Op 19 oktober 2026 publiceerde de Britse Financial Conduct Authority (FCA) een overzicht van goede en slechte praktijk bij het gebruik van AI door banken, verzekeraars en andere financiële ondernemingen. De toezichthouder maakt er geen nieuwe AI-regels voor. Zij laat zien hoe de bestaande regels, zoals de Consumer Duty en het Senior Managers and Certification Regime, al gelden voor chatbots, kredietbeoordelingen en geautomatiseerde klantcontacten.
Wat de FCA verwacht van bestuur en senior managers
De FCA vraagt dat AI-governance de hele levenscyclus van een instrument dekt, van ontwerp en test tot monitoring en uitfasering. Als goede praktijk beschrijft zij een eindverantwoordelijke senior manager per toepassing en goedkeuring vóór ingebruikname, steeds proportioneel aan het risico. Als zwakte noemt de FCA governance die pas achteraf wordt toegepast. Voor klanten in een kwetsbare situatie waarschuwt zij voor te veel vertrouwen in AI die kwetsbaarheid uit alleen tekst moet afleiden.
Hoe dit in Nederland via de Wft, DORA en de AI Act loopt
Nederland kent geen persoonlijk verantwoordingsregime zoals het SMCR. De Wft vraagt een beheerste en integere bedrijfsvoering en een zorgvuldige omgang met de belangen van de consument. Daarbovenop merkt de AI Act AI voor kredietwaardigheid en levens- en ziektekostenverzekeringen aan als hoog risico, met verplichtingen vanaf 2 december 2027 en een effectbeoordeling voor grondrechten voor banken en verzekeraars die zulke systemen gebruiken. Artikel 22 AVG en de SCHUFA-uitspraak van het Hof van Justitie blijven gelden voor geautomatiseerde kredietscores. De AI Act sluit voor financiële instellingen aan op het bestaande financiële toezicht.
Waarom het contract met de AI-leverancier telt
Het sterkste voorbeeld van de FCA gaat over een onderneming die een product rond één model bouwde, zonder alternatief. Toen de leverancier dat model uit de roulatie nam, moest het product opnieuw worden ontworpen. Onder de Digital Operational Resilience Act (DORA) moeten Nederlandse financiële entiteiten sinds 17 januari 2025 een register van ICT-contracten bijhouden, vaste contractbepalingen opnemen en exitstrategieën hebben voor ICT-diensten die kritieke of belangrijke functies ondersteunen. Het artikel zet vijf aanbevolen afspraken met AI-leveranciers op een rij: aankondiging van modelwijzigingen, het recht om toezeggingen te testen, bewaarde logboeken, een meldplicht voor nieuwe AI in de keten, en een getest uitwijkplan.
Meer lezen