Data, AI & privacy.
AI en datagebruik bij financiële instellingen staan onder toenemend toezicht. Sinds 2 augustus 2026 gelden de transparantieverplichtingen van de AI Act; de hoog-risicoverplichtingen zijn via de Digital Omnibus (Verordening (EU) 2026/1744) verschoven naar 2 december 2027 (Annex III) en 2 augustus 2028 (Annex I). Daarnaast kijkt de AFM naar AI-governance en de Autoriteit Persoonsgegevens naar het recht op uitleg bij geautomatiseerde besluiten onder de AVG.
Stand van zaken · laatst bijgewerkt 7 oktober 2026.
Wat wij voor u doen.
Drie manieren waarop wij u helpen bij data, AI en privacy.
Verwerkingsregister, grondslagen, DPIA’s, verwerkersovereenkomsten en datalekprocedure voor financiële ondernemingen.
Welke AI-toepassingen onder de AI-verordening vallen, welke verplichtingen daarbij horen en hoe u dat in uw governance verankert.
Ondersteuning bij vragen van de AP, DNB of AFM over data en AI, en bij de afhandeling van een datalek.
Veelgestelde vragen.
Wat verwacht de AFM op het gebied van AI-governance?
Uit het AFM AI-onderzoek onder 323 instellingen: 53% gebruikt AI, maar 89% heeft geen beleid voor AI-agents en 54% geen AI-ethiekcode. Governance en beleid zijn de grootste gaten.
Wat is het recht op uitleg bij geautomatiseerde besluiten?
De Autoriteit Persoonsgegevens publiceerde een conceptrichtsnoer: bij (deels) geautomatiseerde besluiten moeten betrokkenen een betekenisvolle uitleg krijgen. Dit raakt algoritmische krediet- en acceptatiebeslissingen.
Wat betekent dit voor financiële instellingen?
Documenteer je AI-modellen en besluitvorming, stel AI-beleid en een ethiekcode op, en borg uitlegbaarheid en menselijke toetsing van geautomatiseerde beslissingen.
Welke AI Act-verplichtingen gelden sinds 2 augustus 2026?
Sinds 2 augustus 2026 gelden de transparantieverplichtingen van artikel 50 AI Act: chatbots moeten zich als AI bekendmaken, AI-gegenereerde of -bewerkte content moet machineleesbaar gemarkeerd zijn, en wie emotieherkenning of biometrische categorisering inzet moet betrokkenen informeren. Op overtreding staan boetes tot €15 miljoen of 3% van de wereldwijde jaaromzet. Ook het bredere governance- en boetekader is per die datum operationeel.
Is de AI Act uitgesteld?
Gedeeltelijk. De Digital Omnibus voor AI — Verordening (EU) 2026/1744, gepubliceerd in het Publicatieblad op 24 juli 2026 en in werking sinds 27 juli 2026 — verschuift de hoog-risicoverplichtingen: voor zelfstandige Annex III-systemen van 2 augustus 2026 naar 2 december 2027, en voor in producten ingebedde Annex I-systemen naar 2 augustus 2028. Achtergrond is de vertraging van de geharmoniseerde normen die de compliance-route moeten dragen. De verboden praktijken (februari 2025), de GPAI-regels (augustus 2025) en de transparantieplichten (2 augustus 2026) gelden onverkort.
Valt kredietscoring of AI-onboarding onder hoog risico?
Kredietwaardigheidsbeoordeling van natuurlijke personen en risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen staan in Annex III en zijn dus hoog-risicotoepassingen. De bijbehorende verplichtingen — risicomanagement, datakwaliteit, logging, menselijk toezicht, conformiteitsbeoordeling — gelden door de Digital Omnibus vanaf 2 december 2027, maar vergen een implementatietraject dat nu moet starten.
Wat betekent de AVG naast de AI Act?
De AI Act vervangt de AVG niet; beide gelden naast elkaar. Voor geautomatiseerde besluitvorming blijft artikel 22 AVG gelden, inclusief het recht op uitleg zoals de Autoriteit Persoonsgegevens dat uitlegt, en voor AI-toepassingen met persoonsgegevens is veelal een DPIA verplicht. Een AI-systeem kan dus AI Act-conform zijn en tegelijk AVG-onrechtmatig — de toetsen staan los van elkaar.
Wie houdt toezicht op de AI Act bij financiële instellingen?
Het markttoezicht wordt per lidstaat belegd via nationale uitvoeringswetgeving; voor de financiële sector worden DNB en de AFM als sectorale toezichthouders gepositioneerd, in lijn met hun bestaande mandaat. Op EU-niveau houdt het AI Office toezicht op general-purpose AI-modellen. De AFM heeft daarnaast al verwachtingen over AI-governance gepubliceerd die zij binnen het gedragstoezicht toepast.
Wat moet er in een AI-inventarisatie staan?
Een bruikbaar AI-register bevat per systeem: doel en werking, de rol van de instelling (aanbieder of gebruiksverantwoordelijke), de risicoclassificatie onder de AI Act, de verwerkte (persoons)gegevens, de mate van menselijke controle en de betrokken leveranciers. Die inventarisatie is het startpunt van elke gap-analyse en bepaalt welk verplichtingenregime per systeem geldt.
Wat is AI-geletterdheid en geldt die verplichting al?
Ja. Artikel 4 AI Act verplicht sinds 2 februari 2025 dat medewerkers die met AI-systemen werken over passende AI-geletterdheid beschikken — afgestemd op hun rol, de context en de betrokken systemen. Voor financiële instellingen betekent dit aantoonbare training van eerste lijn, compliance en bestuur.
Hoe bereidt een betaalinstelling of fintech zich voor richting 2027?
Vier stappen: inventariseer alle AI-toepassingen en classificeer ze; voldoe nu aan de transparantieplichten die sinds 2 augustus 2026 gelden; zet voor hoog-risicotoepassingen een roadmap naar 2 december 2027 met risicomanagement, datakwaliteit en menselijk toezicht; en regel leverancierscontracten en DPIA/FRIA-processen in. Wie wacht op de definitieve normen, komt in 2027 in tijdnood.
Hoe staat het met de Nederlandse Uitvoeringswet AI-verordening?
De internetconsultatie over de Uitvoeringswet AI-verordening liep van 20 april tot 1 juni 2026 (30 reacties). Op 7 oktober 2026 was het wetsvoorstel nog niet bij de Tweede Kamer ingediend. Tot die tijd gelden de verplichtingen van de AI-verordening rechtstreeks; de toezichtverdeling tussen AP, AFM en DNB wordt in de uitvoeringswet geregeld.
Welke richtsnoeren gelden voor de transparantieverplichtingen?
De Europese Commissie publiceerde op 20 juli 2026 richtsnoeren over de transparantieverplichtingen voor aanbieders en gebruikers van AI-systemen (artikel 50) en begon op 2 augustus 2026 met de handhaving. De EDPB heeft op 17 september 2026 conceptrichtsnoeren over de boetebevoegdheid onder de AVG vastgesteld; reacties zijn mogelijk tot 13 november 2026.