AI-agents in de financiële sector: wat mag, wat moet en wat komt

Hoeveel AI gebruikt de sector?

In 2025 gebruikte 28 procent van de financiële bedrijven AI, maar AI-agents zijn nog zeldzaam.

Steeds meer, en sneller dan gemiddeld. Volgens het CBS (bedrijven met minstens twee werkzame personen) gebruikte in 2025 28 procent van de bedrijven in de financiële dienstverlening AI. In 2024 was dat 16 procent en in 2023 14 procent. Over alle bedrijven heen ligt het op 17 procent. Ruim de helft van de financiële bedrijven die AI gebruiken, zet het in voor bedrijfsadministratie of bestuurstaken, zoals risicobeoordeling of planning. Bij vermogensbeheerders keek de AFM preciezer. In haar onderzoek onder 323 assetmanagers (gepubliceerd in maart 2026) gebruikt 53% AI al of wil dat binnen een jaar gaan doen. AI wordt vooral ingezet voor data-analyse en het verwerken van informatie.

Agents zijn nog een stap verder. Van dezelfde 323 assetmanagers is 78% niet van plan om binnen 12 maanden AI-agents of systemen met meerdere agents in te zetten. Opvallender: 89% heeft geen formeel beleid voor het gebruik van AI-agents, en maar 2% heeft een apart beleid speciaal voor agents.

Een groot deel van de taken in financiële organisaties is herhalend en voorspelbaar. Juist daar leveren AI-agents grote besparingen en beter werk op, en daarmee concurrentievoordeel en een betere ervaring voor klanten.

Wat maakt een AI-agent anders?

Een AI-agent geeft niet alleen een antwoord, maar voert ook zelf handelingen uit.

Een gewoon AI-model geeft een antwoord of een voorspelling. De AFM gebruikt deze omschrijving: AI-systemen die zelfstandig handelingen kunnen uitvoeren namens een gebruiker, met weinig of geen menselijke tussenkomst. Dat maakt het verschil voor het toezicht. Zodra een systeem zelf een betaling klaarzet, een klant een aanbod doet of een order plaatst, gaat het niet meer om een advies aan een medewerker, maar om een handeling van de instelling. De AFM schrijft in haar Agenda 2026 dat zij wil ingrijpen bij “ondoorzichtig of ongecontroleerd handelsgedrag van zelflerende en autonome AI-systemen”.

Wat mag nu al met AI?

Veel mag al, want de normen voor financiële instellingen gelden ook als je AI gebruikt.

Veel, zolang de instelling de risico’s beheerst. In hun gezamenlijke rapport uit 2024 schrijven DNB en de AFM dat de normen voor financiële instellingen niet afhangen van de technologie. Ze gelden dus ook als een instelling AI gebruikt. Van instellingen mag worden verwacht dat zij AI verantwoord inzetten. Veel instellingen waren toen nog voorzichtig met generatieve AI, al zagen ze de mogelijkheden wel. Het rapport noemt toepassingen die Nederlandse instellingen al gebruiken:

• fraude voorkomen en opsporen;
• witwassen, terrorismefinanciering en cybercriminaliteit tegengaan;
• kredietbeoordelingen en het controleren van identiteiten;
• medewerkers helpen, bijvoorbeeld met automatische samenvattingen van telefoongesprekken met klanten.

Wat moet nu al?

AI-geletterdheid, transparantie en DORA gelden nu al, ook als je net met agents begint.

Het gaat om drie plichten. AI-geletterdheid. Sinds 2 februari 2025 moeten organisaties die AI gebruiken volgens de Europese Commissie maatregelen nemen voor de AI-geletterdheid van hun mensen. Vanaf 2 augustus 2026 zijn de toezichthouders in de lidstaten verantwoordelijk voor het toezicht op en de handhaving van de Europese AI-wetgeving (AI Act). Transparantie. Sinds augustus 2026 gelden de transparantieregels van de AI Act. Wie een klant laat praten met een chatbot, moet duidelijk maken dat de klant met een machine praat. Digitale weerbaarheid onder DORA. De Digital Operational Resilience Act geldt volgens de Europese Bankenautoriteit (EBA) sinds 17 januari 2025. Financiële instellingen moeten sindsdien onder meer een register bijhouden van hun contracten met ICT-leveranciers. Ook de contractuele afspraken met de leverancier van het taalmodel achter een agent kunnen daaronder vallen. De AFM schrijft in haar Agenda 2026 dat zij het toezicht op DORA bij kapitaalmarktpartijen intensiveert.

