AI-verordening fintech: nalevingsgids

De verordening kent geen categorie ‘fintech’. Deze website gebruikt het woord voor AI die via de onderstaande toepassingen onder de verordening valt.

• Kredietscoring: bijlage III, punt 5, b)

  AI-systemen die bedoeld zijn om te worden gebruikt voor het beoordelen van de kredietwaardigheid van natuurlijke personen of voor het vaststellen van hun kredietscore, zijn AI-systemen met een hoog risico. AI-systemen die gebruikt worden om financiële fraude op te sporen, zijn uitgezonderd. Punt 5, b), noemt alleen natuurlijke personen, geen bedrijven.

• Levens- en ziektekostenverzekeringen: bijlage III, punt 5, c)

  AI-systemen die bedoeld zijn om te worden gebruikt voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen in het geval van levens- en ziektekostenverzekeringen, zijn AI-systemen met een hoog risico. Punt 5, c), noemt alleen levens- en ziektekostenverzekeringen.

• Fraudedetectie is uitgezonderd van punt 5, b)

  De uitzondering betreft AI-systemen die gebruikt worden om financiële fraude op te sporen. Een systeem voor fraudedetectie is alleen een AI-systeem met een hoog risico als een ander punt van bijlage III of bijlage I het omvat.

• Andere fintech-toepassingen worden in punt 5 niet genoemd

  Punt 5 noemt geen controles op witwassen of ‘ken uw klant’-controles, algoritmische handel, roboadvies, niet-levensverzekeringen, schadeafhandeling of kredietbeslissingen over rechtspersonen. Toets elk ervan aan de andere punten van bijlage III en aan bijlage I voordat u het als buiten de regels voor systemen met een hoog risico beschouwt.

• Artikel 6, lid 3, kan een systeem uit bijlage III halen

  Een systeem onder punt 5, b) of 5, c), is een AI-systeem met een hoog risico op grond van artikel 6, lid 2. Volgens artikel 6, lid 3, is het geen AI-systeem met een hoog risico als het geen significant risico op schade voor de gezondheid, veiligheid of grondrechten inhoudt. Daaronder valt dat het de uitkomst van de besluitvorming niet wezenlijk beïnvloedt. De verordening past deze uitzondering toe wanneer aan een van de volgende voorwaarden is voldaan (artikel 6, lid 3, punten a) tot en met d)). Het systeem is bedoeld om een beperkte procedurele taak uit te voeren. Of het is bedoeld om het resultaat van een eerder voltooide menselijke activiteit te verbeteren. Of het is bedoeld om besluitvormingspatronen of afwijkingen van eerdere besluitvormingspatronen op te sporen en is niet bedoeld om de eerder voltooide menselijke beoordeling zonder behoorlijke menselijke toetsing te vervangen of te beïnvloeden. Of het is bedoeld om een voorbereidende taak uit te voeren voor een beoordeling die relevant is voor de in bijlage III vermelde gebruiksgevallen. Hoe deze voorwaarden zich verhouden tot de toets van het significante risico, is een vraag voor een jurist. Het systeem is altijd een AI-systeem met een hoog risico als het profilering van natuurlijke personen uitvoert. Profilering is gedefinieerd in artikel 4, punt 4, AVG (artikel 3, punt 52). Of een bepaald scoring- of prijsstellingssysteem dat doet, is ook een vraag voor een jurist. Een aanbieder die zich op de uitzondering beroept, documenteert zijn beoordeling voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld. Hij moet het systeem ook registreren (artikel 6, lid 4, artikel 49, lid 2).

