Kredietbeoordeling van natuurlijke personen is hoog-risico (Bijlage III punt 5b).
Voor AI-compliance in de financiële sector bepaalt dat onderscheid of u een compleet dossier opbouwt of alleen uw governance op orde houdt. Veel instellingen zetten beide modellen op dezelfde stapel. Dat kost onnodig werk aan de ene kant en levert een gat op aan de andere.
In het kort
- Kredietbeoordeling voor natuurlijke personen is hoog-risico onder Bijlage III punt 5.
- Het markttoezicht ligt bij de financiële toezichthouder (Art. 74 lid 6); het wetsvoorstel UAIV wijst de AFM en DNB aan. DORA en Solvency II stapelen op de AI Act.
- Neemt u een besluit op basis van een hoog-risicosysteem uit Bijlage III, zoals een kredietbeoordeling, dan heeft de klant recht op uitleg (Art. 86 AI Act). Volledig geautomatiseerde besluiten vallen daarnaast onder Art. 22 AVG.
- AI die financiële fraude opspoort, valt buiten Bijlage III punt 5 onder b: die uitzondering staat in dat punt zelf.
Kredietmodellen, premiestelling en de fraude-uitzondering
De AI Act kijkt naar het doel waarvoor een model bedoeld is, ook als een mens de beslissing neemt. Bijlage III punt 5 raakt de sector op twee plekken: de kredietwaardigheid van natuurlijke personen (onder b) en de risicobeoordeling en premiestelling bij levens- en ziektekostenverzekeringen van natuurlijke personen (onder c). Een zzp'er of eenmanszaak is ook een natuurlijk persoon. Modellen die uw eigen positie bewaken, blijven erbuiten.
Krediet en verzekering van personen (Bijlage III punt 5)
- Kredietwaardigheidsbeoordeling en credit scoring van natuurlijke personen, ook zzp'ers en eenmanszaken
- Geautomatiseerde acceptatie van hypotheken en consumptief krediet
- Risicobeoordeling en premiestelling bij levens- en ziektekostenverzekeringen van natuurlijke personen
Fraude, witwassen, handel en service
- Detectie van financiële fraude, uitgezonderd in Bijlage III punt 5 onder b zelf
- Transactiemonitoring en witwasdetectie onder de Wwft
- Algoritmische handel en portefeuille-optimalisatie
- Chatbots die klanten wegwijs maken in producten en voorwaarden
De fraude-uitzondering in Bijlage III punt 5 onder b is smaller dan hij lijkt. Hij geldt voor detectie van financiële fraude, niet voor elk model dat u intern een risicomodel noemt. Een systeem dat onder de vlag van fraudepreventie feitelijk bepaalt wie krediet krijgt, wordt beoordeeld op wat het doet.
Let ook op de andere kant. Scoort u klanten op sociaal gedrag en werkt die score door in een onverwante context, dan raakt u het verbod op sociale scoring. Dat verbod geldt voor private partijen net zo goed als voor de overheid (Artikel 5 lid 1 onder c).
Welke plichten al gelden en wanneer het kredietregime begint
De zware eisen liggen nog voor u. De governance-plichten die er al zijn, worden vaak onderschat omdat ze geen deadline met veel aandacht kregen.
- Sinds 2 februari 2025Artikel 4
AI-geletterdheid voor wie een kredietbesluit aan de klant uitlegt
Uw organisatie neemt maatregelen die de AI-geletterdheid ondersteunen van wie met een model werkt of het uitlegt aan een klant, afgestemd op die taak (Artikel 4 lid 1). Uw modelvalidatie-team heeft dit al; de eerste lijn vaak niet.
- Sinds 2 februari 2025Artikel 5
Geen sociale scoring, ook niet als private partij
Artikel 5 lid 1 onder c verbiedt scores op sociaal gedrag of persoonlijke kenmerken die leiden tot een nadelige behandeling buiten de context waarin de gegevens zijn verzameld, of tot een onevenredige behandeling. Het verbod is niet beperkt tot overheden (overweging 31).
- Sinds 2 augustus 2026Artikel 50
De servicechatbot van de bank
Uw servicechatbot vertelt de klant dat hij met een AI-systeem praat (Artikel 50, lid 1). Een klantbrief die een medewerker met AI opstelt, hoeft alleen een label als u de tekst publiceert om het publiek te informeren over aangelegenheden van algemeen belang (lid 4).
- VandaagVanaf 2 december 2027Bijlage III
Het kredietmodel voor natuurlijke personen vraagt een grondrechtentoets
Bouwt u het model zelf, dan bent u aanbieder en regelt u onder meer risicobeheer, technische documentatie en logging (Artikel 9, 11 en 12). Als gebruiksverantwoordelijke organiseert u menselijk toezicht, bewaart u de logs en voert u vóór ingebruikname een grondrechtentoets uit (Artikel 26 en 27). Die toets geldt hier voor elke gebruiksverantwoordelijke, ook een private bank (Artikel 27 lid 1).
Verschoven door de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026): Bijlage III van 2 augustus 2026 naar 2 december 2027. De datum voor de transparantieplicht van Artikel 50 is gelijk gebleven.
Kredietacceptatie onder toezicht
De AFM kondigde toezicht aan op geautomatiseerde kredietacceptatie. Kifid oordeelde al over een lening die automatisch werd afgewezen.
Autoriteit Financiële Markten (AFM)
De AFM kondigde in haar Agenda 2026 aan dat zij onderzoekt hoe data wordt gebruikt bij het verstrekken van krediet en geautomatiseerde kredietacceptatiesystemen controleert. Ook onderzoekt zij het gebruik van AI bij een partij in de kredietverleningsketen. De AFM vraagt instellingen hun AI-toepassingen in kaart te brengen en hun modelrisicobeheer en datakwaliteit te versterken.