Wat komt er aan regels?

Vanaf 2 december 2027 gelden strengere regels voor hoog-risico-AI, zoals het beoordelen van kredietwaardigheid.

De grootste stap is de regel voor hoog-risico-AI. Volgens DNB en de AFM wijst de AI Act twee toepassingen in de financiële sector aan als hoog risico:

• het beoordelen van de kredietwaardigheid van personen;
• het bepalen van premies en risico’s bij levens- en ziektekostenverzekeringen.

Die regels gelden volgens de Europese Commissie vanaf 2 december 2027. Dat is later dan eerst gepland. De datum is verschoven door de zogeheten AI Omnibus, de vereenvoudiging van de AI Act die op 27 juli 2026 in werking trad. Hoog-risico-systemen moeten dan onder meer voldoen aan:

• risicobeoordeling en maatregelen om risico’s te beperken;
• goede kwaliteit van de gegevens, om discriminatie te voorkomen;
• het vastleggen van wat het systeem doet, zodat uitkomsten te herleiden zijn;
• duidelijke documentatie en informatie voor wie het systeem gebruikt;
• passend menselijk toezicht.

Volgens DNB en de AFM moeten instellingen bij hoog-risico-toepassingen ook beoordelen wat het effect kan zijn op de grondrechten van mensen of groepen. Dat klinkt als veel nieuw werk, maar de EBA is geruststellend. Zij legde in 2025 de AI Act naast de bestaande regels voor banken en betaalinstellingen en vond geen grote tegenstrijdigheden. De bestaande regels zijn volgens de EBA een stevige basis, al kost het werk om beide samen te laten lopen. Nieuwe richtlijnen van de EBA zijn volgens haar voorlopig niet nodig.

Waar let de AFM in 2026 op?

De AFM noemt verantwoord gebruik van data en AI als een van haar prioriteiten voor 2026.

Het zijn voornemens: hoe het toezicht in de praktijk uitpakt, blijkt pas als de onderzoeken klaar zijn. In haar Agenda 2026 zegt de AFM onder meer:

• een integrale toezichtaanpak te ontwikkelen voor de AI Act;
• te onderzoeken hoe verzekeraars AI inzetten;
• het gebruik van AI te onderzoeken bij een partij in de kredietverleningsketen, en de mate van hyperpersonalisatie in de financiële dienstverlening;
• toe te zien dat instellingen hun bedrijfsvoering en risicobeheersing tijdig aanpassen aan nieuwe regels, zoals de AI Act.

Wat vraagt de FSB?

De FSB publiceerde 12 praktijken voor verantwoord gebruik van AI, ook voor agents.

De internationale Financial Stability Board (FSB) bracht de 12 praktijken voor verantwoord gebruik van AI uit op 15 oktober 2026. De FSB moedigt bestuur en directie van financiële instellingen sterk aan die te gebruiken bij hun eigen AI-beleid, risicobeheer en controles. Het is geen internationale norm en het vervangt geen Nederlandse of Europese regels. Voor AI-agents springt één praktijk eruit: geef een agent alleen de bevoegdheden die hij nodig heeft (least agency). Volgens het rapport stapelen de risico’s zich niet op maar vermenigvuldigen ze zich naarmate een agent bij meer systemen kan. De FSB zegt er zelf bij dat praktijken specifiek voor agents nog in de kinderschoenen staan.

Hoe zo’n risico voor de financiële stabiliteit eruit kan zien, schetste econoom Torsten Slok van Apollo in september 2026 als scenario. Persoonlijke agents van klanten kunnen spaargeld automatisch verplaatsen naar rekeningen met de hoogste rente. In de VS gaat het om 3,3 tot 5,0 procent rente tegen gemiddeld 0,1 procent op een betaalrekening. Banken zouden dan een groot deel van het goedkope spaargeld verliezen waarmee ze leningen verstrekken. Het is een Amerikaans scenario, geen voorspelling.

Hoe begin je verantwoord?

Begin klein, met een taak met weinig risico en een mens aan de knoppen.