• Andere regels van de verordening die fintech-AI kunnen raken

  Artikel 5, lid 1, punt b), verbiedt AI-systemen die gebruikmaken van de kwetsbaarheden van een natuurlijke persoon als gevolg van leeftijd, handicap of een specifieke sociale of economische omstandigheid. Het doel of gevolg moet zijn het gedrag wezenlijk te verstoren op een wijze die aanzienlijke schade veroorzaakt of daar redelijkerwijs waarschijnlijk toe zal leiden. Punt c) verbiedt AI-systemen voor de evaluatie of classificatie van natuurlijke personen gedurende een bepaalde periode op basis van hun sociale gedrag of persoonlijke kenmerken. Dat geldt wanneer de sociale score leidt tot de in dat punt beschreven nadelige of ongunstige behandeling. Deze verboden gelden vanaf 2 februari 2025 (artikel 113, derde alinea, punt a)). Aanbieders van AI-systemen die bedoeld zijn voor directe interactie met natuurlijke personen, zoals een chatbot, moeten ze zo ontwerpen dat de personen worden geïnformeerd dat zij met een AI-systeem interageren, tenzij dit duidelijk is (artikel 50, lid 1). Dit geldt vanaf 2 augustus 2026.

De aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen. Hij brengt het onder eigen naam of merk in de handel of stelt het onder eigen naam of merk in gebruik (artikel 3, punt 3). Onder in gebruik stellen valt ook de levering voor eigen gebruik van de aanbieder (artikel 3, punt 11). Een bank of verzekeraar die een systeem ontwikkelt en onder eigen naam in gebruik stelt, is dus een aanbieder. Een bank of verzekeraar die een systeem onder eigen verantwoordelijkheid gebruikt, is een gebruiksverantwoordelijke (artikel 3, punt 4). Een gebruiksverantwoordelijke wordt in drie gevallen de aanbieder. Hij zet zijn naam of merk op een AI-systeem met een hoog risico dat al in de handel is gebracht, onverminderd contractuele regelingen waarin wordt bepaald dat de verplichtingen anders worden toegewezen. Hij brengt een substantiële wijziging aan in zo’n systeem, waardoor het een AI-systeem met een hoog risico blijft. Of hij wijzigt het beoogde doel van een niet als hoog risico geclassificeerd systeem, zodat het een AI-systeem met een hoog risico wordt (artikel 25, lid 1). De aanbieder die het systeem als eerste in de handel heeft gebracht of in gebruik heeft gesteld, wordt dan niet langer als aanbieder van dat specifieke systeem beschouwd en moet nauw samenwerken met de nieuwe aanbieder (artikel 25, lid 2). Dit geldt niet als de oorspronkelijke aanbieder duidelijk heeft aangegeven dat zijn systeem niet mag worden gewijzigd in een AI-systeem met een hoog risico.

Aanbieders zorgen ervoor dat hun AI-systemen met een hoog risico voldoen aan de eisen van afdeling 2 van hoofdstuk III, de artikelen 8 tot en met 15 (artikel 16, punt a)). Ze moeten ook voldoen aan de andere verplichtingen voor aanbieders in artikel 16.

• art. 9
  Systeem voor risicobeheer

  Een doorlopend iteratief proces gedurende de levenscyclus, met testen aan de hand van vooraf vastgestelde beoordelingsmaatstaven en probabilistische drempels die passend zijn voor het beoogde doel.

• art. 10
  Data en datagovernance

  Datasets voor training, validatie en tests die voldoen aan de kwaliteitscriteria van artikel 10, met inbegrip van een beoordeling met het oog op mogelijke vooringenomenheid.

• art. 12
  Logging in het ontwerp

  Het systeem moet technisch zo zijn vormgegeven dat gebeurtenissen (logs) gedurende de levenscyclus automatisch worden geregistreerd.

• art. 13
  Gebruiksaanwijzing

  Informatie waarmee gebruiksverantwoordelijken de output kunnen interpreteren en op passende wijze gebruiken, met inbegrip van de opgegeven mate van nauwkeurigheid en de bijbehorende beoordelingsmaatstaven.

