AI bij financiële instellingen: DORA, uitbesteding en de AI Act

DORA in het kort, voor AI

De Digital Operational Resilience Act (Verordening (EU) 2022/2554) is sinds 17 januari 2025 van toepassing op banken, verzekeraars, beleggingsinstellingen, betaalinstellingen en andere financiële entiteiten. DORA regelt hoe zij ICT-risico’s beheersen, ook als die bij een derde partij liggen.

Een AI-dienst is ICT. Gebruikt uw organisatie een externe AI-leverancier, dan gelden onder meer:

• Het register van informatie: alle contractuele afspraken met ICT-dienstverleners, inclusief de AI-leverancier en diens belangrijke onderaannemers.
• Contractuele eisen (artikel 30): onder meer de locatie van de gegevensverwerking, toegang, audit- en inspectierechten, beschikbaarheid en de medewerking bij beëindiging.
• Een exitstrategie (artikel 28): u moet kunnen overstappen of terugnemen zonder dat uw bedrijfsvoering of uw klanten daaronder lijden.
• Concentratierisico: wat als veel van uw ICT bij dezelfde paar grote partijen ligt?

Ondersteunt de AI-dienst een kritieke of belangrijke functie, dan worden de eisen zwaarder.

Het exitprobleem van gesloten AI-modellen

Bij een gesloten AI-model van een grote leverancier is een exitstrategie lastig. U kunt het model niet meenemen; het bestaat alleen bij de leverancier. Automatiseringen, prompts en werkprocessen zijn afgestemd op dat model. Verandert de leverancier de voorwaarden, de prijs of het model zelf, dan hebt u weinig keuze.

Met open-weight modellen ligt dat anders. De gewichten zijn gepubliceerd; u kunt hetzelfde model op andere hardware of bij een andere partij draaien. Uw automatiseringen blijven werken. Dat maakt een exitstrategie concreet in plaats van theoretisch.

De AI Act: kredietbeoordeling en verzekeringen zijn hoog-risico

De AI Act noemt twee financiële toepassingen expliciet hoog-risico: AI om de kredietwaardigheid van personen te beoordelen of hun kredietscore vast te stellen (met een uitzondering voor fraudedetectie), en AI voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen. Voor die toepassingen gelden na de Digital Omnibus vanaf 2 december 2027 strenge eisen aan documentatie, logging, datakwaliteit en menselijk toezicht. Zie AI Act in 2026.

Voor de meeste interne toepassingen, zoals samenvatten, zoeken in beleid en rapportages voorbereiden, gelden die zware eisen niet. Wel de AVG, de beroepsregels over geheimhouding, en DORA.

Waar AI in finance waarde toevoegt

• klantdossiers samenvatten voor een adviesgesprek of een periodieke review;
• informatie verzamelen en structureren voor cliëntenonderzoek (Wwft), waarbij de beoordeling bij uw medewerkers blijft;
• zoeken en antwoorden in interne procedures, productvoorwaarden en regelgeving;
• conceptrapportages en toelichtingen voorbereiden;
• klachten en klantvragen classificeren en routeren.

Een ICT-keten die u kunt uitleggen

Een toezichthouder wil weten wie er in de verwerking van uw klantgegevens zit, waar, en wat u doet als die partij wegvalt. Hoe korter die keten, hoe eenvoudiger het antwoord.

Met werqly draait AI op een dedicated node in uw serverruimte, met open-weight modellen. In eigen beheer is werqly vooral softwareleverancier. Kiest u werqly Cloud of werqly Pro beheer, dan is werqly een ICT-dienstverlener in uw DORA-register, en de exit hangt niet af van één modelleverancier. Safeguards blokkeren IBAN’s, klantnummers en andere patronen per rol, en de audit log legt vast wie wat deed. Meer daarover staat op AI voor financiële instellingen.