Geactualiseerd op 28 september 2026.
Een kredietaanvraag wordt automatisch afgewezen. Een verzekeringspremie verandert door een model dat niemand binnen de organisatie volledig kan uitleggen. Een medewerker laat een AI-assistent klantdossiers analyseren. Zulke AI-toepassingen kunnen de dienstverlening in de financiële sector verbeteren, maar brengen ook concrete vragen mee over zorgplicht, privacy, uitbesteding en aansprakelijkheid.
Voor een financiële instelling is de aanschaf van AI daarom een bestuurlijke beslissing. Het gaat niet alleen om de kwaliteit van het model, maar ook om de processen eromheen: wie controleert de uitkomsten, welke informatie krijgt de klant en wat gebeurt er als de leverancier uitvalt of het systeem onverwacht verandert?
Begin bij de toepassing, niet bij het etiket AI
Een interne zoekfunctie heeft andere risico’s dan een systeem dat bepaalt of iemand krediet krijgt. Breng per toepassing in kaart welk doel zij dient, welke gegevens worden gebruikt, wie de uitkomst ontvangt en hoe zwaar die uitkomst meeweegt. Leg ook vast of uw onderneming alleen gebruiker is of door ontwikkeling, aanpassing of aanbieding zelf verdergaande verantwoordelijkheden draagt.
De AI-verordening kent geen algemene vergunning voor ieder AI-project. Zij werkt met verschillende rollen en risicocategorieën. Vergunningplichten voor financiële activiteiten kunnen daarnaast uit andere wetgeving volgen. Een leverancier die zijn product als ‘compliant’ presenteert, neemt die eigen beoordeling niet van u over.
Niet alle financiële AI is hoog risico
Bijlage III van de AI-verordening noemt onder meer systemen voor beoordeling van de kredietwaardigheid of kredietscore van natuurlijke personen, met een uitzondering voor systemen voor opsporing van financiële fraude. Ook bepaalde toepassingen voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen vallen onder de genoemde categorieën. Het concrete gebruik en de toepasselijke uitzonderingen moeten worden onderzocht.
Een chatbot, fraudedetectiesysteem of intern analysehulpmiddel valt dus niet uitsluitend omdat het in de financiële sector wordt gebruikt automatisch onder hetzelfde regime. Andere verplichtingen kunnen wel gelden, waaronder transparantie, gegevensbescherming en sectorale zorgplichten. Juist bij meerdere toepassingen binnen één platform is een beoordeling per functie nodig.
Let op de gewijzigde invoeringsdata
Het Europese tijdpad is in 2026 aangepast. De Europese Commissie vermeldt voor de hoogrisicosystemen uit bijlage III 2 december 2027 als toepassingsdatum en voor de betrokken productgebonden systemen 2 augustus 2028. Andere onderdelen, waaronder bepaalde transparantieverplichtingen, gelden eerder.
Dat uitstel betekent niet dat een instelling tot eind 2027 vrij is om ongecontroleerde modellen te gebruiken. De AVG, financiële toezichtregels en contractuele verplichtingen blijven van toepassing. Maak daarom onderscheid tussen wat nu moet, welke aanvullende eisen later gelden en welke voorbereidingen tijd kosten. Dat voorkomt zowel onnodige haast als een te late implementatie.
SCHUFA: een externe score kan juridisch een beslissing zijn
In het SCHUFA-arrest van 7 december 2023 onderzocht het Hof van Justitie geautomatiseerde kredietscoring. Een door een informatiebureau berekende score kan onder artikel 22 AVG vallen wanneer een derde daarop in sterke mate steunt bij zijn beslissing over een contractuele relatie. Het uitbesteden van de berekening maakt de bescherming tegen geautomatiseerde besluitvorming dus niet vanzelf irrelevant.
Voor de praktijk is van belang of menselijke tussenkomst werkelijk inhoud heeft. Een medewerker die steeds zonder onderzoek de uitkomst bevestigt, biedt iets anders dan een bevoegde beoordelaar die gegevens kan corrigeren, aanvullende omstandigheden betrekt en daadwerkelijk kan afwijken. Controleer ook welke uitzonderingsgrond en waarborgen nodig zijn als artikel 22 van toepassing is.