1. Begin bij de AI-first organisatie.
   Maak AI een zaak van de directie, niet alleen van IT. Spreek af wie eigenaar is en wie beslist waar agents worden ingezet. Dan weet je op tijd wie verantwoordelijk is voor AI met een hoog risico, als de strengere regels in december 2027 ingaan.
2. Begin met een taak met weinig risico.
   Loop eerst je processen langs, van dossiervorming tot kredietbeoordeling, en bepaal per taak wat een agent kan doen en wat bij mensen hoort. Een agent die interne documenten samenvat of een dossier voorbereidt, is een betere eerste stap dan een agent die zelf krediet verleent.
3. Leg vast wie verantwoordelijk is.
   De AFM noemt in haar onderzoek naar assetmanagers het vastleggen van verantwoordelijkheden, het documenteren van besluiten rond AI-modellen en technische of procedurele controles.
4. Houd een mens aan de knoppen bij beslissingen over klanten.
   Wie nu al menselijk toezicht inbouwt, hoeft in december 2027 minder om te bouwen.
5. Ga na of de leverancier in je DORA-register hoort.
   Het register gaat over je contractuele afspraken met ICT-leveranciers, en een agent op een extern model kan daaronder vallen.
6. Leer je mensen ermee werken.
   AI-geletterdheid is sinds februari 2025 een plicht.

Voor banken en verzekeraars

Wachten tot december 2027 is geen goed plan, want een deel van de plichten geldt al.

De regels voor hoog risico zijn uitgesteld, maar de plichten voor AI-geletterdheid, transparantie en DORA gelden al. En de AFM kijkt in 2026 al naar verzekeraars en de kredietketen. Wie agents nu klein en goed vastgelegd invoert, bouwt de kennis op die straks nodig is. JPMorganChase kiest daarbij een dubbele lijn. De bank zet agents intern in, maar laat agents van buiten niet zomaar toe. Topman Jamie Dimon zei in oktober 2026 in de toelichting op de kwartaalcijfers dat de bank niet “just any outside agents” binnenlaat, “because it’s just too risky for clients and for JPMorgan”. Volgens financieel directeur Jeremy Barnum draagt een klant die zijn inloggegevens aan een agent geeft, zelf de gevolgen als die agent iets doet wat de klant niet wilde. Wie aansprakelijk is als de agent van een klant een fout maakt, is daarmee een vraag die ook Nederlandse banken en verzekeraars moeten beantwoorden.

Een agent die een dossier voorbereidt, verandert ook het werk van de mensen eromheen. Ik denk dat leidinggevenden bij banken en verzekeraars het meest bereiken als ze hun teams de ruimte geven om met deze nieuwe technologie te experimenteren, eerst bij taken met weinig risico. Enthousiasme over wat het oplevert en een kritische blik op de risico’s horen daarbij samen te gaan. Over die kant van verandering, mensen in beweging krijgen, gaat ook de lezing over de organisatie van de toekomst. Wat agents voor je organisatie betekenen, komt aan bod in de lezing over agentic AI. Actuele voorbeelden, elk met datum en bron, staan op de nieuwspagina over AI in de financiële dienstverlening.

Veelgestelde vragen

Mag een bank AI-agents gebruiken?

Ja. Geen van de toezichthouders in dit artikel verbiedt AI-agents in de financiële sector. De bestaande regels voor een beheerste en integere bedrijfsvoering gelden ook voor AI. Gebruikt een agent AI voor kredietscores van personen, dan gelden vanaf 2 december 2027 ook de strengere regels voor hoog-risico-AI.

Wie houdt toezicht op financiële AI?

Volgens het rapport van DNB en de AFM uit 2024 is het uitgangspunt van de AI Act dat de bestaande financiële toezichthouders ook toezicht houden op de AI-regels, voor zover AI wordt gebruikt voor financiële dienstverlening. In Nederland zijn dat de AFM en DNB.

Wanneer gelden de hoog-risico-regels?

Voor toepassingen zoals kredietwaardigheid vanaf 2 december 2027, volgens de Europese Commissie. Dat is later dan eerst gepland, door de AI Omnibus die in juli 2026 in werking trad.

Wat heeft DORA met AI te maken?

DORA gaat over digitale weerbaarheid, ook bij uitval of fouten van ICT-leveranciers. Een AI-agent die draait op een model van een externe partij, kan zo’n ICT-dienst gebruiken. Heb je daarover contractuele afspraken met die leverancier, dan horen die in het register dat DORA sinds januari 2025 verplicht.