AI bij kredietscoring: hoog risico onder de AI Act

Kort antwoord: AI die de kredietwaardigheid of kredietscore van consumenten bepaalt, is volgens bijlage III van de AI Act een hoog-risico AI-systeem. De aanbieder en gebruiksverantwoordelijke moeten daardoor het volledige hoog-risicoregime naleven. Tegelijk geldt AVG-artikel 22, dat extra eisen stelt aan volledig geautomatiseerde kredietbesluiten, en het algemene discriminatieverbod. Bias-beheersing is het scharnierpunt tussen die regimes.

Waarom kredietscoring hoog-risico is

Bijlage III, punt 5 van de AI Act noemt AI-systemen die worden gebruikt om de kredietwaardigheid van natuurlijke personen te beoordelen of hun kredietscore vast te stellen, uitdrukkelijk hoog-risico. De ratio: een onjuiste of vooringenomen score sluit mensen uit van financiering, huisvesting en basisvoorzieningen. Een belangrijke uitzondering geldt voor AI die wordt ingezet om financiële fraude op te sporen — zie AI-fraudedetectie in de financiële sector.

Door de hoog-risicokwalificatie gelden de verplichtingen uit het overzicht hoog-risicoverplichtingen: risicobeheersysteem, datakwaliteit, technische documentatie, logging, menselijk toezicht, robuustheid en een conformiteitsbeoordeling vóór ingebruikname.

De samenloop met AVG-artikel 22

Een kredietbesluit dat uitsluitend op geautomatiseerde verwerking berust en de betrokkene in aanmerkelijke mate treft, valt onder AVG-artikel 22. Dat is in beginsel verboden, tenzij het noodzakelijk is voor een overeenkomst, wettelijk is toegestaan of berust op uitdrukkelijke toestemming. In die gevallen heeft de consument recht op menselijke tussenkomst, op het uiten van zijn standpunt en op het aanvechten van het besluit.

Het bekende Schufa-arrest van het Hof van Justitie (2023) maakte duidelijk dat het opstellen van een kredietscore zélf al een geautomatiseerd besluit kan zijn wanneer kredietverstrekkers er zwaar op leunen. Dat verbreedt het bereik van artikel 22 aanzienlijk.

Bias en discriminatie

Kredietmodellen leren van historische data en kunnen daardoor bestaande achterstanden reproduceren. Proxies zoals postcode, opleiding of betaalgedrag kunnen indirect samenhangen met afkomst, geslacht of gezondheid. De AI Act eist daarom dat trainings-, validatie- en testdata relevant, representatief en zo foutenvrij mogelijk zijn, en dat mogelijke vertekeningen worden onderzocht en gemitigeerd. Het discriminatieverbod uit het EU-recht en nationaal recht geldt onverkort bovenop de AI Act.

Wat te doen

• Classificeer expliciet: leg vast dat het systeem onder bijlage III punt 5 valt en wie aanbieder en gebruiksverantwoordelijke is.
• Toets data op bias: documenteer herkomst, representativiteit en uitgevoerde bias-analyses, inclusief proxy-variabelen.
• Borg menselijke tussenkomst: richt een echt beoordelingsmoment in voor afwijzingen, conform AVG-artikel 22.
• Wees uitlegbaar: zorg dat de consument een begrijpelijke reden voor afwijzing krijgt.
• Verbind de governance: koppel dit aan je AI-governanceraamwerk zodat AI Act, AVG en discriminatierecht in één controleketen zitten.

Kredietscoring met AI is niet verboden, maar wel zwaar gereguleerd. Wie alleen op modelnauwkeurigheid stuurt en bias en uitlegbaarheid negeert, loopt tegen drie regimes tegelijk aan.