Een acceptant bij een verzekeraar krijgt van de leverancier van het acceptatiesysteem een update: een nieuwe functie sorteert aanvragen voor op risico. Diezelfde week laat een hypotheekadviseur in ChatGPT een adviesrapport begrijpelijker formuleren, met het inkomen en de gezinssituatie van de klant er nog in. Twee soorten AI, twee soorten vragen, en één organisatie die op allebei moet kunnen antwoorden.
Dat is de kern van AI-governance in deze sector: er zijn twee lagen. De ene is de AI in de processen zelf, waar je onder de AI-verordening moet bepalen of een toepassing een hoog risico heeft. De andere is het dagelijkse gebruik van algemene tools door adviseurs, acceptanten en schadebehandelaars, en daar gaan de vragen over tools, accounts en klantgegevens. De meeste organisaties besteden hun aandacht aan de eerste laag en hebben weinig zicht op de tweede. Een werkbare aanpak dekt allebei, en het inleidende stuk over AI-governance legt uit waarom dat begint bij zien wat er is.
Waar zit AI in het werk?
Bij een hypotheekverstrekker of verzekeraar is dat op meer plekken dan het jaarverslag vermeldt.
| Waar in het werk | Wat AI daar doet | Welke gegevens | Welke vraag hoort erbij |
|---|---|---|---|
| Aanvraag en intake | Aanvraagdossiers uitlezen, gespreksverslagen uitwerken | Inkomen, IBAN, BSN, gezinssituatie | Welke tool, welk account, en wat gaat er in de prompt |
| Acceptatie en prijsbepaling | Aanvragen voorsorteren, risico inschatten, premie of voorwaarden bepalen | Alles uit het dossier, soms gezondheidsgegevens | Is dit hoog risico onder de AI-verordening, en wie houdt toezicht |
| Schadeafhandeling | Claims samenvatten, documenten beoordelen, brieven opstellen | Kenteken, polis, bij letsel medische informatie | Welke gegevens mogen erin, en is de uitkomst een besluit over een persoon |
| Klantcontact | Chatbot op de site, antwoorden opstellen, mails samenvatten | Naam, dossier, de vraag van de klant | Weet de klant dat hij met AI praat, en wat plakt de medewerker |
| Backoffice en rapportage | Analyses, samenvattingen, code | Transactie- en portefeuillegegevens | Welk accounttype, en wat wordt er gedeeld |
De tweede rij is de laag waar het bestuur al over praat. De andere vier zijn de laag waar het meeste gebruik zit, en waar het vaakst niets is besloten.
Wanneer is een toepassing hoog risico?
De AI-verordening noemt in bijlage III, onder toegang tot diensten zoals krediet en verzekeringen, twee toepassingen die deze sector direct raken: systemen die de kredietwaardigheid van natuurlijke personen beoordelen of hun kredietscore bepalen, met een uitzondering voor fraudedetectie, en systemen voor risicobeoordeling en prijsbepaling bij levens- en ziektekostenverzekeringen. Hypotheekacceptatie beoordeelt in de kern kredietwaardigheid. Een systeem met dat doel valt in beginsel onder de lijst.
Daarbij horen twee kanttekeningen. Het criterium is het beoogde doel van het systeem zoals de aanbieder dat heeft vastgelegd, en of jouw organisatie het ook zo inzet; dat is een beoordeling per systeem. En artikel 6 lid 3 kent een smalle uitzondering voor systemen die de uitkomst van een besluit niet wezenlijk beïnvloeden, maar die geldt niet voor systemen die mensen profileren. Wat die uitzondering wel en niet dekt, lees je in het artikel over AI-toepassingen met een hoog risico. Een auto- of inboedelverzekering staat niet in de opsomming; een systeem dat schadeclaims beoordeelt, is daarmee niet automatisch een hoogrisicosysteem, maar het neemt wel besluiten over personen, en daarvoor geldt de AVG.
