FCA-richtsnoer van 19 oktober 2026 over AI bij financiële ondernemingen: wat Nederlandse banken en verzekeraars eruit halen voor de Wft-zorgplicht, DORA en de AI Act

Op 19 oktober 2026 publiceerde de Britse Financial Conduct Authority (FCA) een overzicht van goede en slechte praktijk bij het gebruik van AI door banken, verzekeraars en andere financiële ondernemingen. De toezichthouder maakt er geen nieuwe AI-regels voor. Zij laat zien hoe de bestaande regels, zoals de Consumer Duty en het Senior Managers and Certification Regime, al gelden voor chatbots, kredietbeoordelingen en geautomatiseerde klantcontacten.

Wat de FCA verwacht van bestuur en senior managers

De FCA vraagt dat AI-governance de hele levenscyclus van een instrument dekt, van ontwerp en test tot monitoring en uitfasering. Als goede praktijk beschrijft zij een eindverantwoordelijke senior manager per toepassing en goedkeuring vóór ingebruikname, steeds proportioneel aan het risico. Als zwakte noemt de FCA governance die pas achteraf wordt toegepast. Voor klanten in een kwetsbare situatie waarschuwt zij voor te veel vertrouwen in AI die kwetsbaarheid uit alleen tekst moet afleiden.

Hoe dit in Nederland via de Wft, DORA en de AI Act loopt

Nederland kent geen persoonlijk verantwoordingsregime zoals het SMCR. De Wft vraagt een beheerste en integere bedrijfsvoering en een zorgvuldige omgang met de belangen van de consument. Daarbovenop merkt de AI Act AI voor kredietwaardigheid en levens- en ziektekostenverzekeringen aan als hoog risico, met verplichtingen vanaf 2 december 2027 en een effectbeoordeling voor grondrechten voor banken en verzekeraars die zulke systemen gebruiken. Artikel 22 AVG en de SCHUFA-uitspraak van het Hof van Justitie blijven gelden voor geautomatiseerde kredietscores. De AI Act sluit voor financiële instellingen aan op het bestaande financiële toezicht.

Waarom het contract met de AI-leverancier telt

Het sterkste voorbeeld van de FCA gaat over een onderneming die een product rond één model bouwde, zonder alternatief. Toen de leverancier dat model uit de roulatie nam, moest het product opnieuw worden ontworpen. Onder de Digital Operational Resilience Act (DORA) moeten Nederlandse financiële entiteiten sinds 17 januari 2025 een register van ICT-contracten bijhouden, vaste contractbepalingen opnemen en exitstrategieën hebben voor ICT-diensten die kritieke of belangrijke functies ondersteunen. Het artikel zet vijf aanbevolen afspraken met AI-leveranciers op een rij: aankondiging van modelwijzigingen, het recht om toezeggingen te testen, bewaarde logboeken, een meldplicht voor nieuwe AI in de keten, en een getest uitwijkplan.

Meer lezen

AI Act, Financiële sectorMauritz Kop2 november 2026AI Act, FCA, financiële sector, Wft, zorgplicht, DORA, AVG, kredietwaardigheid, verzekeraars, AI-governance

EBA, EIOPA en ESMA op 23 september 2026: frontier-AI, quantumcomputing en niet-EU-leveranciers als risico voor banken en verzekeraars. Wat DORA en de AI Act vragen

Wat de Europese toezichthouders op 23 september 2026 publiceerden

EBA, EIOPA en ESMA publiceerden op 23 september 2026 hun gezamenlijke risico-update voor het najaar (JC 2026 29). Het rapport is een samenvatting van de risicobeoordeling die de drie toezichthouders voorleggen aan de Financial Stability Table van het Economisch en Financieel Comité. Het behandelt drie thema's: de afhankelijkheid van de Europese financiële sector van partijen buiten de EU, de samenhang van die afhankelijkheid met cyber- en AI-risico, en private credit. Volgens een enquête van de EBA noemt ongeveer 80 procent van de banken de afhankelijkheid van ICT-dienstverleners buiten de EU/EER de grootste uitdaging. Cloud, software, betalingsverkeer, clearing en kredietbeoordelingen lopen voor een groot deel via ondernemingen buiten de Unie.

Frontier-AI en quantumcomputing als risico voor de financiële sector

De toezichthouders schrijven dat frontier-AI-modellen kwetsbaarheden in IT-systemen met grote snelheid en op grote schaal kunnen vinden en uitbuiten, ook nog onbekende zero-day-lekken. Over quantumcomputing staat er dat een geavanceerde quantumcomputer cryptografie kan ondermijnen die communicatie, transacties, databases en blockchains beveiligt, dat die dreiging zich eerder kan voordoen dan een bruikbare commerciële toepassing, en dat gegevens die vandaag worden onderschept later kunnen worden ontsleuteld. Wie op een klein aantal leveranciers buiten de EU steunt, loopt die risico's via schakels die hij niet zelf beheert. Het artikel legt de verbinding met Herstatt-risico, het afwikkelingsrisico dat zichtbaar werd bij de sluiting van Bankhaus Herstatt op 26 juni 1974: tegenpartijen hadden hun Duitse marken betaald en ontvingen de dollars in New York nooit.

Wat DORA en de AI Act nu al vragen

DORA (Verordening (EU) 2022/2554) geldt sinds 17 januari 2025 en regelt in de artikelen 28 tot en met 31 het beheer van ICT-derdenrisico, concentratierisico, de minimale inhoud van contracten en het Europese toezicht op kritieke ICT-aanbieders. Artikel 6, lid 4, van Gedelegeerde Verordening (EU) 2024/1774 verplicht instellingen om in hun encryptiebeleid op te nemen hoe zij hun cryptografie waar nodig aanpassen op basis van ontwikkelingen in de cryptoanalyse; een vaste overstapdatum voor post-quantumalgoritmen staat er niet in. De AI Act voegt eisen toe aan AI-systemen met een hoog risico (artikel 15) en aan aanbieders van modellen die als model met een systeemrisico zijn geclassificeerd (artikelen 51 en 55), met overgangstermijnen tot 2 augustus 2027 voor modellen die al vóór 2 augustus 2025 in de handel waren. Het artikel eindigt met vijf vragen voor bestuur en inkoop bij een ICT-contract onder DORA, over datalocatie, concentratie, post-quantumcryptografie, AI-componenten en exit, en legt uit waarom dit rapport voor Nederlandse banken, verzekeraars, pensioenfondsen en hun leveranciers een ijkpunt is.