Profilering en discriminatie door algoritmes: wat zegt de wet?

Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 9 oktober 2026

Een algoritme mag niet discrimineren: de Algemene wet gelijke behandeling (AWGB) en artikel 1 van de Grondwet gelden ook als een computer de beslissing voorbereidt of neemt. Daarnaast verbiedt de AVG in beginsel besluiten die uitsluitend op geautomatiseerde verwerking berusten en mensen in aanmerkelijke mate treffen (artikel 22 AVG), tenzij een wettelijke uitzondering geldt.

De Europese AI-verordening voegt daar regels aan toe, maar die gaan stapsgewijs gelden. De regels voor de meeste systemen met een hoog risico, zoals AI bij werving en selectie, gelden pas vanaf 2 december 2027. In dit artikel leest u welke regels nu gelden, wie toezicht houdt en wat u kunt doen.

Wat is profilering?

Profilering is het automatisch beoordelen van persoonlijke kenmerken, zoals werkprestaties, kredietwaardigheid, gezondheid of gedrag (artikel 4 AVG). Organisaties gebruiken het om risico’s in te schatten, klanten in te delen of sollicitanten te selecteren.

Profilering is niet op zichzelf verboden. Het wordt een probleem als het algoritme mensen benadeelt op grond van bijvoorbeeld afkomst, geslacht, leeftijd of handicap. Dat kan ook indirect gebeuren, bijvoorbeeld via een postcode of tweede nationaliteit die samenhangt met afkomst.

Welke wetten verbieden discriminatie door algoritmes?

Het discriminatieverbod geldt ongeacht of een mens of een systeem beslist. De belangrijkste regels zijn artikel 1 Grondwet, de AWGB, de AVG en de AI-verordening.

• AWGB: verbiedt onderscheid op grond van onder meer godsdienst, ras, geslacht, nationaliteit en seksuele gerichtheid, onder andere bij werk en bij het aanbieden van goederen en diensten.
• AVG: persoonsgegevens moeten eerlijk en rechtmatig worden verwerkt (artikel 5 AVG); voor bijzondere persoonsgegevens, zoals gezondheid of etnische afkomst, geldt een verwerkingsverbod met uitzonderingen (artikel 9 AVG).
• Artikel 22 AVG: u heeft in beginsel het recht niet onderworpen te worden aan een uitsluitend geautomatiseerd besluit met rechtsgevolgen of vergelijkbare gevolgen.
• AI-verordening (Verordening (EU) 2024/1689): verbiedt bepaalde toepassingen en stelt eisen aan systemen met een hoog risico.

Voor discriminatie op het werk leest u meer in ons artikel discriminatie en AI-screening bij werving.

Wanneer gelden de regels van de AI-verordening?

De AI-verordening geldt in fasen. De verboden toepassingen gelden sinds 2 februari 2025; de meeste overige regels, waaronder de transparantieplichten, gelden sinds 2 augustus 2026.

De data voor hoog-risicosystemen zijn in 2026 uitgesteld via een Europese wijzigingsverordening (de AI-omnibus). Meer over de verordening leest u in onze gids over de AI-verordening.

Moet u een DPIA uitvoeren?

Niet altijd. Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de rechten van mensen (artikel 35 AVG).

Dat is in elk geval zo bij een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waarop besluiten met rechtsgevolgen zijn gebaseerd. De Autoriteit Persoonsgegevens (AP) heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is. Voor een eenvoudig algoritme zonder grote gevolgen voor mensen is een DPIA niet verplicht, al is een korte risicoanalyse ook dan verstandig.

Is het algoritmeregister verplicht?

Nee. Het Algoritmeregister van de Nederlandse overheid is geen wettelijke plicht; overheidsorganisaties publiceren er hun algoritmes op vrijwillige basis, al vraagt het kabinet hen dat te doen.

Voor bedrijven bestaat geen algemeen algoritmeregister. Wel moeten aanbieders van hoog-risicosystemen hun systeem onder de AI-verordening registreren in een Europese databank, en ook bepaalde overheidsgebruikers moeten dat doen. Die plicht geldt pas vanaf de data in de tabel hierboven.

Wie houdt toezicht en wat zijn de sancties?

De Autoriteit Persoonsgegevens houdt toezicht op de AVG en kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. De AP fungeert ook als coördinerend toezichthouder op algoritmes en AI.

