Team trainen: AI-documenten herkennen aan visuele signalen

Uw medewerkers die dagelijks documenten beoordelen — rijbewijzen, DigiD-kopieën, loonstroken en bankafschriften met een IBAN NL — zijn de eerste verdedigingslinie tegen documentfraude. AI-gegenereerde documenten zijn echter inmiddels zo overtuigend dat visuele inspectie zonder gerichte training onvoldoende is. Dit artikel reikt uw team zeven concrete visuele aanwijzingen aan, beschrijft hoe u een drietraps trainingsprogramma opbouwt en legt uit wat de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) concreet van u vereist.

AI-gegenereerde documentfraude: een snel escalerende bedreiging

Volgens de analyse van CheckFile van meer dan 180.000 maandelijks verwerkte documenten vertegenwoordigen door AI gegenereerde documenten nu 12% van de gedetecteerde fraudepogingen in 2025, tegenover slechts 3% in 2024. Deze verviervoudiging in minder dan twaalf maanden weerspiegelt de bredere toegankelijkheid van generatieve modellen: tools die vroeger alleen beschikbaar waren voor goed gefinancierde fraudenetwerken, zijn nu met een bescheiden budget verkrijgbaar op het darkweb.

De gevolgen voor uw organisatie zijn direct. Elke medewerker die een nep-rijbewijs accepteert, een vervalste loonstrook goedkeurt of een frauduleus BSN-document doorlaat, stelt uw organisatie bloot aan reputatieschade, financiële verliezen en regulatory liability tegenover toezichthouders zoals de DNB (De Nederlandsche Bank) en de AFM (Autoriteit Financiële Markten).

Generatieve modellen produceren tegenwoordig twee categorieën van valse documenten. Volledig synthetische documenten worden van nul gegenereerd door diffusiemodellen die zijn getraind op datasets van echte identiteitsdocumenten. Zij reproduceren guillochepatronen, serienummers, lettertypen en gesimuleerde hologrammen. Gedeeltelijk vervalsde documenten vertrekken van een gescand authentiek document en vervangen specifieke velden — naam, geboortedatum, BSN, foto — door AI-gegenereerde inhoud. Deze tweede categorie is in de praktijk gevaarlijker: de echte fysieke beveiligingselementen van het originele document blijven intact, terwijl de frauduleuze gegevens ogenschijnlijk kloppen.

De EU AI Act (Verordening EU 2024/1689) verplicht vanaf 1 augustus 2026 dat AI-systemen synthetisch gegenereerde inhoud als zodanig markeren (artikel 50). Deze verplichting geldt voor bonafide systemen en belet kwaadwillenden echter niet om vervalsingen zonder markering te verspreiden. Uw team kan dus niet rekenen op automatische waarschuwingen bij het ontvangen van frauduleuze documenten.

Zie ook onze gedetailleerde analyse van deepfake documentdetectie voor een overzicht van de forensische technieken die geautomatiseerde systemen inzetten naast menselijke beoordeling.

Zeven visuele aanwijzingen om uw team te leren herkennen

De onderstaande tabel biedt een praktisch referentiepunt dat u aan uw verificatieteam kunt verspreiden. De zeven aanwijzingen zijn geordend van meest zichtbaar met het blote oog tot meest subtiel, zodat medewerkers een efficiënte controlesequentie kunnen volgen.

1. Lettertypeconsistentie

Officiële Nederlandse documenten — het rijbewijs, de identiteitskaart en het paspoort — gebruiken strikte lettertypenspecificaties die door de Rijksdienst voor Identiteitsgegevens worden vastgesteld. Generatieve modellen leren deze lettertypen statistisch, maar produceren subtiele variaties: licht wisselende letterbreedte, inconsistente x-hoogte, of verticale stapeling die afwijkt van de officiële lay-out. Train uw team om elk documentveld naast een authentiek voorbeeld te houden en verticale lijnen te vergelijken.

