AI Act voor de financiele sector: interactie met DORA, AFM en DNB.

Drie gelaagde compliance-stromen voor financieel MKB.

De Nederlandse financiele sector werkt al sinds de invoering van de Wft in 2007 met gelaagde regelgeving: Europese richtlijnen en verordeningen, nationale doorvertaling, en toezichthouders die elk hun eigen mandaat hebben. Met de komst van de AI Act (Verordening 2024/1689) en DORA (Verordening 2022/2554) komt er een horizontale laag bij die raakt aan zowat elk AI-systeem in klantprocessen en aan vrijwel alle ICT-systemen. Voor banken, verzekeraars, betaalinstellingen, beleggingsondernemingen en de groeiende groep fintechs betekent dit: een derde grote regelstroom bovenop de bestaande MiFID II, PSD2, IDD, AVG en Wft-infrastructuur.

Deze pagina legt systematisch uit welke AI-systemen in de financiele sector als high-risk worden aangemerkt, hoe de AI Act en DORA elkaar raken zonder elkaar te overlappen, welke rol de AFM en DNB spelen naast de coordinerende rol van de Autoriteit Persoonsgegevens, en hoe je voor een MKB met 10 tot 250 FTE een compliance-programma opzet dat werkbaar is en geen dubbel werk oplevert. Afsluitend drie case-studies uit de Nederlandse praktijk en een FAQ die de tien meest gestelde vragen beantwoordt.

De twee sleutelbronnen zijn de AI Act zelf en het Annex-register. Voor financiele AI-systemen is Annex III punt 5 bepalend, met letterlijk in de Europese tekst: punt 5(b) voor creditworthiness en credit-scoring met uitzondering voor fraude-detectie, en punt 5(c) voor risk-assessment en pricing in levens- en zorgverzekeringen. Deze twee scheppen samen het grootste deel van de high-risk-AI in het Europese financieel landschap. Daarnaast kan AI-gebruik in KYC, biometrie, HR-werving of fraude-doorstroom onder andere Annex III-categorieen vallen.

Wat deze pagina wel en niet doet.

Wel: een compact maar compleet overzicht van de AI Act plus DORA plus sectorregelgeving voor financieel MKB in Nederland. Niet: juridisch advies voor een specifieke casus, en niet: een volledige DORA-implementatiegids (daarvoor volgt een aparte artikel-serie). Bij specifieke compliance-vragen neem je contact op met de AFM, DNB of een bevoegd juridisch adviseur. Voor een algemene AI Act-risicoclassificatie zie onze classificatie-pagina; voor het bredere high-risk-beeld zie high-risk AI-systemen.

De twee financiele high-risk-categorieen uitgelegd.

Annex III van de AI Act somt acht thematische categorieen van high-risk-AI-systemen op. Voor de financiele sector is punt 5 de hoofdroute, met subcategorieen (a), (b) en (c). Subcategorie (a) gaat over evaluatie van eligibility voor essentiele publieke diensten en is primair een zorg- en overheidsthema. Voor financiele dienstverlening zijn (b) en (c) bepalend.

Annex III 5(b): kredietwaardigheid en credit-score.

De letterlijke Engelse tekst: "AI systems intended to be used to evaluate the creditworthiness of natural persons or establish their credit score, with the exception of AI systems used for the purpose of detecting financial fraud." Twee bouwstenen. Een: het systeem evalueert kredietwaardigheid of stelt een credit-score vast. Twee: subject is een natuurlijke persoon, dus consumenten en zzp-ers die als persoon krediet aanvragen. Daarbuiten valt zuiver zakelijk krediet aan rechtspersonen. Uitzondering: fraude-detectie wordt uitgesloten, mits de AI werkelijk dient om fraude te detecteren en niet via de achterdeur credit-decisies stuurt.

Praktijkvoorbeelden die wel onder 5(b) vallen:

• Hypotheek-acceptatie-model dat op basis van persoonlijke data kredietwaardigheid toekent.
• Consumentenkrediet credit-scoring (doorlopend krediet, auto-financiering, Buy-Now-Pay-Later).
• Limiet-bepalings-AI voor creditcards op consumentennaam.
• Herfinanciering en schuldsanering-algoritmen voor natuurlijke personen.

