Dat onderscheid bepaalt of u een compleet compliance-dossier moet opbouwen of alleen uw governance op orde houdt. Veel instellingen zetten beide modellen op dezelfde stapel. Dat kost onnodig werk aan de ene kant en levert een gat op aan de andere.
De AI Act kijkt naar wat een model beslist over een natuurlijk persoon. Bijlage III punt 5 raakt de sector op twee plekken: kredietwaardigheid van consumenten en de risicobeoordeling en premiestelling van levens- en ziektekostenverzekeringen. Modellen die uw eigen positie bewaken, blijven erbuiten.
De fraude-uitzondering is smaller dan hij lijkt. Hij geldt voor detectie van financiële fraude, niet voor elk model dat u intern een risicomodel noemt. Een systeem dat onder de vlag van fraudepreventie feitelijk bepaalt wie krediet krijgt, wordt beoordeeld op wat het doet.
Let ook op de andere kant. Scoort u klanten op sociaal gedrag en werkt die score door in een onverwante context, dan raakt u het verbod op sociale scoring. Dat verbod geldt voor private partijen net zo goed als voor de overheid (Artikel 5 lid 1 onder c).
De zware eisen liggen nog voor u. De governance-plichten die er al zijn, worden vaak onderschat omdat ze geen deadline met veel aandacht kregen.
Wie met een model werkt of het uitlegt aan een klant, moet weten wat het meeweegt en waar het faalt. Uw modelvalidatie-team heeft dit al; de eerste lijn vaak niet.
Een score op sociaal gedrag die doorwerkt in een onverwante context is verboden. Het verbod is niet beperkt tot overheden (overweging 31).
Uw servicechatbot maakt zichzelf bekend. Dat geldt ook voor volledig AI-geschreven klantcorrespondentie.
Risicobeheer, technische documentatie, menselijk toezicht, logbestanden en een grondrechtentoets. Die toets geldt hier voor élke gebruiksverantwoordelijke, ook een private bank (Artikel 27 lid 1).
Deze datum is verschoven door het Digital Omnibus-pakket, dat op 27 juli 2026 in werking trad als Verordening (EU) 2026/1744. Bijlage III ging van 2 augustus 2026 naar 2 december 2027. De transparantieplicht van Artikel 50 schoof niet mee.
Financiële instellingen zijn het meest gereguleerde deel van het bedrijfsleven, dus de reflex is begrijpelijk: nog een kader erbij. Maar de AI Act stelt weinig eisen die u niet herkent. Model risk management, validatie door een onafhankelijke tweede lijn, uitlegbaarheid richting de klant en documentatie van aannames: dat is uw dagelijkse werk.
Het verschil zit in de scope en in het bewijs. Uw modelraamwerk dekt doorgaans de modellen die kapitaal of prijs bepalen. De AI Act kijkt naar elk systeem dat een besluit over een persoon beïnvloedt, inclusief het model dat een leverancier meelevert in een pakket. Die tweede categorie staat zelden in uw modelregister.
De grondrechtentoets uit Artikel 27 is het punt dat het vaakst wordt gemist. Bij kredietwaardigheidsbeoordeling geldt die voor iedere gebruiksverantwoordelijke, dus ook voor een gewone kredietverstrekker zonder publieke taak. Wie denkt dat de toets alleen voor overheden geldt, heeft een gat in het dossier.
Toezicht komt van DNB en de AFM, met de Autoriteit Persoonsgegevens erbij zodra het om profilering gaat. DORA en Solvency II blijven onverkort gelden. Praktisch betekent dat: hang de AI-documentatie aan uw ORSA en uw model risk-cyclus, in plaats van er een apart traject van te maken. Discriminatietoetsing hoort daar expliciet in, inclusief proxy-variabelen zoals postcode.
U registreert uw modellen inclusief de AI die met ingekochte software meekomt. Het platform scheidt de Bijlage III-modellen van de uitgezonderde en zet per systeem de taken klaar met een datum. De grondrechtentoets en het AI-beleid genereert u eruit, in taal die naast uw DNB- en AFM-documentatie past.
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Ja. Bijlage III punt 5 onder b wijst systemen aan die de kredietwaardigheid van natuurlijke personen beoordelen of hun kredietscore bepalen. Het volledige regime gaat in op 2 december 2027. Zakelijke kredietbeoordeling van rechtspersonen valt er niet onder.
Nee. Overweging 58 zondert detectie van financiële fraude expliciet uit van punt 5 onder b. De AVG blijft wel gelden, met name Artikel 22 over geautomatiseerde besluitvorming. Let op de grens: een model dat onder de noemer fraude feitelijk over kredietverlening beslist, wordt beoordeeld op wat het doet.
Nee. Advies- en servicechatbots staan niet in Bijlage III, hoe persoonlijk het advies ook is. Wel geldt de transparantieplicht van Artikel 50 sinds 2 augustus 2026, plus de gewone zorgplicht- en informatieregels uit de Wft en MiFID II. Beslist de chatbot zelf over krediet, dan gaat het om het onderliggende kredietmodel.
Ja. Artikel 27 lid 1 verplicht de grondrechtentoets voor elke gebruiksverantwoordelijke van een systeem uit punt 5 onder b, ongeacht of u een publieke taak heeft. Dat is een veelgemaakte misvatting: de toets is niet beperkt tot overheden.
Ze stapelen. DORA gaat over digitale weerbaarheid, Solvency II over kapitaal en modelbeheer, de AI Act over het AI-systeem zelf. De documentatie overlapt aanzienlijk. Hang uw AI-dossier aan de bestaande model risk-cyclus en de ORSA in plaats van een los traject op te tuigen.
De gratis risicoscan laat in vijf minuten zien welke van uw modellen Bijlage III raken en welke onder de uitzondering vallen.
