FCA-richtsnoer van 19 oktober 2026 over AI bij financiële ondernemingen: wat Nederlandse banken en verzekeraars eruit halen voor de Wft-zorgplicht, DORA en de AI Act

In de jaren negentig en het begin van deze eeuw verkochten Nederlandse verzekeraars miljoenen beleggingsverzekeringen waarvan de kosten voor de klant nauwelijks te doorgronden waren. Voor levensverzekeringen golden toen al specifieke informatievoorschriften, in de Regeling informatieverstrekking aan verzekeringnemers van 1994 en 1998. Bij de afwikkeling van de woekerpolisaffaire toetsten rechters en het Kifid daarnaast aan open civielrechtelijke normen, zoals de precontractuele informatieplicht en de zorgplicht van de verzekeraar. Die combinatie van specifieke voorschriften en open normen keert terug in Londen. Op 19 oktober 2026 publiceerde de FCA voorbeelden van goede en slechte praktijk bij het gebruik van AI in financiële dienstverlening, en de Britse Financial Conduct Authority schrijft er uitdrukkelijk bij dat er geen AI-specifieke regels bij komen.

Wat de FCA-publicatie bevat en voor welke ondernemingen zij geldt

De publicatie heet AI in financial services: good practice and areas for improvement en is op 20 oktober 2026 nog bijgewerkt. Ze is opgebouwd rond drie thema's: de Consumer Duty en klanten in een kwetsbare situatie, governance en verantwoording, en operationele weerbaarheid. De voorbeelden komen uit toezichtwerk, gesprekken met de sector en de eigen AI Lab-projecten van de FCA, waaronder AI Live Testing en de Supercharged Sandbox. Volgens de FCA is de tekst relevant voor gereguleerde ondernemingen die AI ontwikkelen, inzetten, inkopen of gebruiken bij gereguleerde activiteiten, klantprocessen, bedrijfsvoering of governance. Dat omvat ook AI die in een ander systeem is ingebouwd of die medewerkers gebruiken bij hun beslissingen.

Volgens een analyse van Latham & Watkins volgt de publicatie op een rapport van het Treasury Committee van het Britse Lagerhuis, dat de FCA eerder dit jaar vroeg om vóór eind 2026 praktische aanwijzingen te geven over de Consumer Duty en over de verantwoordelijkheid van senior managers. De FCA zegt zelf dat de voorbeelden illustratief zijn, geen nieuwe verplichtingen scheppen en worden bijgewerkt naarmate AI-toepassingen zich ontwikkelen.

Welke Britse regels de FCA toepast: Consumer Duty, SMCR en uitbesteding

De FCA koppelt elk thema aan bestaande regels. Voor veiligheid en robuustheid noemt zij de Principles for Businesses, de Threshold Conditions, het hoofdstuk SYSC over systemen en controles, en de regimes voor operationele weerbaarheid, uitbesteding en kritieke derde partijen. Voor eerlijkheid en uitlegbaarheid verwijst zij naar de Consumer Duty, de richtsnoeren voor klanten in een kwetsbare situatie, de richtsnoeren van de ICO en de Equality Act 2010.

De meest concrete passages gaan over het Senior Managers and Certification Regime (SMCR). De FCA verwacht van senior managers geen technische specialistenkennis. Zij moeten wel redelijke stappen nemen om de risico's van AI binnen hun verantwoordelijkheidsgebied te begrijpen, en tegenspraak en escalatie op orde houden. Als goede praktijk noemt de FCA een eindverantwoordelijke senior manager voor het bedrijfsonderdeel waar het AI-instrument draait, met een afzonderlijke modeleigenaar voor de technische bouw. Eén onderneming liet de verantwoordelijke manager vóór ingebruikname een draaiboek voor incidenten goedkeuren. Als zwakte noemt de FCA governance die pas achteraf wordt toegepast, nadat een instrument al in gebruik is.