Wie zo'n systeem gebruikt, is onder de AI-verordening gebruiksverantwoordelijke. Vanaf 2 december 2027 hoort daar een lijst verplichtingen bij: het systeem gebruiken volgens de instructies van de aanbieder, menselijk toezicht beleggen bij mensen die kunnen ingrijpen, de werking in de gaten houden en betrokkenen informeren. De Digital Omnibus heeft die datum verschoven en hij kan opnieuw schuiven; wat er nu al geldt en wat later, lees je in het artikel over wat de AI-verordening voor werkgevers betekent. Dezelfde tool kan in de ene inzet een laag risico hebben en in een andere een hoog risico; hoe dat kan, lees je in een apart artikel.
Wat gebeurt er in het dagelijkse gebruik?
De tweede laag haalt de bestuurstafel zelden, terwijl daar het meeste gebruik zit. Een adviseur werkt een gespreksverslag uit in ChatGPT. Een schadebehandelaar laat een claim samenvatten. Dat valt meestal niet onder hoog risico in de zin van de wet. Wel heb je met drie andere kaders te maken.
De AVG, want in bijna elke prompt staat een klantgegeven, en in een gratis account zonder verwerkersovereenkomst is dat een datalek. Artikel 4 van de AI-verordening, dat sinds 2 februari 2025 vraagt om maatregelen voor AI-geletterdheid: medewerkers moeten weten wat wel en niet in een prompt hoort. En de zorgplicht en beheerste bedrijfsvoering waar de AFM en DNB naar kijken; zorgvuldige omgang met klantgegevens hoort daarbij, en een tool waarover niemand iets heeft besloten past daar niet in. Voor de chatbot op de site geldt sinds 2 augustus 2026 ook dat de klant moet weten dat hij met AI praat. Hoe dat samen uitpakt voor een organisatie onder toezicht, lees je in het artikel over AI bij financiële dienstverleners.
DORA voegt er een laag aan toe die vaak wordt vergeten: de AI-diensten die medewerkers gebruiken zijn ICT-diensten van derden. Een dienst die in gebruik is zonder dat iemand het weet, staat in geen enkel register.
Hoe ziet een werkbare aanpak eruit?
Het begint bij weten wat er is, in beide lagen. Voor de processen betekent dat: per systeem het beoogde doel dat de leverancier heeft vastgelegd, de gegevens die erin gaan, en een eigenaar. Voor het dagelijkse gebruik: welke tools worden er echt geopend, hoe vaak, en op welk account. Die tweede lijst is niet met een uitvraag te maken, want ze verandert elke maand. Beide horen in één AI-register, met een kolom die zegt of het een proces-AI of een gebruikstool is.
Dan een besluit per regel. Voor het acceptatiesysteem: hoog risico of niet, wie houdt toezicht, welke DPIA, en wat de leverancier moet aanleveren. Voor de tools: een van vier statussen, met bij "beperkt toegestaan" de voorwaarde in één zin en bij "niet toegestaan" het alternatief erbij. Alles begint op "nog geen besluit", en dat is een eerlijke tussenstand, geen tekortkoming.
Het besluit moet daarna de medewerker bereiken op het moment dat het ertoe doet, niet in een beleidsdocument. Stel dat een verzekeraar dit doorvoert. Na drie maanden heeft de acceptatie-AI een eigenaar en een DPIA, is Perplexity "beperkt toegestaan" zonder klantgegevens in de zoekvraag, en is het gratis ChatGPT-account "niet toegestaan" met Copilot als alternatief. Wat er niet gebeurt: niemand krijgt een tool afgesloten, en niemand wordt op zijn gebruik aangesproken. De sturing loopt via de cijfers: het aandeel gebruik via toegestane tools is de maatstaf, en tools zonder besluit waarvan het gebruik groeit, komen bovenaan de lijst voor de volgende beoordeling.
BeeSensible koppelt een catalogus van meer dan 1.000 AI-tools aan het gebruik dat in de organisatie wordt waargenomen, zonder gebruikers-id in de gebruiksgegevens. Een beheerder ziet in de Inbox welke tools nog geen besluit hebben en legt dat besluit vast; het besluit verschijnt in de browser op het moment dat iemand de tool opent, en de cijfers over wat er daarna gebeurt staan geaggregeerd in het dashboard. Het acceptatiesysteem van je leverancier ziet BeeSensible niet; dat komt via inkoop in het register.
