Is de AI die een accountant gebruikt hoog-risico onder de EU AI Act? Het korte antwoord: vrijwel nooit. AI in de controle-, samenstel- en adviespraktijk valt in de regel buiten het hoog-risicoregime van de AI Act. De verplichtingen die er wél toe doen, draaien om vertrouwelijkheid en AI-geletterdheid, niet om de zware Bijlage III-plichten.
Toch leeft het misverstand hardnekkig dat de financiële sector of accountancy automatisch hoog-risico zou zijn. Dat klopt niet. Het onderscheid is belangrijk. Een vals hoog-risico-alarm kost een kantoor onnodig werk. Een gemiste échte hoog-risico-toepassing is een aansprakelijkheidsrisico. Dit artikel laat zien hoe u het verschil bepaalt.
Risico volgt het systeem, niet de sector
De AI Act classificeert op wat een AI-systeem doet, niet op de branche waarin uw organisatie werkt. Artikel 6 bepaalt samen met Bijlage III welke toepassingen hoog-risico zijn. Accountancy of financiële sector staat daar nergens als categorie. Beslissend is het beoogde doel van het concrete systeem. De algemene uitleg van die classificatie staat in een hoog-risico AI-systeem classificeren; hier kijken we specifiek naar de accountantspraktijk.
Dat betekent dat twee kantoren van dezelfde omvang een heel verschillend risicoprofiel kunnen hebben, afhankelijk van waarvoor ze AI inzetten. De toepassing bepaalt de lat, de sector niet.
Waarom audit-analytics en fraudedetectie geen hoog-risico zijn
Twee toepassingen die veel kantoren gebruiken, roepen de meeste vragen op: data-analyse over hele populaties en het opsporen van afwijkingen of fraude. Beide zijn in de regel niet hoog-risico. Daar zit een specifieke reden achter.
Fraudedetectie zit niet in de lijstDe enige plek waar Bijlage III fraudedetectie noemt, is punt 5b: kredietwaardigheid en kredietscore van natuurlijke personen, "met uitzondering van AI-systemen die gebruikt worden om financiële fraude op te sporen". Overweging 58 licht dat toe. Anomaliedetectie in een controle heeft die uitzondering niet eens nodig, want ze beoordeelt geen kredietwaardigheid. De jaarrekeningcontrole staat ook nergens anders in Bijlage III: de acht gebruiksgebieden gaan onder meer over werving, onderwijs, essentiële diensten en rechtshandhaving.
Audit-analytics is een hulpmiddel, geen besluitData-analyse die de accountant ondersteunt bij zijn oordeel, neemt geen geautomatiseerd besluit over een natuurlijke persoon. Het is gereedschap in handen van de professional.
Let op één veelgemaakte verwarring. Kredietscoring en de beoordeling van kredietwaardigheid van natuurlijke personen zijn wél hoog-risico (Bijlage III, punt 5b). Maar die plichten liggen bij de aanbieder van het systeem (Artikel 16) en bij de kredietverstrekker die het inzet (Artikel 26), niet bij de accountant die de jaarrekening van die verstrekker controleert. Het onderscheid is de rol, niet de nabijheid tot het onderwerp.
Wat betekent dit per praktijk
Controle
Audit-analytics, journaalpost-analyse en fraudedetectie zijn hulpmiddelen voor de accountant. In de regel geen hoog-risico. Heeft uw kantoor een Wta-vergunning, dan verwacht de AFM bij wettelijke controles beheerst gebruik van audit-tooling (rapport van december 2025).
Samenstel en administratie
Factuurherkenning, boekingssuggesties en tekstgeneratie in pakketten als Exact, Twinfield of AFAS zijn productiviteitstools. Minimaal of beperkt risico.
Advies en fiscaal
Generatieve AI voor concepten, memo's en onderzoek is beperkt risico. Voor een met AI opgesteld advies of memo geldt de transparantieplicht uit [Artikel 50](/ai-verordening/artikel-50) niet; die raakt u bij een chatbot richting klanten of bij deepfakes.
Wanneer accountancy-AI tóch hoog-risico wordt
Het tegengif hoort erbij, anders ontstaat een vals gevoel van veiligheid. Uw kantoor kan wél in het hoog-risicoregime belanden, door hoe u AI in uw eigen organisatie inzet.
Gebruikt u AI om sollicitaties te filteren of kandidaten te beoordelen, dan is dat hoog-risico onder Bijlage III, punt 4a. Zet u AI in om prestaties van uw eigen mensen te monitoren of om over bevordering of beëindiging te beslissen, dan is punt 4b uw vindplaats. Bouwt u zelf een tool die de kredietwaardigheid van natuurlijke personen scoort, bijvoorbeeld als dienst aan klanten, dan bent u aanbieder van een hoog-risico-systeem. De toepassing bepaalt het, niet de vraag of u een accountantskantoor bent.
