Dat onderscheid bepaalt of u een compleet compliance-dossier moet opbouwen of alleen uw governance op orde houdt. Veel instellingen zetten beide modellen op dezelfde stapel. Dat kost onnodig werk aan de ene kant en levert een gat op aan de andere.
De AI Act kijkt naar wat een model beslist over een natuurlijk persoon. Bijlage III punt 5 raakt de sector op twee plekken: kredietwaardigheid van consumenten en de risicobeoordeling en premiestelling van levens- en ziektekostenverzekeringen. Modellen die uw eigen positie bewaken, blijven erbuiten.
De fraude-uitzondering is smaller dan hij lijkt. Hij geldt voor detectie van financiële fraude, niet voor elk model dat u intern een risicomodel noemt. Een systeem dat onder de vlag van fraudepreventie feitelijk bepaalt wie krediet krijgt, wordt beoordeeld op wat het doet.
Let ook op de andere kant. Scoort u klanten op sociaal gedrag en werkt die score door in een onverwante context, dan raakt u het verbod op sociale scoring. Dat verbod geldt voor private partijen net zo goed als voor de overheid (Artikel 5 lid 1 onder c).
De zware eisen liggen nog voor u. De governance-plichten die er al zijn, worden vaak onderschat omdat ze geen deadline met veel aandacht kregen.
Wie met een model werkt of het uitlegt aan een klant, moet weten wat het meeweegt en waar het faalt. Uw modelvalidatie-team heeft dit al; de eerste lijn vaak niet.
Een score op sociaal gedrag die doorwerkt in een onverwante context is verboden. Het verbod is niet beperkt tot overheden (overweging 31).
Uw servicechatbot maakt zichzelf bekend. Dat geldt ook voor volledig AI-geschreven klantcorrespondentie.
Risicobeheer, technische documentatie, menselijk toezicht, logbestanden en een grondrechtentoets. Die toets geldt hier voor élke gebruiksverantwoordelijke, ook een private bank (Artikel 27 lid 1).
Deze datum is verschoven door het Digital Omnibus-pakket, dat op 27 juli 2026 in werking trad als Verordening (EU) 2026/1744. Bijlage III ging van 2 augustus 2026 naar 2 december 2027. De transparantieplicht van Artikel 50 schoof niet mee.
Financiële instellingen zijn het meest gereguleerde deel van het bedrijfsleven, dus de reflex is begrijpelijk: nog een kader erbij. Maar de AI Act stelt weinig eisen die u niet herkent. Model risk management, validatie door een onafhankelijke tweede lijn, uitlegbaarheid richting de klant en documentatie van aannames: dat is uw dagelijkse werk.
Het verschil zit in de scope en in het bewijs. Uw modelraamwerk dekt doorgaans de modellen die kapitaal of prijs bepalen. De AI Act kijkt naar elk systeem dat een besluit over een persoon beïnvloedt, inclusief het model dat een leverancier meelevert in een pakket. Die tweede categorie staat zelden in uw modelregister.
De grondrechtentoets uit Artikel 27 is het punt dat het vaakst wordt gemist. Bij kredietwaardigheidsbeoordeling geldt die voor iedere gebruiksverantwoordelijke, dus ook voor een gewone kredietverstrekker zonder publieke taak. Wie denkt dat de toets alleen voor overheden geldt, heeft een gat in het dossier.
Toezicht komt van DNB en de AFM, met de Autoriteit Persoonsgegevens erbij zodra het om profilering gaat. DORA en Solvency II blijven onverkort gelden. Praktisch betekent dat: hang de AI-documentatie aan uw ORSA en uw model risk-cyclus, in plaats van er een apart traject van te maken. Discriminatietoetsing hoort daar expliciet in, inclusief proxy-variabelen zoals postcode.
U registreert uw modellen inclusief de AI die met ingekochte software meekomt. Het platform scheidt de Bijlage III-modellen van de uitgezonderde en zet per systeem de taken klaar met een datum. De grondrechtentoets en het AI-beleid genereert u eruit, in taal die naast uw DNB- en AFM-documentatie past.
De gratis risicoscan laat in vijf minuten zien welke van uw modellen Bijlage III raken en welke onder de uitzondering vallen.