• art. 14
  Menselijk toezicht in het ontwerp

  Maatregelen waarmee natuurlijke personen tijdens het gebruik van het systeem doeltreffend toezicht kunnen uitoefenen.

• art. 15
  Nauwkeurigheid, robuustheid en cyberbeveiliging

  Een passend niveau, consistent bereikt gedurende de hele levenscyclus. De niveaus van nauwkeurigheid en de relevante maatstaven voor de nauwkeurigheid worden vermeld in de gebruiksaanwijzing.

• art. 17
  Systeem voor kwaliteitsbeheer

  Schriftelijke beleidslijnen, procedures en instructies voor de aspecten van artikel 17, lid 1, uitgevoerd in verhouding tot de omvang van de organisatie van de aanbieder (artikel 17, lid 2).

• art. 43(2)
  Conformiteitsbeoordeling

  Voor de systemen in de punten 2 tot en met 8 van bijlage III, waartoe punt 5 behoort, volgt de aanbieder de conformiteitsbeoordelingsprocedure op basis van interne controle (bijlage VI). Voor die procedure is de betrokkenheid van een aangemelde instantie niet nodig.

• art. 16
  EU-conformiteitsverklaring, CE-markering en registratie

  De aanbieder stelt een EU-conformiteitsverklaring op en brengt de CE-markering aan. Hij registreert zichzelf en het systeem ook in de EU-databank, voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld (artikel 16, punten g) tot en met i); artikel 49, lid 1).

• art. 72, 73
  Monitoring na het in de handel brengen en ernstige incidenten

  De aanbieder stelt een systeem voor monitoring na het in de handel brengen vast en documenteert het (artikel 72, lid 1) en meldt ernstige incidenten bij de markttoezichtautoriteiten (artikel 73).

• art. 26(1), (2)
  Gebruik volgens de aanwijzingen, toezicht opdragen

  Gebruiksverantwoordelijken nemen passende technische en organisatorische maatregelen om het systeem te gebruiken in overeenstemming met de gebruiksaanwijzing. Zij dragen het menselijk toezicht op aan natuurlijke personen die over de nodige bekwaamheid, opleiding en autoriteit beschikken.

• art. 26(4)–(6)
  Inputdata, monitoring en logs

  Voor zover zij controle hebben over de inputdata, zorgen gebruiksverantwoordelijken ervoor dat die relevant en voldoende representatief zijn. Zij monitoren de werking van het systeem op basis van de gebruiksaanwijzing. Zij bewaren de logs die onder hun controle vallen ten minste zes maanden, tenzij anders is bepaald in het toepasselijke Unie- of nationale recht.

• art. 26(11)
  De betrokken personen informeren

  Gebruiksverantwoordelijken van AI-systemen met een hoog risico uit bijlage III die beslissingen met betrekking tot natuurlijke personen nemen of helpen nemen, informeren die personen dat het systeem op hen wordt toegepast, onverminderd artikel 50 (artikel 26, lid 11).

• art. 27
  Beoordeling van de gevolgen voor de grondrechten

  Voordat zij een systeem onder punt 5, b) of 5, c), in gebruik stellen, voeren gebruiksverantwoordelijken, of zij nu publiek of privaat zijn, een beoordeling uit van de gevolgen voor de grondrechten (artikel 27, lid 1). De beoordeling bestaat uit: een beschrijving van de processen van de gebruiksverantwoordelijke waarbij het systeem zal worden gebruikt overeenkomstig het beoogde doel; de periode waarbinnen en de frequentie waarmee het wordt gebruikt; de categorieën natuurlijke personen en groepen die naar verwachting gevolgen zullen ondervinden; de specifieke risico’s op schade voor hen, rekening houdend met de door de aanbieder op grond van artikel 13 verstrekte informatie; een beschrijving van de maatregelen voor menselijk toezicht; en de maatregelen die moeten worden genomen wanneer die risico’s zich voordoen, met inbegrip van regelingen voor interne governance en klachtenregelingen. Gebruiksverantwoordelijken stellen de markttoezichtautoriteit in kennis van de resultaten (artikel 27, lid 3). Voor verplichtingen die al zijn nagekomen via een gegevensbeschermingseffectbeoordeling, kan naar die beoordeling worden verwezen (artikel 27, lid 4).