2. Guillochepatronen

De fijne, spiraalvormige achtergrondpatronen op Nederlandse identiteitsdocumenten — guillochepatronen — worden door speciale diepdrukpersen aangebracht. In digitale vervalsingen worden zij gesimuleerd door generatieve modellen die periodieke artefacten en onnatuurlijke symmetrie introduceren. Controleer met een loupe of smartphone-camera op maximale zoom: onderbroken lijnen, korte herhalingscycli of geometrische regelmaat die te perfect is, zijn verdacht.

3. Fotogrens en integratie

Bij echte documenten is de pasfoto in het document ingebed via een specifiek laser-engravingproces (bij het rijbewijs en de identiteitskaart) of via een gelamineerde overlay. AI-gegenereerde vervalsingen vertonen vaak een zichtbare rand rond de pasfoto, een subtiele kleur- of belichtingsmismatch tussen gezicht en hals, of een achtergrond met een ander korreligheidspatroon dan het gezicht. Vraag uw medewerkers altijd de overgang tussen foto en documentachtergrond te bekijken.

4. BSN-formaat en de elfproef

Het Burgerservicenummer (BSN) moet de zogenoemde elfproef doorstaan: de cijfers worden vermenigvuldigd met respectievelijk 9, 8, 7, 6, 5, 4, 3, 2 en -1, en de som moet deelbaar zijn door 11. Fraudeurs die een BSN fabriceren, genereren doorgaans een willekeurig negenbandig getal dat deze wiskundige validatie niet doorstaat. Dit is de snelste mechanische controle die uw team kan uitvoeren en die geen visuele expertise vereist.

5. IBAN NL-structuur

Een geldig Nederlands IBAN begint met NL, gevolgd door twee controlegecijfers en een viercijferige bankcode (bijv. INGB, ABNA, RABO), gevolgd door tien cijfers. Controleer of de bankcode overeenkomt met een bestaande Nederlandse bankidentificatiecode en of de checksomberekening volgens de internationale IBAN-standaard klopt. AI-gegenereerde loonstroken bevatten regelmatig fictieve bankcodes of inconsistente rekeningnummerlengtes.

6. DigiD-referentienummers

DigiD-kopieën en door DigiD ondertekende documenten dragen een referentienummer met een vastgelegd formaat. Afwijkingen in tekenlengte, gebruik van niet-toegestane tekens of structuren die niet overeenkomen met de officiële DigiD-opmaakstandaard zijn directe aanwijzingen voor vervalsing. Uw team kan de referentienummers vergelijken met de structuurbeschrijving op de website van Logius.

7. Metadata en compressiepatronen

Bij digitaal aangeleverde documenten biedt de bestandsmetadata aanvullende informatie. Een PDF of JPEG die is gegenereerd door een AI-tool draagt vaak metadatareferenties naar generatieve softwarepakketten (Stable Diffusion, Midjourney, DALL·E). Error Level Analysis — een techniek die de JPEG-compressiehandtekening per pixel visualiseert — maakt gemanipuleerde zones zichtbaar als heldere regio's die afwijken van de rest van het document. Gratis tools zoals FotoForensics stellen eenvoudige ELA-analyse mogelijk zonder technische achtergrond.

Een drietraps trainingsprogramma opbouwen

Een effectief trainingsprogramma voor documentverificatie bestaat uit drie opeenvolgende fasen die aansluiten bij de leerbehoeften van medewerkers met verschillende ervaringsniveaus.

Fase 1: Bewustwording (dag 1-2)

Het doel van de eerste fase is het kalibreren van de verwachting van het team: hoe goed zijn huidige AI-vervalsingen, en waarom falen traditionele visuele inspecties? Gebruik concrete casevoorbeelden: toon zijdelingse vergelijkingen van een authentiek rijbewijs naast een AI-gegenereerde versie. Laat medewerkers raden welk document echt is voordat u het antwoord onthult. Dit creëert cognitieve impact en verhoogt de retentie van de volgende trainingsinhoud.