Praktijkvoorbeelden die niet onder 5(b) vallen maar mogelijk wel onder andere regels:

• Fraude-detectie op betaaltransacties (expliciet uitgezonderd in 5(b) zelf).
• B2B-krediet aan rechtspersoon (geen natuurlijke persoon).
• Handelskrediet tussen bedrijven.
• Interne credit-risk-aggregatiemodellen voor portfolio-management zonder individuele beslissing.

Annex III 5(c): risk-assessment en pricing levens- en zorgverzekering.

Letterlijk: "AI systems intended to be used for risk assessment and pricing in relation to natural persons in the case of life and health insurance." Twee bouwstenen. Een: het systeem doet risico-assessment of prijsbepaling (of beide). Twee: het product is levens- of zorgverzekering. Schadeverzekeringen (autoschade, woonhuis, aansprakelijkheid) vallen expliciet buiten 5(c), al kunnen ze alsnog onder sector-gedragsregels (IDD) of AVG vallen.

Praktijkvoorbeelden die wel onder 5(c) vallen:

• Levensverzekering-premiemodel dat op basis van gezondheidsvragen en data levensverwachting inschat en premie bepaalt.
• Zorgverzekering-acceptatie-AI die medische geschiedenis meeweegt voor pricing (beperkt relevant in Nederland gezien basispakket-acceptatieplicht, maar wel voor aanvullende verzekeringen).
• Collectief levensverzekering-pricing-model voor werkgevers-pensioenen.

Praktijkvoorbeelden die niet onder 5(c) vallen:

• Autoverzekering-pricing-AI (schadeverzekering, geen leven/zorg).
• Reisverzekering of aansprakelijkheidsverzekering-pricing.
• AI voor claim-afhandeling na-factum (post-claim), tenzij het direct premie-impact heeft.

Merk op dat Annex III 5(a) (eligibility voor publieke diensten) raakt aan zorgtoegang en welzijn; die categorie behandelen we in de pagina over AI Act in de zorg.

AFM, DNB en AP: wie doet wat.

Drie toezichthouders zijn tegelijk betrokken bij AI in de Nederlandse financiele sector. Elk heeft een eigen mandaat en handhavingsbevoegdheid. Samenwerking is geregeld via het overleg tussen toezichthouders onder Artikel 70 AI Act en via het toezichthouders-convenant dat specifiek is opgezet voor overlappende dossiers.

In de praktijk betekent dit voor een AI-systeem dat credit-scoring doet: drievoudig toezicht. AFM kijkt naar of de AI het klantbelang dient en of het advies leidt tot passend product. DNB kijkt of het AI-model als ICT-component operationeel weerbaar is onder DORA en of het prudentiele positie niet in gevaar brengt. De AP kijkt naar AVG-grondslag, rechten van de betrokkene en compliance met AI Act-vereisten. Het is jouw taak als compliance-officer om alle drie de perspectieven te bedienen; in de praktijk gaat dat via 1 documentatie-set die verschillende lezers bedient.

Relevante AFM- en DNB-publicaties.

• AFM: Verkenning inzet AI in de financiele sector en vervolgpublicaties over algoritme-transparantie, AI-risico-visie en toezicht-prioriteiten.
• DNB: General principles for the use of Artificial Intelligence in the financial sector (SAFEST-principes: Soundness, Accountability, Fairness, Ethics, Skills, Transparency) en DORA-handreikingen.
• Autoriteit Persoonsgegevens: DCA-rapportages, algoritme-register en AI Act-guidance voor Nederland.

Risicomanagement-framework voor AI Act plus DORA.

Om niet dubbel werk te doen bouw je 1 risicomanagement-framework met drie lagen: algemeen ICT-risicomanagement (DORA Artikel 6), AI-specifiek risicomanagement (AI Act Artikel 9) en financieel-prudentieel-risicomanagement (Basel, Solvency II). Onderstaande tabel laat zien welke component onder welke wet valt en waar ze samenvallen.