• art. 86
  Uitleg aan de getroffen persoon

  Een persoon heeft recht op uitleg wanneer een gebruiksverantwoordelijke een besluit neemt op basis van de output van een in bijlage III vermeld AI-systeem met een hoog risico, met uitzondering van punt 2. Het besluit moet rechtsgevolgen hebben voor de persoon of op vergelijkbare wijze aanzienlijke invloed op hem of haar hebben. Die invloed moet de persoon als nadelig voor zijn of haar gezondheid, veiligheid of grondrechten beschouwen. De persoon kan dan van de gebruiksverantwoordelijke duidelijke, inhoudelijke uitleg verkrijgen over de rol van het AI-systeem in de besluitvormingsprocedure en de voornaamste elementen van het genomen besluit (artikel 86, lid 1). Het recht geldt niet wanneer uitzonderingen of beperkingen voortvloeien uit het Unierecht of het nationale recht in naleving van het Unierecht (artikel 86, lid 2). Het geldt alleen voor zover het Unierecht niet anderszins in dat recht voorziet (artikel 86, lid 3).

De verordening laat financiële instellingen sommige verplichtingen onderbrengen in de regels die zij al volgen. De regels gelden voor financiële instellingen die onderworpen zijn aan eisen met betrekking tot hun interne governance, regelingen of processen uit hoofde van het Unierecht inzake financiële diensten. De verordening noemt geen specifieke wetgeving inzake financiële diensten; welke regels meetellen, is een vraag voor een jurist.

• art. 17(4)
  Systeem voor kwaliteitsbeheer

  Voor aanbieders die dergelijke financiële instellingen zijn, wordt de verplichting een systeem voor kwaliteitsbeheer in te voeren geacht te zijn vervuld door te voldoen aan de regels inzake interne governance. De uitzonderingen zijn het systeem voor risicobeheer, de monitoring na het in de handel brengen en de melding van ernstige incidenten (artikel 17, lid 4).

• art. 18(3)
  Technische documentatie

  Aanbieders die in de hoedanigheid van financiële instellingen onderworpen zijn aan eisen met betrekking tot hun interne governance, regelingen of processen uit hoofde van het Unierecht inzake financiële diensten, bewaren de technische documentatie als onderdeel van de documentatie die krachtens dat recht wordt bewaard (artikel 18, lid 3).

• art. 19(2), 26(6)
  Logs

  Aanbieders en gebruiksverantwoordelijken die dergelijke financiële instellingen zijn, bewaren de automatisch gegenereerde logs als onderdeel van de documentatie die wordt bewaard krachtens het desbetreffende Unierecht inzake financiële diensten (artikel 19, lid 2, en artikel 26, lid 6, tweede alinea).

• art. 26(5)
  Monitoring door gebruiksverantwoordelijken

  Voor gebruiksverantwoordelijken die dergelijke financiële instellingen zijn, wordt de monitoringsverplichting in de eerste alinea van artikel 26, lid 5, geacht te zijn vervuld. De voorwaarde is dat zij voldoen aan de regels inzake interne governance, regelingen, processen en mechanismen uit hoofde van het desbetreffende recht inzake financiële diensten (artikel 26, lid 5, tweede alinea).

• art. 72(4)
  Monitoring na het in de handel brengen

  Aanbieders kunnen de elementen van het systeem en het plan voor monitoring na het in de handel brengen integreren in bestaande systemen en plannen, mits dat een gelijkwaardig beschermingsniveau garandeert. Artikel 72, lid 4, tweede alinea, breidt deze keuze uit tot systemen uit bijlage III, punt 5, van dergelijke financiële instellingen.

