Voor financiële instellingen is de belangrijkste datum in de kalender van de EU AI-verordening 2 augustus 2026. Dan beginnen de verplichtingen van de verordening voor AI-systemen met een hoog risico te gelden — en anders dan bij een productlancering wacht de deadline niet op systemen die al draaien. Staat een model in productie en valt het in een hoogrisicocategorie, dan moet het tegen die datum aan de eisen voldoen, ongeacht wanneer het is gebouwd.

De financiële sector staat hierbij dichter bij de frontlinie dan vrijwel elke andere sector, omdat zoveel alledaagse AI-toepassingen in de branche recht in de hoogrisicodefinities van de verordening vallen.

Waarom banken en verzekeraars blootgesteld zijn

De verordening wijst bepaalde toepassingen aan als hoog risico, en verschillende daarvan zijn kernactiviteiten in de financiële wereld: het beoordelen van de kredietwaardigheid van particulieren en kredietscoring, en risicobeoordeling en tarifering in levens- en ziektekostenverzekeringen. Tel daar de intense toezichtsaandacht bij die nu rust op AI voor fraudedetectie en antiwitwasbesluitvorming, en een groot deel van de modellen die een doorsnee-instelling draait, valt eronder of zit er dicht tegenaan.

De deadline geldt voor systemen die al in productie zijn — het werk is dus niet "vóór we lanceren", maar "vóór augustus 2026", op modellen die vandaag live staan.

Wat "hoog risico" werkelijk vereist

Een hoogrisicostatus is geen etiket dat u meldt om er vervolgens niet meer naar om te kijken. Het brengt een reeks verplichtingen met zich mee die raken aan hoe het systeem wordt gebouwd, gedraaid en bestuurd:

  • Een gedocumenteerd risicomanagementproces dat de hele levenscyclus van het systeem bestrijkt.
  • Datagovernance die de kwaliteit, relevantie en representativiteit van trainings- en invoerdata afdekt.
  • Technische documentatie en registratie, inclusief logging die het gedrag van het systeem traceerbaar maakt.
  • Betekenisvol menselijk toezicht, ingebouwd in plaats van er achteraf op gezet.
  • Passende niveaus van nauwkeurigheid, robuustheid en cyberbeveiliging.
  • Monitoring na het op de markt brengen, zodra het systeem in gebruik is.

De valkuil: het behandelen als een documentatieoefening

De meest voorkomende fout die we zien, is dat instellingen de verordening benaderen als een papierwerkprobleem — iets wat het complianceteam achteraf kan beschrijven. Maar de meeste van deze eisen zijn engineering-eigenschappen. U kunt zich niet een weg documenteren naar traceerbaarheid, robuustheid of menselijk toezicht als die nooit in het systeem zijn ingebouwd. Compliance die er aan het eind op wordt gezet, is doorgaans zowel duur als fragiel, en houdt zelden stand bij de vragen van een toezichthouder.

De instellingen die het snelst door augustus 2026 komen, zijn degene die governance en engineering als dezelfde inspanning behandelen: de controles die de verordening vraagt, zijn grotendeels de controles die een AI-systeem betrouwbaar genoeg maken om überhaupt in een bank te draaien.

Wat u nu moet doen

  • Inventariseer elk AI- en machine learning-systeem dat in gebruik of in ontwikkeling is — inclusief de systemen die in leveranciersproducten zijn ingebed.
  • Classificeer elk ervan tegen de risicocategorieën van de verordening, en wees eerlijk over de grensgevallen.
  • Voer een gap-assessment uit voor de hoogrisicosystemen ten opzichte van bovenstaande verplichtingen.
  • Bouw de ontbrekende controles in de levenscyclus van het model, niet in een aparte map.
  • Wijs duidelijke verantwoordelijkheid toe voor elk systeem en begin met het verzamelen van het bewijs dat een toezichthouder zou willen zien.

Niets hiervan gaat snel, en juist daarom telt de datum. Er is nog tijd om het goed te doen — maar minder dan de kalender suggereert zodra u inventarisatie, remediëring en testen meerekent.