Een compliance officer bij een schadeverzekeraar krijgt de sectorbrede uitvraag van DNB, met een blok vragen over AI. De lijst die ze kan invullen, gaat over de modellen: fraudedetectie, schadeschatting, een prijsmodel dat de actuariële afdeling heeft gebouwd. Op dezelfde gang plakt een schadebehandelaar een brief van een advocaat in ChatGPT, met naam, polisnummer en een letselbeschrijving erin, om er een samenvatting van te krijgen.
Allebei zijn het AI-toepassingen bij een verzekeraar onder toezicht. Alleen de eerste staat in de uitvraag.
#Wat DNB en AFM van verzekeraars verwachten
De kern past in een paar zinnen. AFM en DNB schreven al in hun gezamenlijke rapport van april 2024 (gecontroleerd op 9 november 2026) dat bestaande regelgeving onverkort geldt als een financiële instelling AI gebruikt. Er is dus geen apart AI-regime nodig om de toezichthouder vragen te laten stellen: beheerste bedrijfsvoering, risicobeheer en zorgvuldige omgang met klantgegevens gelden ook voor een model of een chatbot.
Wat ze daarbij concreet verwachten, staat in drie recente publicaties:
- DNB, januari 2026: leg vast waarom en hoe een AI-toepassing in gebruik gaat, zodat de keuzes herleidbaar zijn, en blijf daarna controleren of de toepassing nog doet waarvoor ze bedoeld is.
- AFM, Agenda 2026: breng je AI-toepassingen in kaart, versterk modelrisicobeheer en datakwaliteit, leg beslislogica vast en meld incidenten actief.
- EIOPA, augustus 2025: Solvency II en de IDD gelden voor alle AI zonder hoog risico, met aandacht voor datagovernance, vastlegging, eerlijkheid, cyberbeveiliging, uitlegbaarheid en menselijk toezicht.
Geen van de drie maakt een uitzondering voor algemene tools die medewerkers zelf openen. Daar ontstaat het gat uit de eerste alinea.
#Wat DNB bij verzekeraars aantrof
DNB onderzoekt het AI-gebruik in de sector met een sectorbrede uitvraag en vervolgonderzoek bij enkele verzekeraars. In Verzekeraars en AI: DNB deelt nieuwste inzichten (gecontroleerd op 9 november 2026) staan de uitkomsten over 2025. Bijna 80 procent van de grote en middelgrote verzekeraars had begin 2025 een of meer AI-toepassingen in gebruik, tegen 21 procent van de kleinere. Een groot deel van de toepassingen hebben de verzekeraars zelf ontwikkeld; ongeveer 21 procent komt van derden. Iets meer dan 70 procent van de verzekeraars houdt bij de inrichting van AI-governance rekening met de principes van EIOPA.
Het vervolgonderzoek liet zien waar het misgaat. Uitgevoerde stappen, genomen besluiten en betrokken partijen waren niet altijd volledig vastgelegd. En er waren niet altijd genoeg waarborgen om een toepassing na ingebruikname te blijven volgen. Daaruit komen de twee verwachtingen van DNB: vastleggen voordat het live gaat, en monitoren daarna. DNB vraagt in 2026 opnieuw informatie uit bij de hele sector en kan in de tweede helft van het jaar dieper onderzoek doen.
Een jaar eerder, in AI bij verzekeraars: kansen en risico's (gecontroleerd op 9 november 2026), schreef DNB al twee dingen die voor het dagelijkse gebruik tellen. AI-systemen die onder de AI-verordening geen hoog risico hebben, vragen ook beheersing en aandacht van de verzekeraar. En dat geldt ook voor AI-systemen die externe partijen leveren.
#De AFM wil een overzicht van alle AI-toepassingen
De AFM kijkt vanuit het gedragstoezicht: wat betekent AI voor de klant? In de Agenda 2026 (gecontroleerd op 9 november 2026) noemt de AFM ondoorzichtige algoritmes, bias en misleidende informatie als risico's voor consumenten en markten. Het doel van het uitgebreidere toezicht is dat AI-gebruik beter uitlegbaar en controleerbaar wordt.
De vier vragen aan instellingen zijn praktisch: breng je AI-toepassingen in kaart, versterk modelrisicobeheer en datakwaliteit, leg beslislogica vast en meld incidenten actief. De eerste is de basis voor de andere drie. Een incident kun je alleen melden als je weet dat de tool in gebruik is, en beslislogica kun je alleen vastleggen voor een toepassing waarvan je weet dat ze er is.
#EIOPA legt de regels die er al zijn uit voor AI
De Europese toezichthouder EIOPA publiceerde op 6 augustus 2025 een opinie over AI-governance en risicobeheer (Engelstalig, gecontroleerd op 9 november 2026). Die is gericht aan de nationale toezichthouders, zoals DNB, en legt uit hoe ze de bestaande sectorregels moeten lezen als een verzekeraar AI gebruikt. Nieuwe eisen stelt de opinie niet.