Het College voor de Rechten van de Mens beoordeelt klachten over discriminatie, maar legt geen boetes op. Het College geeft een oordeel dat niet bindend is; wel wordt het in de praktijk meestal opgevolgd. Wilt u schadevergoeding of een bindende uitspraak, dan stapt u naar de rechter. Onder de AI-verordening kunnen boetes voor verboden toepassingen oplopen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet.

Waar let u als organisatie op?

• Breng in kaart welke algoritmes u gebruikt, voor welk doel en met welke gegevens.
• Controleer of een besluit uitsluitend geautomatiseerd wordt genomen en zorg zo nodig voor menselijke tussenkomst (artikel 22 AVG).
• Toets of een DPIA verplicht is (artikel 35 AVG) en test het systeem op ongelijke uitkomsten voor groepen.
• Ga na of uw systeem onder de hoog-risicocategorieën van de AI-verordening valt en wanneer die regels voor u gelden.
• Leg vast hoe u mensen informeert over profilering en hoe zij bezwaar kunnen maken.

Waar let u als betrokkene op?

• Vraag inzage in uw gegevens en in de logica achter een geautomatiseerd besluit (artikel 15 AVG); de organisatie moet binnen een maand reageren.
• Vraag om menselijke tussenkomst als een besluit uitsluitend geautomatiseerd is genomen.
• Dien een klacht in bij de Autoriteit Persoonsgegevens of vraag een oordeel aan het College voor de Rechten van de Mens.
• Bewaar brieven, besluiten en uw correspondentie met de organisatie.

Wat kunnen wij voor u doen bij profilering en discriminatie door algoritmes?

Wij adviseren organisaties over de inzet van algoritmes en staan mensen bij die zich benadeeld voelen; meer over onze aanpak leest u op de pagina ICT-recht.

• Wij beoordelen of uw algoritme voldoet aan artikel 5, 9, 22 en 35 AVG en aan de AWGB.
• Wij stellen vast of uw systeem onder de AI-verordening valt en vanaf welke datum welke plichten gelden.
• Wij begeleiden de opzet van een DPIA en de informatie aan betrokkenen.
• Wij stellen namens betrokkenen een inzageverzoek of bezwaar op en beoordelen of er sprake is van discriminatie.
• Wij staan u bij in een procedure bij het College voor de Rechten van de Mens of de rechter.

Samengevat

• Het discriminatieverbod geldt ook voor algoritmes; de AWGB en de AVG zijn nu al van toepassing.
• Uitsluitend geautomatiseerde besluiten met grote gevolgen zijn in beginsel verboden (artikel 22 AVG).
• De regels voor hoog-risicosystemen uit de AI-verordening gelden vanaf 2 december 2027; verboden toepassingen al sinds 2 februari 2025.
• Het algoritmeregister is geen wettelijke plicht, een DPIA is niet altijd verplicht en het College voor de Rechten van de Mens legt geen boetes op.

Veelgestelde vragen

Mag een werkgever sollicitanten selecteren met AI?

Ja, mits het systeem niet discrimineert en er geen uitsluitend geautomatiseerd besluit valt zonder menselijke tussenkomst. Vanaf 2 december 2027 gelden voor AI bij werving ook de zware regels voor hoog-risicosystemen uit de AI-verordening.

Kan het College voor de Rechten van de Mens een boete opleggen?

Nee. Het College geeft een oordeel over discriminatie, maar dat is niet bindend en het legt geen boetes op. Boetes kunnen wel komen van de Autoriteit Persoonsgegevens.

Hoe bewijs ik dat een algoritme mij discrimineert?

U hoeft het niet volledig te bewijzen. Als u feiten aanvoert die discriminatie vermoeden, moet de organisatie aantonen dat zij niet heeft gediscrimineerd (artikel 10 AWGB). Een inzageverzoek op grond van artikel 15 AVG helpt om die feiten te verzamelen.

Moet elke organisatie haar algoritmes publiceren?

Nee. Publicatie in het Algoritmeregister is voor de overheid vrijwillig en voor bedrijven niet aan de orde. Wel moeten organisaties mensen informeren over profilering en geautomatiseerde besluiten (artikel 13 en 14 AVG).