Dit artikel beantwoordt de specifieke vraag: Hoe borgen banken en verzekeraars AI-geletterdheid onder DORA en de AI Act? Voor het overkoepelende kader leest u onze centrale gidsen: AI-geletterdheid onder de EU AI Act en AI Governance voor Bedrijven.
1. De samenloop van toezicht: AI Act, DORA en Wft
Voor banken, pensioenfondsen, verzekeraars en fintech-ondernemingen is AI-adoptie geen kwestie van experimenteren, maar van navigeren door een dicht woud van strenge toezichtkaders. In 2026 komen drie grote wetgevende stromen samen:
- 1. De EU AI Act: Stelt zware product- en toezichteisen aan hoog-risico AI (zoals kredietscores en risicomodellen) en verplicht tot AI-geletterdheid onder artikel 4.
- 2. DORA (Digital Operational Resilience Act): Eist strenge cyberveiligheid en monitoring van ICT-derdenpartijen (cloud LLM-leveranciers).
- 3. Wft & Zorgplicht (DNB/AFM): Verplicht financiële dienstverleners tot integere en beheerste bedrijfsvoering en uitlegbare dienstverlening naar consumenten.
2. Hoog-risico AI-toepassingen in finance
Onder Annex III van de EU AI Act vallen twee veelgebruikte financiële AI-use cases direct in de categorie hoog-risico:
Algoritmes die bepalen of een burger of MKB-ondernemer in aanmerking komt voor een lening of hypotheek. Vereist strikte audits op data-kwaliteit en uitsluiting van discriminatie.
AI-modellen die risico's bepalen bij levens- en zorgverzekeringen. Volledige controle op historische bias en oneerlijke uitsluitingsgronden is wettelijk verplicht.
3. Explainable AI (XAI) als kernvaardigheid
Voor financieel analisten, risicomanagers en acceptanten is 'black-box AI' onbruikbaar. Toezichthouders (DNB en AFM) eisen dat besluiten kunnen worden gereproduceerd en uitgelegd aan de klant. Medewerkers moeten worden getraind om:
- De belangrijkste feature-weegfactoren van een model te begrijpen (bijv. via SHAP- of LIME-analyses).
- Ongewenste correlaties (zoals postcode als proxy voor afkomst) direct te signaleren.
- De afwijzingsgronden in begrijpelijke, juridisch houdbare taal te communiceren naar klanten.
- Third-party LLM-leveranciers contractueel te toetsen op DORA-weerbaarheid en data containment.
4. Borging in de financiële auditpraktijk
Financiële instellingen borgen deze vereisten door de geletterdheid van risk-, audit- en acceptatieteams op te nemen in de permanente educatie (PE/PO-punten) en het centrale bekwaamheidsdossier.
Veelgestelde vragen over dit onderwerp
Waarom staat de financiële sector onder meervoudig toezicht?
Financiële instellingen hebben te maken met een complexe samenloop van toezichtkaders: de Wet op het financieel toezicht (Wft) via DNB en AFM, de Digital Operational Resilience Act (DORA) voor IT-veiligheid, en de EU AI Act voor algoritmische risico's.
Welke financiële AI-systemen vallen onder hoog-risico (Annex III)?
AI-systemen die worden gebruikt voor de evaluatie van de kredietwaardigheid van natuurlijke personen (credit scoring) of de risicobeoordeling en prijsstelling van levens- en ziektekostenverzekeringen zijn expliciet geclassificeerd als hoog-risico AI onder Annex III.
Wat eist DORA van financiële instellingen bij het gebruik van AI?
DORA stelt strenge eisen aan operationele cyberweerbaarheid, ICT-risicobeheer van derde partijen (zoals cloud AI-leveranciers) en incidentrapportage. AI mag de stabiliteit en beveiliging van kritieke financiële functies niet in gevaar brengen.
Wat betekent explainability (XAI) voor acceptanten en analisten?
Acceptanten en compliance officers moeten kunnen uitleggen waaróm een AI-model tot een bepaalde risicoscore of afwijzing is gekomen. 'Black-box' besluitvorming is in strijd met de zorgplicht naar consumenten en leidt tot afkeuring door de AFM.