Hoe dezelfde verwachtingen in Nederland via de Wft, DNB en de AFM lopen

Nederland kent geen persoonlijk verantwoordingsregime zoals het SMCR, maar de Wft legt de verwachtingen op vergelijkbare plaatsen neer. Artikel 3:17 Wft vraagt van banken en verzekeraars een beheerste en integere bedrijfsvoering, en daar valt een AI-instrument in de kredietacceptatie of de schadeafhandeling onder. Volgens de zorgplicht van artikel 4:24a Wft neemt een financiëledienstverlener op zorgvuldige wijze de gerechtvaardigde belangen van de consument in acht, en de AFM toetst sinds 2013 het productontwikkelingsproces, waarin een AI-gestuurde klantreis dezelfde vragen moet doorstaan als een nieuwe polis. Bestuurders worden vooraf door DNB of de AFM op geschiktheid en betrouwbaarheid getoetst. In 2019 publiceerde DNB bovendien algemene principes voor het gebruik van AI in de financiële sector, samengevat onder de letters SAFEST.

Het verschil met Londen zit in de toerekening achteraf. De FCA kan een individuele senior manager aanspreken op de vraag of hij redelijke stappen nam. In Nederland richt het toezicht zich primair op de onderneming en haar bedrijfsvoering. Persoonlijke handhaving bestaat wel: AFM en DNB kunnen op grond van artikel 5:1, derde lid, van de Algemene wet bestuursrecht, dat artikel 51 van het Wetboek van Strafrecht van overeenkomstige toepassing verklaart, ook een boete opleggen aan wie opdracht gaf tot een overtreding of daaraan feitelijk leiding gaf. Daarvoor moet de toezichthouder de betrokkenheid van die persoon bij de overtreding aantonen; een formele bestuursfunctie alleen volstaat niet. Daarnaast blijft de civielrechtelijke bestuurdersaansprakelijkheid bestaan. De FCA-voorbeelden van gedocumenteerde goedkeuring en een vastgelegde verantwoordelijke per toepassing zijn daarom ook in Nederland bruikbaar, omdat zij laten zien wat een toezichthouder als bewijs van beheerste bedrijfsvoering leest.

Wat de AI Act toevoegt voor kredietscores en levens- en ziektekostenverzekeringen

Binnen de Europese Unie geldt daarnaast een AI-specifieke laag. Bijlage III, punt 5, onder b en c, van de AI Act merkt AI-systemen als hoog risico aan wanneer zij de kredietwaardigheid van natuurlijke personen beoordelen of een kredietscore vaststellen, met uitzondering van fraudedetectie, en wanneer zij risico's beoordelen en premies bepalen voor levens- en ziektekostenverzekeringen. Voor die systemen gelden de verplichtingen, zoals wij in de kwartaalbrief van dit najaar beschreven, vanaf 2 december 2027. Een bank of verzekeraar die zo'n systeem gebruikt, is gebruiksverantwoordelijke in de zin van artikel 26 en moet volgens artikel 27 vooraf een effectbeoordeling voor grondrechten uitvoeren.

De AI Act sluit voor financiële instellingen bewust aan op het bestaande toezicht. Artikel 26, lid 5, bepaalt dat een financiële instelling haar monitoringsplicht vervult door te voldoen aan de regels over interne governance uit het financiële recht, en artikel 74, lid 6, wijst voor die instellingen in beginsel de financiële toezichthouder aan als markttoezichthouder. Daarnaast blijft artikel 22 AVG gelden: in de SCHUFA-zaak (C-634/21, 7 december 2023) oordeelde het Hof van Justitie dat het berekenen van een kredietscore zelf een geautomatiseerd besluit kan zijn wanneer de kredietgever er doorslaggevend op leunt. Aanbieders die het kwaliteitsbeheer voor zulke systemen opzetten, kunnen voor hun verplichtingen onder artikel 17 aansluiten bij de eerste geharmoniseerde norm onder de AI Act, EN 18286; die norm toont niet vanzelf aan dat een bank of verzekeraar als gebruiksverantwoordelijke aan de artikelen 26 en 27 voldoet. De FCA-voorbeelden over testen per klantgroep en bewaarde logboeken lezen dan als een praktische invulling van verplichtingen die in de EU al op papier staan.