Bewustwording checklist:

• Introductie van de zeven visuele aanwijzingen (tabel hierboven)
• Live demonstratie van ELA-analyse op een testdocument
• Discussie: welke documenten ziet uw team dagelijks? (rijbewijs, DigiD-kopie, BSN-uittreksel, loonstrook, IBAN-bankafschrift)
• Vastleggen van de basisscorekaart: hoeveel vervalsingen herkent het team voor de training?

Fase 2: Praktijktraining (week 1-2)

In de tweede fase oefent het team met gesimuleerde verificatiescenario's. Stel een verificatieprotocol op dat medewerkers dwingen alle zeven aanwijzingen systematisch door te lopen voor elk document. Gebruik een mix van authentieke documenten, AI-gegenereerde vervalsingen en gedeeltelijk vervalsde documenten. Het doel is niet perfectie maar het ontwikkelen van een gestructureerde reflextaaksequentie.

Praktijktraining checklist:

• Wekelijkse set van tien testdocumenten (mix van echt, volledig nep, gedeeltelijk vervalst)
• Gebruik van de BSN-elfproef voor alle documenten met een BSN-veld
• IBAN-validatie voor alle financiële documenten
• Dossiervorming: elk gemarkeerd document wordt gedocumenteerd met de specifieke aanwijzing die twijfel opwekte
• Nabespreking: welke vervalsingen werden gemist en waarom?

Fase 3: Integratie en kwaliteitsborging (maand 2+)

De derde fase integreert manuele verificatie in de geautomatiseerde workflow van uw organisatie. Menselijke beoordeling moet worden gereserveerd voor de gevallen waarbij geautomatiseerde systemen een risicomelding genereren of waarbij de documentkwaliteit te laag is voor betrouwbare automatische analyse. Stel duidelijke escalatieprotocollen vast en maak periodieke toetsing onderdeel van het reguliere kwaliteitsborging-programma.

Kwaliteitsborging checklist:

• Maandelijkse kalibratiesessie: nieuw set van testdocumenten om niveauverval te meten
• Kwartaalupdate van de visuele aanwijzingentabel op basis van nieuwe fraudetechnieken
• Integratie met CheckFile-verificatieworkflows voor escalatieregistratie
• Rapportage aan compliance officer: percentage doorverwezen versus geaccepteerde documenten

Zie onze uitgebreide gids voor antifraude documentverwerking best practices voor gedetailleerde aanbevelingen over het inrichten van uw escalatieprotocol en het vastleggen van incidentdossiers.

Regelgevende verplichtingen: wat de wet vereist in Nederland

De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) legt aan meldingsplichtige instellingen — banken, verzekeraars, accountants, notarissen, vastgoedmakelaars en andere aangewezen sectoren — concrete verplichtingen op ten aanzien van de identificatie en verificatie van cliënten. Artikel 3 Wwft verplicht instellingen tot het verrichten van cliëntenonderzoek bij het aangaan van een zakelijke relatie, het uitvoeren van een incidentele transactie boven de relevante drempelwaarden, of wanneer er vermoedens van witwassen of terrorismefinanciering bestaan.

Artikel 4 Wwft vereist dat de identiteit van de cliënt wordt geverifieerd aan de hand van betrouwbare en onafhankelijke bronnen. Een door AI gegenereerd rijbewijs of een vervalst BSN-uittreksel kan aan dit verificatievereiste niet voldoen. De DNB en de AFM hebben in hun gezamenlijke handhavingsprogramma 2025 frauduleuze identiteitsdocumenten expliciet benoemd als een prioritaire toezichtsvector.

De AMLD6 (Richtlijn EU 2024/1640) versterkt deze verplichtingen verder. Artikel 20 AMLD6 vereist dat meldingsplichtige entiteiten hun risicobeoordeling actueel houden in het licht van opkomende technologische dreigingen. De proliferatie van AI-generatieve tools wordt door de Europese Toezichthoudende Autoriteiten (ESAs) expliciet aangemerkt als een nieuwe risicofactor die in de risicobeoordelingscyclus moet worden meegenomen.