Wat de opinie interessant maakt, is wat erbuiten valt: AI-systemen die onder de AI-verordening hoog risico of verboden zijn. Daarvoor geldt de AI-verordening zelf. De opinie gaat dus over al het andere, en dat is het grootste deel van het AI-gebruik bij een verzekeraar. EIOPA vraagt daarvoor een aanpak die meeschaalt met het risico, met aandacht voor datagovernance, vastlegging, eerlijkheid, cyberbeveiliging, uitlegbaarheid en menselijk toezicht.
Een schadebehandelaar die een brief laat samenvatten, gebruikt geen hoogrisicosysteem. Dat betekent niet dat de sectorregels niet gelden. Het betekent dat ze via Solvency II en de IDD gelden, in de mate die past bij het risico.
#Waar de AI-verordening bij verzekeraars bovenop komt
De AI-verordening noemt in bijlage III risicobeoordeling en prijsbepaling bij levens- en ziektekostenverzekeringen als toepassingen met een hoog risico. DNB schreef in januari nog dat de extra eisen daarvoor vanaf 2 augustus 2026 zouden gelden. Sinds de Digital Omnibus is dat 2 december 2027; wat er verder verschoof, staat in de tijdlijn van de AI-verordening. DNB ziet zulke toepassingen en pilots in de Nederlandse sector nog maar weinig.
Wat nu al geldt, is artikel 4. Een verzekeraar die AI gebruikt, neemt maatregelen om de AI-geletterdheid te ondersteunen van de mensen die ermee werken. Wat dat sinds de omnibus precies vraagt, lees je in is AI-geletterdheid verplicht?. Hoe je per systeem bepaalt of een toepassing hoog risico is, en hoe dat bij hypotheekacceptatie uitpakt, staat in AI-governance voor hypotheek- en verzekeringsorganisaties.
Wie in Nederland formeel toezicht houdt op de AI-verordening, legt de uitvoeringswet vast. DNB schrijft dat het de naleving gaat volgen als het als toezichthouder wordt aangewezen. Voor de verwachtingen hierboven maakt dat niet uit: die komen uit de regels die er al zijn.
#Het dagelijkse gebruik hoort in hetzelfde overzicht
De modellen van een verzekeraar hebben een eigenaar, een ontwikkeltraject en vaak een modelvalidatie. Bij de tools die medewerkers zelf openen, is dat er meestal niet. Een acceptant die een medische vragenlijst in een chatbot zet om hem begrijpelijker te maken, een klantenservicemedewerker die een klachtbrief laat herschrijven: dat gebeurt in de browser, op een account waar niemand over heeft besloten. Zo'n tool heeft geen beslislogica die je kunt vastleggen. Wel is het een AI-toepassing van een externe partij, met klantgegevens erin.
Wat de toezichthouders vragen, laat zich er wel op toepassen:
- In kaart brengen. Welke AI-tools worden er echt gebruikt, en op welk account. Een uitvraag aan de afdelingen levert een momentopname op; het gebruik verandert elke maand.
- Per tool besluiten. Toegestaan, beperkt toegestaan met een voorwaarde, niet toegestaan met een alternatief, of nog geen besluit. In de voorbeeldorganisatie die we vaker gebruiken, wordt ChatGPT veel gebruikt en heeft het een eigen dossier, is DeepSeek niet toegestaan en is Microsoft Copilot het goedgekeurde alternatief.
- Herleidbaar vastleggen. Wie besloot, wanneer, waarom, voor welk gebruik, en welke documenten erbij horen, zoals een verwerkersovereenkomst of een DPIA. Dat is wat DNB bedoelt met keuzes die herleidbaar zijn.
- Blijven kijken. Of het gebruik na het besluit verandert, of een tool zonder besluit groeit, en of er klantgegevens terechtkomen waar ze niet horen.
Dat hoort in één AI-register met de modellen erin, niet in een aparte lijst. Voor de AVG is het dagelijkse gebruik vaak het grotere risico. Voert een medewerker tegen de afspraken in persoonsgegevens in een AI-chatbot in, dan is dat volgens de Autoriteit Persoonsgegevens (gecontroleerd op 9 november 2026) een datalek. Hoe dat bij financiële dienstverleners uitpakt, staat in AI bij financiële dienstverleners, en de kant van ICT-leveranciers onder DORA in AI en DORA.
BeeSensible laat in de Inbox zien welke AI-tools in de organisatie in gebruik zijn zonder besluit, onder Zien. Het besluit per tool komt in het AI-register, met usecases, verantwoordelijken, de status van documenten zoals de verwerkersovereenkomst en de DPIA, een datum voor herbeoordeling en een geschiedenis van wie wat wanneer veranderde. Opent een medewerker een tool die beperkt of niet is toegestaan, dan krijgt die in de browser een melding met de voorwaarde of het alternatief. Wat er in een periode gebeurde, staat in een rapport onder Onderbouwen, in aantallen en zonder te tonen wat iemand typte. De modellen die de verzekeraar zelf bouwt of inkoopt, ziet BeeSensible niet; die komen via hun eigenaar in het register. Hoe dat voor de sector als geheel werkt, staat op de pagina over financiële dienstverlening.
De compliance officer uit de eerste alinea kan de uitvraag van DNB dan invullen met beide lagen: de modellen en de tools op de werkplek, elk met een besluit dat herleidbaar is.
