AI Act: wat moet je als compliance professional nu al regelen?

Als compliance professional werk je al in een omgeving met strikte toezichtvereisten van de AFM en DNB. De AI Act voegt daar een nieuwe verantwoordelijkheid aan toe: je moet niet alleen toetsen of processen voldoen aan financiële regelgeving, maar ook of de AI-systemen die daarin een rol spelen veilig, transparant en gedocumenteerd zijn. In deze blog lees je wat de verordening inhoudt, waarom ze direct relevant is voor jouw rol, en welke stappen je nu moet zetten.

Wat is de AI Act en waarom is deze relevant voor de financiële sector? 

De EU AI Act (officieel: EU AI-verordening 2024/1689) is de eerste brede Europese wet die regels stelt aan organisaties die AI-systemen ontwikkelen, aanbieden of gebruiken op de Europese markt. De verordening wil innovatie mogelijk maken én de risico's voor veiligheid, grondrechten en transparantie beperken. 

Voor de financiële sector is de AI Act extra relevant, omdat een aantal AI-toepassingen in deze sector als hoog risico worden aangemerkt. Denk aan systemen voor kredietwaardigheidsbeoordeling van natuurlijke personen en AI voor risicobeoordeling en prijsstelling bij levens- en zorgverzekeringen. Dit zijn precies de toepassingen die de financiële dienstverlening al ingrijpend veranderen. Fraudepreventie en -detectie vragen wel om zorgvuldige governance, maar vallen niet automatisch onder de hoogrisicocategorie. Ook de AFM en DNB besteden nadrukkelijk aandacht aan AI in de financiële sector en de toezichtvragen die daarbij ontstaan. Het toezicht is dus al actief. 

Welke risicocategorieën onderscheidt de AI Act? 

De AI Act werkt met vier risiconiveaus. De categorie bepaalt welke verplichtingen gelden. 

• Onaanvaardbaar risico: verboden toepassingen. Denk aan social scoring, manipulatie van gedrag of biometrische categorisering op basis van gevoelige kenmerken. Verboden sinds 2 februari 2025. 
• Hoog risico: toegestaan, maar met uitgebreide verplichtingen. Dit zijn systemen die directe invloed hebben op rechten of kansen van mensen. In de financiële sector vallen onder meer kredietwaardigheidsbeoordeling van natuurlijke personen en risicobeoordeling en prijsstelling bij levens- en zorgverzekeringen in deze categorie. Specifieke verplichtingen voor deze systemen gelden vanaf 2027 of 2028. 
• Beperkt risico: transparantieplicht per augustus 2026. Gebruikers moeten weten dat ze met AI te maken hebben. Een chatbot op je website valt hier al onder. 
• Minimaal risico: geen specifieke verplichtingen. Spamfilters en aanbevelingsalgoritmen zijn typische voorbeelden. 

Wat geldt er al nu? De verplichtingen die vandaag van kracht zijn 

Voor organisaties die AI-systemen aanbieden of gebruiken, zijn sinds februari 2025 in elk geval twee verplichtingen relevant. De eerste is de AI-geletterdheidsplicht (artikel 4 AI Act). Medewerkers die AI-systemen gebruiken of beheren, moeten begrijpen hoe die systemen werken, wat de beperkingen zijn en welke risico's eraan verbonden zijn. Het vereiste niveau hangt af van de functie en het type systeem: een medewerker die ChatGPT gebruikt voor interne notities heeft een andere kennisbehoefte dan een analist die AI inzet voor kredietbeoordeling. Zorg voor een register van wie wanneer getraind is, want toezichthouders kunnen hierom vragen. De AI Literacy – AI Act Compliance E-Learning is specifiek ontwikkeld om medewerkers snel en praktisch op het vereiste niveau te brengen. 

Daarnaast kunnen toezichthouders sinds augustus 2025 boetes opleggen voor overtredingen van de AI Act. Voor het inzetten van verboden AI-systemen loopt de maximale boete op tot € 35 miljoen of 7% van de wereldwijde jaaromzet. Voor non-compliant hoogrisicosystemen is dat tot € 15 miljoen of 3%. De hoogte hangt af van de overtreding, de rol van de organisatie en de toepasselijke verplichting. Voor mkb en start-ups gelden aangepaste maxima. 

Wat moet je als compliance professional nu al regelen? 

De eerste deadlines zijn al verstreken en de volgende staan al gepland. Documentatie, risicobeoordelingen en interne proceswijzigingen kosten tijd. Dit zijn de stappen die je nu zet. 

1. Maak een AI-inventarisatie. Breng in kaart welke AI-systemen je organisatie gebruikt. Noteer per systeem: naam, doel, leverancier en welke data het verwerkt, inclusief de tools die medewerkers zelfstandig inzetten, zoals generatieve AI-assistenten. 

2. Classificeer de risicocategorie. Bepaal voor elk systeem de categorie. Kredietwaardigheidsbeoordeling van natuurlijke personen en AI voor risicobeoordeling bij levens- en zorgverzekeringen zijn vrijwel zeker hoog risico. Leg de classificatie en de onderbouwing schriftelijk vast. 

3. Start met de AI-geletterdheidsplicht. Organiseer trainingen op maat voor de relevante medewerkers. Een basistraining van enkele uren volstaat als startpunt voor de meeste functies. Ons aanbod aan complianceopleidingen helpt je daarbij. Zorg voor een register van wie wanneer getraind is. 

4. Check op verboden toepassingen. Beoordeel of er systemen in gebruik zijn die vallen onder de categorie onaanvaardbaar risico. Zijn die er? Stop dan per direct met deze systemen. 

5. Bereid je voor op hoogrisicocompliance. Begin nu met de vereiste documentatie, risicobeheer en transparantiestructuren voor systemen in de hoog-risico categorie. Voor bepaalde deployers van hoog-risico AI-systemen is ook een Fundamentele Rechten Impact Assessment (FRIA) verplicht, bijvoorbeeld bij AI-systemen voor personeelsselectie of toegangsbeheer tot essentiële diensten. Via het segment AI-opleidingen vind je scholing die je voorbereidt op deze en andere AI-gerelateerde verplichtingen. 

De AI Act en jouw rol als compliance professional 

Als compliance professional ben je de interne toezichthouder die de balans bewaart tussen commerciële doelen en wet- en regelgeving. De AI Act voegt daar een concrete taak aan toe: beoordelen of AI-systemen veilig, gedocumenteerd en transparant worden ingezet. Dat vraagt om kennis van zowel de verordening als de systemen zelf. 

De Leergang Certified Compliance Officer (CCO) bij NIBE-SVV biedt diepgaande vakkennis over de compliancefunctie, inclusief actuele Europese wetgevingstrajecten zoals de AI Act. Voor wie al gecertificeerd is, houdt het programma Compliance Professional Permanent Vakbekwaam je kennis en DSI-registratie up-to-date. 

Wil je ontdekken welke opleiding het beste bij jouw carrièredoelen past? Neem vrijblijvend contact met ons op om jouw volgende stap te bespreken.