Welke vijf afspraken met AI-leveranciers de FCA-voorbeelden aan DORA verbinden

Het hoofdstuk over derde partijen bevat het scherpste voorbeeld. Een onderneming bouwde een AI-product rond één bepaald model, zonder alternatief of overgangsplan; toen de leverancier dat model uit de roulatie nam, moest het product opnieuw worden ontworpen. De FCA waarschuwt ook voor ondernemingen die op de garanties van leveranciers vertrouwen zonder ze te testen. Voor Nederlandse financiële entiteiten geldt sinds 17 januari 2025 de Digital Operational Resilience Act (DORA), die in artikel 28 een register van ICT-contracten vraagt, in artikel 28, lid 8, exitstrategieën voor ICT-diensten die kritieke of belangrijke functies ondersteunen, en in artikel 30 de verplichte contractbepalingen opsomt. Het risicorapport van EBA, EIOPA en ESMA van 23 september 2026 wees al op de afhankelijkheid van niet-EU-aanbieders van frontier-AI. Uit de FCA-voorbeelden volgen vijf aanbevolen punten voor het contract met een AI-leverancier; zij vullen de verplichte DORA-bepalingen aan en vallen er niet volledig mee samen:

• Modelwijziging en uitfasering: een termijn waarbinnen de leverancier aankondigt dat een model verandert of verdwijnt, met een overgangsperiode die lang genoeg is om opnieuw te testen.
• Toetsing van toezeggingen: het recht om de prestaties en beperkingen van het model zelf te testen of door een derde te laten testen.
• Logboeken: bewaring van prompts, uitvoer, modelversie, toegepaste filters en escalaties, zodat een klacht of een vraag van de toezichthouder te reconstrueren is.
• AI in de keten: een meldplicht wanneer de leverancier zelf nieuwe of gewijzigde AI-componenten in de dienst opneemt.
• Exit en uitwijk: afspraken over gegevensoverdracht en een getest alternatief, passend bij de exitstrategie die DORA voor kritieke of belangrijke functies vraagt.

Wat er op het spel staat voor klanten in een kwetsbare situatie

De FCA besteedt opvallend veel aandacht aan klanten die tijdelijk of blijvend kwetsbaar zijn. Zij waarschuwt ondernemingen die zulke klanten standaard van AI-instrumenten uitsluiten, en ondernemingen die te veel vertrouwen op het vermogen van AI om kwetsbaarheid uit alleen tekst af te leiden, vooral wanneer die kwetsbaarheid tijdelijk is. Als goede praktijk noemt zij ondernemingen die onverwachte signalen, zoals een klant die vertelt naar de voedselbank te gaan, gebruiken om prompts, controles en escalatiecriteria bij te stellen. Een chatbot hoort zich volgens de FCA te beperken tot goedgekeurd bronmateriaal, en een onderneming mag de mogelijkheden van een AI-instrument niet overdrijven tegenover de klant.

Voor een Nederlands huishouden met een betalingsachterstand heeft dit directe gevolgen. Een klant die zijn situatie in een chatvenster uitlegt, verwacht dat iemand meeleest wanneer het ertoe doet, en wie bij het Kifid klaagt over een afgewezen betalingsregeling, heeft er belang bij dat de bank kan laten zien welk model welke uitkomst gaf. De kleinere onderneming hoeft daarvoor geen grootschalige testomgeving te bouwen: de FCA noemt steekproeven met fictieve testgevallen en kwetsbaarheidskenmerken als een proportionele aanpak, waarmee kleinere ondernemingen mogelijke ongelijke uitkomsten tussen klantgroepen opspoorden.

Wilt u weten wat uw contract met een AI- of cloudleverancier zegt over modelwijzigingen, logboeken en uitstapmogelijkheden? Met de AIRecht contractscan ziet u snel waar u zelf het risico draagt. En wie wil nagaan of de publieke teksten over een chatbot voldoen aan de meldingsplichten van artikel 50 AI Act, kan terecht bij de AI-transparantiescan.

Bronnen (geraadpleegd op 1 november 2026): FCA, AI in financial services: good practice and areas for improvement (19 oktober 2026, bijgewerkt 20 oktober 2026); Latham & Watkins via LawFuel, FCA Issues Guidance for Firms on Their Use of AI (30 oktober 2026); Verordening (EU) 2024/1689 (AI Act), artikelen 26, 27 en 74 en bijlage III; Verordening (EU) 2022/2554 (DORA), artikelen 28 en 30; Verordening (EU) 2016/679 (AVG), artikel 22; Hof van Justitie EU, C-634/21 (SCHUFA), 7 december 2023; Wet op het financieel toezicht, artikelen 3:17 en 4:24a; Algemene wet bestuursrecht, artikel 5:1.