De EU AI Act (Verordening EU 2024/1689) introduceert daarnaast verplichtingen voor organisaties die zelf AI-systemen inzetten voor documentverificatie. Systemen die als hoog-risico worden geclassificeerd — wat het geval is bij systemen voor biometrische identificatie en identiteitsverificatie — moeten voldoen aan de vereisten van artikel 9 (risicobeheersysteem) en artikel 13 (transparantie) van de verordening.

De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de AVG bij de verwerking van persoonsgegevens uit identiteitsdocumenten. Kopieën van rijbewijzen en paspoorten bevatten bijzondere persoonsgegevens — in het bijzonder het BSN — die alleen mogen worden verwerkt op grond van een specifieke wettelijke grondslag. Zorg ervoor dat uw verificatieproces voldoet aan de vereisten van artikel 87 AVG juncto de Nederlandse uitvoeringswetgeving (UAVG).

Organisaties die niet voldoen aan de Wwft-verplichtingen riskeren bestuurlijke boetes die kunnen oplopen tot 5 miljoen euro of 10% van de jaaromzet, afhankelijk van de zwaarte van de overtreding en de mate van verwijtbaarheid. De DNB heeft in 2024 en 2025 meerdere openbare handhavingsbesluiten gepubliceerd waarbij tekortkomingen in het cliëntenonderzoek — waaronder onvoldoende verificatie van identiteitsdocumenten — als grondslag dienden.

Menselijke verificatie integreren in geautomatiseerde workflows

Geautomatiseerde documentverificatieplatformen zoals CheckFile verwerken documenten in milliseconden en detecteren patronen die het menselijk oog niet kan waarnemen: digitale artefacten, compressie-inconsistenties, metadata-anomalieën en databank-mismatches. Menselijke verificatie is echter niet vervangbaar — zij voegt een oordeel toe dat geautomatiseerde systemen missen: contextuele plausibiliteit.

Een geautomatiseerd systeem dat een rijbewijs als visueel consistent beoordeelt, kan niet weten dat de cliënt eerder een ander rijbewijs heeft aangeleverd met een andere geboortedatum. Een medewerker die de volledige cliëntcontext kent, signaleert deze inconsistentie onmiddellijk. Effectieve verificatieworkflows combineren de twee niveaus in een gelaagd model.

Aanbevolen drielaags verificatiemodel:

Het eerste laagniveau betreft de automatische screening door het verificatieplatform: biometrische consistentiecontrole, documentauthenticiteitsanalyse, BSN-checksum, IBAN-validatie en databankvergelijking. Dit niveau vangt 85-90% van de detecteerbare vervalsingen af bij een verwerkingssnelheid van enkele seconden per document.

Het tweede niveau betreft de menselijke beoordeling van gemarkeerde gevallen: documenten waaraan het geautomatiseerde systeem een verhoogde risicoscore heeft toegekend. De medewerker past de zeven visuele aanwijzingen toe, vergelijkt met referentiedocumenten en neemt een beslissing op grond van de volledige cliëntcontext.

Het derde niveau betreft de escalatie naar de compliance officer of het antifraudeteam voor gevallen waarbij de menselijke beoordeling geen definitieve conclusie oplevert of waarbij de risico-indicatoren meerdere fraudedimensies betreffen. Dit niveau omvat ook de melding aan de FIU-Nederland wanneer er aanleiding is voor een melding op grond van artikel 16 Wwft.

Zorg ervoor dat uw workflow schriftelijk is vastgelegd en periodiek wordt getest. De DNB heeft in haar thematisch onderzoek naar Wwft-naleving (2024) geconstateerd dat een significant deel van de tekortkomingen niet het ontbreken van procedures betreft, maar het niet consistent toepassen ervan in de dagelijkse praktijk. Training en kalibratiesessies zijn de instrumenten om dit procedurele verval te voorkomen.

Integreer uw verificatieresultaten en escalatiedossiers in uw CheckFile-oplossing voor KYC om een volledige audittrail te onderhouden die toegankelijk is voor toezichthouders. Documenteer voor elk gemarkeerd geval de specifieke aanwijzing, de beslissing en de medewerker die de beoordeling heeft verricht. Dit dossier is niet alleen een wettelijke vereiste; het is ook uw primaire bewijsstuk bij een DNB- of AFM-onderzoek.