Uitlegbaarheid en gegevenskwaliteit horen bij de dienstverlening
Een foutieve geboortedatum, verouderd inkomen of verkeerde koppeling kan een grote invloed hebben op een uitkomst. Organiseer daarom niet alleen modelvalidatie, maar ook een route voor klanten die gegevens of conclusies betwisten. Wie behandelt zo’n verzoek, welke informatie is beschikbaar en hoe wordt een correctie in de keten verwerkt?
De AVG stelt onder meer eisen aan rechtmatigheid, transparantie, juistheid en beveiliging van persoonsgegevens. Bij verwerkingen die waarschijnlijk een hoog privacyrisico meebrengen, kan een gegevensbeschermingseffectbeoordeling nodig zijn. Beoordeel daarnaast of kenmerken of indirecte indicatoren tot onrechtmatige ongelijke behandeling leiden. Een hoog gemiddeld voorspellend vermogen sluit dat risico niet uit.
DORA maakt de leveranciersketen onderdeel van uw verantwoordelijkheid
DORA is sinds 17 januari 2025 van toepassing op financiële entiteiten binnen haar reikwijdte. De regels bestrijken onder meer ICT-risicobeheer, incidenten, weerbaarheidstesten en risico’s bij externe ICT-dienstverleners. Een AI-dienst kan daarin onderdeel zijn van een veel langere keten van modellen, cloudinfrastructuur en gegevensleveranciers.
Onderzoek welke functies afhankelijk zijn van de dienst en welke alternatieven werkelijk beschikbaar zijn. Contractuele toezeggingen moeten aansluiten op het belang van de functie en de toepasselijke eisen. Onze blog over uitval van een SaaS-leverancier bespreekt beschikbaarheid, herstel en overdracht. DORA kan daar voor financiële instellingen aanvullende eisen aan verbinden.
Onderhandel over veranderingen, controle en beëindiging
Een AI-leverancier kan een model bijwerken, functies wijzigen of een andere onderaannemer inzetten. Spreek af wanneer u wordt geïnformeerd, wanneer opnieuw testen nodig is en welke wijzigingen niet zonder uw instemming mogen plaatsvinden. Leg vast welke documentatie, loggegevens en auditmogelijkheden beschikbaar zijn, met passende bescherming van vertrouwelijke informatie.
Regel daarnaast gebruik van ingevoerde gegevens, beveiliging, incidentmelding, intellectuele eigendom, aansprakelijkheid en medewerking bij vertrek. Een lage aansprakelijkheidslimiet kan wringen met de gevolgen van een grootschalige fout. Automatische uitvoering vraagt extra aandacht; zie ook onze blog over smart contracts en juridische verantwoordelijkheid.
Het bestuur moet ook de veranderende cyberrisico’s wegen
In een toezichtbericht van juli 2026 wijst DNB op de gevolgen van krachtiger AI voor cyberaanvallen en ketenafhankelijkheid. Dat vraagt om herbeoordeling van maatregelen en prioriteiten. Bestaande investeringen in beveiliging zijn geen reden om nieuwe risico’s zonder onderzoek als afgedekt te beschouwen.
Leg bestuurlijke keuzes vast: het beoogde voordeel, bekende beperkingen, testresultaten, geaccepteerde restrisico’s en criteria om het gebruik te beperken of te stoppen. Zorg dat compliance, juridische zaken, informatiebeveiliging en de verantwoordelijke bedrijfsonderdelen dezelfde informatie gebruiken. Die vastlegging helpt ook als later discussie ontstaat over zorgvuldig bestuur.
Maak van AI-beleid een uitvoerbaar proces
Begin met een inventarisatie van de toepassingen die daadwerkelijk worden gebruikt, inclusief door medewerkers zelf gekozen hulpmiddelen. Koppel daaraan een verantwoordelijke, een juridische beoordeling en een controlecyclus. Bij een overname hoort deze afhankelijkheid ook thuis in de juridische due diligence.
Ontstaat een geschil, dan worden onderliggende gegevens en aantoonbare controles belangrijk. Onze blog over AI in de rechtszaal gaat daarop in. Wilt u de afspraken met een leverancier, de bestuurlijke risico’s of uw positie bij een conflict beoordelen? Sascha Lang helpt die vragen te vertalen naar concrete juridische keuzes.