• art. 74(6)
  Toezichthoudende autoriteit

  Dit betreft AI-systemen met een hoog risico die door financiële instellingen die onder het Unierecht inzake financiële diensten vallen, in de handel worden gebracht, in gebruik worden gesteld of worden gebruikt. De markttoezichtautoriteit is dan de nationale autoriteit die op grond van dat recht verantwoordelijk is voor het financiële toezicht op die instellingen. Dit geldt voor zover het in de handel brengen, in gebruik stellen of gebruik rechtstreeks verband houdt met de verlening van die financiële diensten (artikel 74, lid 6).

• Datums

  De eisen voor deze toepassingen uit bijlage III gelden vanaf 2 december 2027 (artikel 113, derde alinea, punt c), i)). Een systeem dat vóór die datum in de handel is gebracht of in gebruik is gesteld, valt er alleen onder als het ontwerp daarna aanzienlijk wordt gewijzigd. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111, lid 2).

• Boetes

  Aanbieders zorgen ervoor dat hun AI-systemen met een hoog risico voldoen aan de eisen van afdeling 2 van hoofdstuk III. Daartoe behoren de artikelen 9 tot en met 15 (artikel 16, punt a)). Een inbreuk op de verplichtingen van aanbieders in artikel 16 of van gebruiksverantwoordelijken in artikel 26 kan worden beboet. De boete bedraagt maximaal 15 miljoen EUR of, voor een onderneming, maximaal 3 % van haar totale wereldwijde jaarlijkse omzet in het voorafgaande boekjaar, als dat bedrag hoger is (artikel 99, lid 4, punten a) en e)). Voor mkb-bedrijven, met inbegrip van start-ups, geldt voor elke boete als maximum het lagere van de twee grenzen (artikel 99, lid 6). Hetzelfde geldt voor kleine midcapondernemingen (artikel 3, punt 14 ter, artikel 99, lid 6 bis). Elke lidstaat stelt regels vast betreffende de vraag in hoeverre administratieve geldboeten kunnen worden opgelegd aan in die lidstaat gevestigde overheidsinstanties of -organen (artikel 99, lid 8).

• Bereik en grenzen van de verordening

  De verordening is van toepassing op aanbieders en gebruiksverantwoordelijken die in een derde land zijn gevestigd of er zich bevinden, indien de output van het AI-systeem in de Unie wordt gebruikt (artikel 2, lid 1, punt c)). Zij is niet van toepassing op gebieden die buiten het toepassingsgebied van het Unierecht vallen, en doet geen afbreuk aan de bevoegdheden van de lidstaten op het gebied van nationale veiligheid (artikel 2, lid 3). De verordening is niet van toepassing op AI-systemen of AI-modellen, met inbegrip van hun output, die specifiek zijn ontwikkeld en in gebruik gesteld met wetenschappelijk onderzoek en wetenschappelijke ontwikkeling als enig doel (artikel 2, lid 6). Zij is niet van toepassing op onderzoeks-, test- of ontwikkelingsactiviteiten voordat een systeem in de handel wordt gebracht of in gebruik wordt gesteld. Testen onder reële omstandigheden vallen niet onder die uitsluiting (artikel 2, lid 8). AI-systemen die worden vrijgegeven onder vrije en opensourcelicenties vallen buiten de verordening. Die uitsluiting geldt niet voor AI-systemen die als systeem met een hoog risico in de handel worden gebracht of in gebruik worden gesteld, of die onder artikel 5 of 50 vallen (artikel 2, lid 12).