Wettelijke disclaimer: Dit artikel is bedoeld als algemene informatieve gids en vormt geen juridisch advies. De regelgeving inzake documentverificatie en antiwitwasnaleving is complex en jurisdictiespecifiek. Raadpleeg een gekwalificeerde juridische of compliance-adviseur voor advies dat is toegespitst op uw specifieke situatie en organisatie.

Veelgestelde vragen

Hoe snel kan een team leren om AI-documenten te herkennen?

Met een gestructureerd trainingsprogramma zoals beschreven in dit artikel bereiken de meeste teams een meetbare verbetering in herkenning van volledige AI-vervalsingen na twee tot drie trainingsdagen. Het herkennen van gedeeltelijk vervalsde documenten — waarbij alleen specifieke velden zijn vervangen — vereist meer oefening en is sterk afhankelijk van de frequentie waarmee medewerkers verdachte documenten tegenkomen in hun dagelijkse werkzaamheden. Maandelijkse kalibratiesessies voorkomen dat het niveau geleidelijk terugzakt.

Welke Nederlandse documenten zijn het meest vatbaar voor AI-vervalsing?

Op basis van de fraudepatronen die CheckFile registreert, zijn het rijbewijs en de loonstrook de meest voorkomende doelwitten voor AI-gegenereerde vervalsingen in de Nederlandse context. Het rijbewijs wordt veel gevraagd als identificatiemiddel bij financiële transacties, terwijl de loonstrook centraal staat in kredietbeoordelingen en huurprocedures. BSN-uittreksels en DigiD-gerelateerde documenten vormen een groeiende categorie vanwege hun rol in digitale onboardingprocessen.

Wat moet ik doen als een medewerker een vervalst document vermoedt?

Uw organisatie moet beschikken over een gedocumenteerd escalatieprotocol. De medewerker markeert het document als verdacht in het verificatiesysteem, documenteert de specifieke aanwijzingen en escaleert naar de aangewezen compliance-verantwoordelijke. Neem geen definitieve beslissing op basis van één aanwijzing alleen. Als de vermoedens na escalatie worden bevestigd, beoordeelt de compliance officer of er een meldplicht bestaat op grond van artikel 16 Wwft jegens de FIU-Nederland. Bewaar alle documentatie gedurende minimaal vijf jaar conform artikel 33 Wwft.

Is visuele training voldoende, of heeft mijn team ook technische hulpmiddelen nodig?

Visuele training alleen is niet voldoende voor een robuust verificatieprogramma. De combinatie van getrainde medewerkers en geautomatiseerde verificatieplatformen zoals CheckFile levert aanzienlijk betere resultaten op dan elk van beide afzonderlijk. Geautomatiseerde systemen detecteren patronen die buiten het menselijk waarnemingsvermogen liggen — compressie-artefacten, databankmismatches, BSN-checksumfouten — terwijl menselijke verificateurs contextuele inconsequenties opmerken die buiten het bereik van algoritmen vallen.

Wat zijn de sancties voor het accepteren van AI-gegenereerde documenten?

Het accepteren van frauduleuze documenten kan leiden tot meerdere soorten aansprakelijkheid. Vanuit de Wwft-invalshoek kan de DNB of AFM een bestuurlijke boete opleggen als wordt vastgesteld dat de instelling haar cliëntenonderzoeksverplichtingen niet adequaat heeft uitgevoerd. Bij strafrechtelijke aansprakelijkheid kan heling of medeplichtigheid aan fraude aan de orde zijn wanneer de instelling een frauduleuze transactie heeft laten plaatsvinden. Civielrechtelijk kan een derde partij die schade heeft geleden een vordering instellen. Een gedocumenteerd verificatieproces — inclusief de trainingsrecords van uw team — is uw belangrijkste bescherming bij een onderzoek.