Wat wél altijd geldt
Dat AI in de accountancy zelden hoog-risico is, betekent niet dat de AI Act u met rust laat. Twee verplichtingen staan los van die classificatie en gelden nu al: AI-geletterdheid voor elk kantoor dat AI gebruikt, transparantie zodra u een chatbot of deepfakes inzet.
AI-geletterdheid ([Artikel 4](/ai-verordening/artikel-4))Sinds 2 februari 2025 neemt u maatregelen om de AI-geletterdheid te ondersteunen van uw personeel en van anderen die namens u met AI-systemen werken. Dit is een organisatieplicht, waarbij u rekening houdt met kennis, ervaring en de context waarin iemand AI gebruikt. De Digital Omnibus heeft deze datum niet uitgesteld. Voor accountants sluit het aan op het PE-ontwikkelthema AI van de NBA. Meer hierover in AI-geletterdheid onder de AI Act.
Transparantie (Artikel 50)Sinds 2 augustus 2026 moet een chatbot richting klanten melden dat het AI is (lid 1). Die plicht ligt bij de aanbieder van de chatbot. Deepfakes maakt u zelf bekend (lid 4). Een met AI opgestelde rapportage of cliëntbrief valt er niet onder. Ook deze datum is niet verschoven.
Het echte kernrisico zit elders: cliëntvertrouwelijkheid. De geheimhoudingsplicht uit artikel 16 VGBA botst met het invoeren van cliëntdata in ongecontroleerde AI-tools. Bij een wettelijke controle geldt daarnaast artikel 26 Wta. Die vraag behandelen we apart in AI en het beroepsgeheim van de accountant.
Naast de AI Act hoort AI ook in het kwaliteitssysteem dat de NVKM vraagt. Kantoren zonder vergunning moeten er uiterlijk vanaf 1 januari 2027 aan voldoen (artikel 6 NVKM). Een AI-tool die u bij opdrachten gebruikt, valt daar onder de technologische middelen uit SKM1, paragraaf 32, onder f. Wat dat in uw risicomatrix betekent, leest u in AI in uw NVKM-kwaliteitssysteem.
Veelgestelde vragen
Is een accountantskantoor een hoog-risico sector onder de AI Act?
Nee. De AI Act kent geen hoog-risico sectoren, alleen hoog-risico toepassingen (Artikel 6 plus Bijlage III). AI in de controle-, samenstel- en adviespraktijk is in de regel niet hoog-risico. Alleen specifieke toepassingen, zoals AI voor werving binnen uw eigen kantoor, kunnen dat wel zijn.
Is fraudedetectie met AI hoog-risico?
Nee, niet in een controle. Anomaliedetectie beoordeelt geen kredietwaardigheid van personen. Ook de andere gebruiksgebieden van Bijlage III, zoals werving en rechtshandhaving, gaan over iets anders dan de jaarrekeningcontrole. De fraude-uitzondering in punt 5b, toegelicht in overweging 58, hoort bij kredietscoring en heeft u hier dus niet nodig.
Mag ik AI gebruiken voor de jaarrekeningcontrole?
Ja, mits beheerst. De AI Act staat het toe en de meeste toepassingen zijn geen hoog-risico. Wel geldt de geheimhoudingsplicht rond cliëntdata (artikel 16 VGBA). Bij een wettelijke controle door een kantoor met Wta-vergunning komen daar de AFM-verwachtingen voor beheerst gebruik van audit-tooling bij.
Moet ik mijn AI-tools registreren als accountant?
Nee, niet als kantoor dat AI-tools van een leverancier gebruikt. Registratie in de EU-databank (Artikel 49) rust op aanbieders van hoog-risico-systemen uit Bijlage III. Dat geldt ook voor een aanbieder die met Artikel 6 lid 3 concludeert dat zijn systeem geen hoog risico is. Daarnaast registreren overheidsinstanties die hoog-risico-AI gebruiken. Toch is een intern AI-register verstandig: het is de basis om AI-geletterdheid, beleid en toezicht aantoonbaar te maken. Blijkt één toepassing wél hoog-risico, dan begint u daar met de plichten uit Artikel 26.
De toepassing bepaalt de lat
Voor de meeste accountancy-AI is de AI Act minder zwaar dan gevreesd. Beoordeel elke toepassing op wat ze doet, niet op het feit dat u in de financiële hoek werkt. Zo voorkomt u zowel onnodig werk als een gemist risico.
De gratis Risicoscanner bepaalt per AI-systeem in welke categorie u valt en welke verplichtingen daaraan vastzitten. In vijf minuten weet u waar u staat.