Kifid: automatische afwijzing van een lening was onzorgvuldig
In tussenuitspraak GC 2021-0907A oordeelde de Geschillencommissie van Kifid over een energiebespaarlening die automatisch was afgewezen vanwege het type verblijfsvergunning van een van de aanvragers. Een laagdrempelig geautomatiseerd systeem is volgens de commissie acceptabel. Valt een aanvraag buiten de beslisboom van dat systeem, dan hoort er een aparte inhoudelijke beoordeling plaats te vinden. Een aanvraag alleen automatisch afwijzen vanwege het type verblijfsvergunning was onzorgvuldig. De commissie oordeelde ook dat de geldverstrekker indirect had gediscrimineerd op basis van nationaliteit. Het systeem was een beslisboom. Voor een kredietmodel met AI geldt dezelfde les: menselijk toezicht betekent dat iemand de afwijkende aanvraag echt beoordeelt.
In cijfers
6%
van de ondervraagden heeft een goed beeld van de mate waarin hun bank AI gebruikt. Voor de eigen verzekeraar is dat 5%. Dat blijkt uit een enquête die DNB in 2023 liet uitvoeren onder ruim 2200 respondenten (gepubliceerd 9 april 2024). Beslist een hoog-risicosysteem mee over een kredietaanvraag, dan informeert u de aanvrager dat het systeem op hem wordt toegepast (Artikel 26 lid 11, vanaf 2 december 2027).
Bronnen
Wat dit naast uw bestaande kaders betekent
Financiële instellingen zijn het meest gereguleerde deel van het bedrijfsleven, dus de reflex is begrijpelijk: nog een kader erbij. Maar de meeste eisen van de AI Act kent u al. Model risk management, validatie door een onafhankelijke tweede lijn, uitlegbaarheid richting de klant en documentatie van aannames: dat is uw dagelijkse werk.
Het verschil zit in de scope en in het bewijs. Uw modelraamwerk dekt doorgaans de modellen die kapitaal of prijs bepalen. De AI Act kijkt naar elk systeem dat een besluit over een persoon beïnvloedt, inclusief het model dat een leverancier meelevert in een pakket. Die tweede categorie staat zelden in uw modelregister.
De grondrechtentoets uit Artikel 27 is het punt dat het vaakst wordt gemist. Bij kredietwaardigheidsbeoordeling geldt die voor iedere gebruiksverantwoordelijke, dus ook voor een gewone kredietverstrekker zonder publieke taak. Wie denkt dat de toets alleen voor overheden geldt, heeft een gat in het dossier.
Bij financiële instellingen ligt het markttoezicht op hoog-risico-AI bij de financiële toezichthouder (Artikel 74 lid 6); het wetsvoorstel voor de Uitvoeringswet AI-verordening wijst daarvoor de AFM en DNB aan. De Autoriteit Persoonsgegevens houdt toezicht op de AVG zodra er persoonsgegevens in het spel zijn. DORA en Solvency II blijven onverkort gelden. Hang de AI-documentatie dus aan uw ORSA en uw model risk-cyclus, in plaats van er een apart traject van te maken. Discriminatietoetsing hoort daar expliciet in, inclusief proxy-variabelen zoals postcode.
Uw modelregister in het platform
U registreert uw modellen inclusief de AI die met ingekochte software meekomt. Het platform scheidt de Bijlage III-modellen van de uitgezonderde en toont per systeem de taken met hun datum. Grondrechtentoets en AI-beleid maakt u er direct uit aan, in de termen van uw DNB- en AFM-documentatie.
Veelgestelde vragen over AI-compliance in de financiële sector
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Ja. Bijlage III punt 5 onder b wijst systemen aan die de kredietwaardigheid van natuurlijke personen beoordelen of hun kredietscore bepalen. Het volledige regime gaat in op 2 december 2027. Zakelijke kredietbeoordeling van rechtspersonen valt er niet onder.
Nee, niet onder punt 5 onder b. Die bepaling zondert AI-systemen die financiële fraude opsporen zelf uit; overweging 58 licht dat toe. De AVG blijft wel gelden, met name Artikel 22 over geautomatiseerde besluitvorming. Let op twee grenzen. Een model dat onder de noemer fraude feitelijk over kredietverlening beslist, wordt beoordeeld op wat het doet. En gebruikt het systeem emotieherkenning, bijvoorbeeld stemanalyse bij een schademelding, dan kan het via Bijlage III punt 1 onder c alsnog hoog-risico zijn.
Nee. Advies- en servicechatbots staan niet in Bijlage III, hoe persoonlijk het advies ook is. Wel geldt de transparantieplicht van Artikel 50 sinds 2 augustus 2026, plus de gewone zorgplicht- en informatieregels uit de Wft en MiFID II. Beslist de chatbot zelf over krediet, dan gaat het om het onderliggende kredietmodel.
Ja. Artikel 27 lid 1 verplicht de grondrechtentoets voor elke gebruiksverantwoordelijke van een systeem uit punt 5 onder b, ongeacht of u een publieke taak heeft. Dat wordt vaak gemist, omdat de toets bij overheden de meeste aandacht kreeg.
Ze stapelen. DORA gaat over digitale weerbaarheid, Solvency II over kapitaal en modelbeheer, de AI Act over het AI-systeem zelf. De documentatie overlapt aanzienlijk. Hang uw AI-dossier aan de bestaande model risk-cyclus en de ORSA in plaats van een los traject op te tuigen.
Kredietmodel of fraudemodel?
De gratis risicoscan geeft een eerste inschatting van de hoogste risicocategorie in uw AI-gebruik, met de plichten die erbij horen.