Californië's CCPA-regels voor geautomatiseerde besluitvorming: de privacyroute naar AI-verantwoording

Hoewel de Verenigde Staten nog altijd geen federale AI-wet kennen, kwamen de ingrijpendste Amerikaanse regels over geautomatiseerde besluitvorming van 2026 niet uit een "AI-wet". Ze kwamen van een privacytoezichthouder. Op 1 januari 2026 traden de gewijzigde CCPA-regels van Californië in werking, met bindende verplichtingen rond geautomatiseerde besluitvormings­ technologie (ADMT), risicobeoordelingen en cybersecurityaudits. Het bestuur van de California Privacy Protection Agency (CPPA) stelde de tekst vast op 24 juli 2025; het Office of Administrative Law keurde die goed en registreerde haar op 22 september 2025, met ingangsdatum 1 januari 2026.

Dit is een andere route dan Californië koos met zijn Frontier AI-wet (SB 53), die zich richt op een handvol grote modelontwikkelaars, en dan de golf eigen AI-wetten die in AI-wetgeving in de VS in kaart is gebracht. Hier is de hefboom consumentenprivacy: elk bedrijf dat al onder de CCPA valt en computatie gebruikt om besluiten over mensen te nemen, erft een nieuwe laag verplichtingen.

Wat geldt als ADMT, en welke besluiten vallen eronder

De regels definiëren ADMT in § 7001 als "elke technologie die persoonsgegevens verwerkt en computatie gebruikt om menselijke besluitvorming te vervangen of substantieel te vervangen." "Technologie" omvat uitdrukkelijk software afgeleid van machinaal leren, statistiek, andere gegevensverwerkingstechnieken of kunstmatige intelligentie. Een systeem "vervangt substantieel" de menselijke besluitvorming wanneer het bedrijf de output gebruikt om een besluit te nemen zonder betekenisvolle menselijke tussenkomst — een reviewer die de output slechts afstempelt, haalt het systeem niet uit het toepassingsbereik.

De plichten gelden alleen waar ADMT wordt gebruikt voor een "significant besluit", in § 7001 gedefinieerd als een besluit dat resulteert in het verlenen of weigeren van financiële of kredietdiensten, huisvesting, onderwijsinschrijving of -kansen, werk- of opdrachtnemerskansen of beloning, of gezondheidszorg. Reclame en de meeste routinematige personalisatie vallen buiten die lijst — een bewuste versmalling ten opzichte van de bredere eerdere ontwerpen van de toezichthouder.

Drie pijlers, gefaseerde naleving

De regels stapelen drie verplichtingen met gespreide deadlines, zodat de ingangsdatum van 1 januari 2026 onderschat wanneer de plichten werkelijk gaan knellen:

• ADMT-consumentenrechten — vanaf 1 januari 2027. Een bedrijf dat ADMT voor

een significant besluit gebruikt vóór 1 januari 2027, moet uiterlijk op die datum compliant zijn; ADMT die daarna in gebruik wordt genomen, moet dat zijn vóór het eerste gebruik. Consumenten krijgen een voorafgaande kennisgeving, een recht om zich af te melden (met uitzonderingen zoals beveiliging, fraudebestrijding of waar een menselijke heroverweging wordt geboden) en een recht op inzage in hoe het bedrijf ADMT gebruikte — inclusief de logica en hoe de output in het besluit is verwerkt.

• **Risicobeoordelingen — plicht vanaf 1 januari 2026, eerste indiening

1 april 2028. Bedrijven van wie de verwerking significant risico oplevert (waaronder ADMT-gebruik voor significante besluiten en bepaalde profilering) moeten een risicobeoordeling uitvoeren en documenteren. Voor verwerkingen in 2026 en 2027 moeten een verklaring en samenvatting uiterlijk 1 april 2028** bij de CPPA worden ingediend.

• Cybersecurityaudits — eerste rapporten 1 april 2028 tot 2030. Onder § 7121

is de deadline voor het eerste onafhankelijke auditrapport getrapt naar omzet: 1 april 2028 bij een omzet over 2026 boven \$100 miljoen, 1 april 2029 tussen \$50 miljoen en \$100 miljoen, en 1 april 2030 onder \$50 miljoen.

Waarom dit verder reikt dan Californië

Voor een internationaal publiek zit het belang in de vergelijking. Californië bereikt AI-gedreven besluiten via hetzelfde instrument dat de EU in de AVG gebruikt: gegevensbeschermingsrecht. De ADMT-opt-out, de voorafgaande kennisgeving en de inzagerechten weerspiegelen de logica van AVG-artikel 22 over geautomatiseerde individuele besluitvorming en de transparantierechten in de artikelen 13–15 — al bouwt Californië een opt-out-model in plaats van het gekwalificeerde verbod van de AVG, en koppelt het de plichten aan een gesloten lijst van "significante besluiten". De risicobeoordelingsplicht is een binnenlandse neef van de gegevensbeschermingseffectbeoordeling en van de conformiteits- en risicobeheerplichten onder de EU-AI-verordening, maar blijft stevig binnen het privacyrecht. Voor multinationals betekent dit praktisch dat een ADMT-systeem voor werving, krediet of toegang tot zorg zowel aan AVG-achtige regels voor geautomatiseerde besluiten in Europa als aan Californië's CCPA-regime kan moeten voldoen — convergerende eisen, bereikt via twee verschillende juridische routes.

Omdat Californië geen EU-jurisdictie is en deze regels buiten elk EU-AI-Act-regime vallen, dragen ze geen EU-regimelabel; deze entry is analytische context, geen nalevingsinstructie.