 procent in 2024. Meer geautomatiseerde besluiten, minder mensen die zich er eigenaar van voelen. Die cijfers en de rest van de arbeidsmarktdata staan in de AI-recruitmentcijfers van TheAIDaily.
Begin bij je fraudefilter en je sollicitatiesysteem
Twee systemen leveren bij de meeste bedrijven het grootste risico op: het filter dat klanten weigert en de tool die sollicitanten sorteert. Zet die twee bovenaan je register, want daar zit het geld en daar zit de toezichthouder al te kijken. De AP waarschuwde in mei nog apart over AI in sollicitatieprocedures.
En tot slot een vraag die je deze week aan je softwareleverancier kunt stellen: welke besluiten neemt jullie systeem zelfstandig, en hoe draai ik er eentje terug? Krijg je als antwoord dat er altijd een mens bij zit, vraag dan door naar het percentage besluiten dat die mens vorig kwartaal heeft aangepast. Bij nul weet je genoeg. Wat de regels over persoonsgegevens verder van je vragen, zetten we op een rij in deze uitleg over AI en persoonsgegevens, en het nieuws erover krijg je elke ochtend via onze AI-nieuwsbrief.