• Geen maatstaven, drempels of normen voor fintech

  De verordening noemt geen nauwkeurigheidswaarde, foutpercentagelimiet, eerlijkheidsmaatstaf of technische norm voor kredietscoring of verzekeringsprijsstelling. Aanbieders stellen de maatstaven voor het testen vast (artikel 9, lid 8) en vermelden de niveaus en maatstaven van nauwkeurigheid in de gebruiksaanwijzing (artikel 15, lid 3). De verordening zelf noemt geen geharmoniseerde norm. AI-systemen met een hoog risico die in overeenstemming zijn met geharmoniseerde normen waarvan de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt, worden geacht in overeenstemming te zijn met de eisen van afdeling 2, voor zover die normen die eisen dekken (artikel 40, lid 1). AI-systemen die zijn getraind en getest op data die overeenkomen met de specifieke geografische, gedragsgerelateerde, contextuele of functionele omgeving waarin zij zullen worden gebruikt, worden geacht te voldoen aan artikel 10, lid 4 (artikel 42, lid 1). De Commissie ontwikkelt richtsnoeren over de praktische toepassing van de vereisten en verplichtingen in de artikelen 8 tot en met 15 en de artikelen 25 en 26 (artikel 96, lid 1, punt a)).

• Ander recht geldt naast de verordening

  Ander Unierecht en nationaal recht, zoals de AVG en het recht inzake financiële diensten, blijft van toepassing. Deze pagina beschrijft dat niet, en de verordening noemt geen specifieke wetgeving inzake financiële diensten.

• Voorbeeld: één inventaris van AI-systemen

  Voorbeeld, geen eis van de verordening: een kredietverstrekker of verzekeraar zou één inventaris van zijn AI-systemen kunnen bijhouden. Daarin zou per systeem de classificatie volgens bijlage III kunnen staan, de beoordeling op grond van artikel 6, lid 3, als hij zich daarop beroept, en of het bedrijf aanbieder of gebruiksverantwoordelijke is.

Elke pagina past één artikel toe op AI voor kredietscoring en verzekeringen.

• Artikel 9 voor fintech-AI: systeem voor risicobeheer

  Systeem voor risicobeheer voor AI voor kredietscoring en verzekeringen.

• Artikel 10 voor fintech-AI: data en datagovernance

  Datasets, beoordeling op vooringenomenheid en bijzondere categorieën persoonsgegevens.

• Artikel 12 voor fintech-AI: registratie en logs

  Automatische registratie en wie de logs bewaart.

• Artikel 13 voor fintech-AI: transparantie en gebruiksaanwijzing

  Gebruiksaanwijzing en de uitleg die aan getroffen personen verschuldigd is.

• Artikel 14 voor fintech-AI: menselijk toezicht

  Menselijk toezicht en wat de verordening niet vereist.

• Artikel 15 voor fintech-AI: nauwkeurigheid, robuustheid en cyberbeveiliging

  Nauwkeurigheid, robuustheid en cyberbeveiliging.

• Artikel 17 voor fintech-AI: kwaliteitsbeheersysteem

  Systeem voor kwaliteitsbeheer en de regel voor financiële instellingen.

• Artikel 26 in fintech: verplichtingen van gebruiksverantwoordelijken

  Verplichtingen van gebruiksverantwoordelijken: banken en verzekeraars.

• Artikel 50 voor fintech-AI: transparantie en bekendmaking

  Transparantieverplichtingen voor chatbots en gegenereerde inhoud.

• Artikel 53 in fintech: verplichtingen van aanbieders van AI-modellen voor algemene doeleinden

  Aanbieders van AI-modellen voor algemene doeleinden.

• Bijlage III uitgediept: alle 8 hoog-risico categorieën

  Punt 5 van bijlage III in de context van alle acht categorieën.

• Artikel 6: classificatie van hoogrisico-AI-systemen

  Hoe artikel 6 AI-systemen met een hoog risico classificeert, inclusief de uitzondering van artikel 6, lid 3.

• Artikel 27: effectbeoordeling grondrechten (FRIA)

  De effectbeoordeling die artikel 27, lid 1, vereist van gebruiksverantwoordelijken onder punt 5, b) en 5, c).