Sneller werken, scherper verantwoorden.

De voorzitter van de Autoriteit Financiële Markten (AFM) waarschuwt dat de financiële sector afhankelijk wordt van een klein aantal technologieaanbieders, vaak buiten Europa. Zij verbindt dat met de continuïteit van financiële dienstverlening. In dezelfde week maken de drie Europese toezichthouders AI tot bijzonder aandachtspunt voor 2027.

AFM-voorzitter Laura van Geest zei op 8 oktober op het Mededingingscongres: "Het aanbod is bovendien geconcentreerd bij een beperkt aantal mondiale spelers, vaak buiten Europa. Daarmee groeit ook de afhankelijkheid van een relatief beperkt aantal technologieaanbieders." Dat is voor de AFM relevant "omdat het raakt aan de continuïteit van financiële dienstverlening". Volgens de toespraak dachten de AFM, De Nederlandsche Bank (DNB) en de Autoriteit Consument en Markt (ACM) samen na over digitale autonomie. Concrete eisen aan instellingen noemde zij niet. Op 13 oktober publiceerde het Joint Committee, het overlegorgaan van de Europese toezichthouders voor banken, verzekeraars en effectenmarkten, zijn werkprogramma voor 2027. Daarin krijgt AI bijzondere aandacht, met een overzicht van toepassingen in de sector. Het toezicht op kritieke ICT-dienstverleners gaat door.

Voor uw organisatie is dit geen nieuwe norm, wel een duidelijke richting. Toezichthouders bekijken AI steeds meer als vraag van afhankelijkheid en continuïteit, niet alleen van innovatie. Een middelgrote verzekeraar of bemiddelaar verandert de markt voor AI- en clouddiensten niet, maar bepaalt wel hoe afhankelijk zij ervan wordt. Wie nu zicht heeft op die afhankelijkheden, kan vragen van de toezichthouder in 2027 met feiten beantwoorden.

Laat een overzicht maken van de AI- en clouddiensten waarop klantprocessen draaien en van de aanbieders daarachter. Leg per kritieke dienst vast wat er gebeurt als die uitvalt of de voorwaarden wijzigen. Stel vast of er een uitwijkmogelijkheid is. Weeg bij elke nieuwe AI-toepassing ook de herkomst van de aanbieder mee.

De Tweede Kamer heeft het wetsvoorstel aangenomen dat software en AI-systemen onder productaansprakelijkheid brengt. Daarna moet de Eerste Kamer het nog behandelen; die heeft dat nog niet gepland. De Europese omzettingsdeadline is 9 december 2026, ruim zeven weken na deze editie.

In editie 22 en 23 meldde deze Digest dat de Europese productaansprakelijkheidsrichtlijn uiterlijk 9 december 2026 moet zijn omgezet. Die richtlijn merkt software en AI-systemen aan als product en maakt het bewijs voor benadeelden bij AI-systemen eenvoudiger. Volgens de procedurepagina van de Tweede Kamer is het Nederlandse wetsvoorstel 36906 op 15 oktober als hamerstuk zonder stemming aangenomen; een hamerstuk is een voorstel dat zonder debat wordt afgehandeld. De pagina bevat ook enkele tegenstrijdige datums. De Eerste Kamer toont op 18 oktober nog geen ontvangst of planning.

Voor uw organisatie is de kans dat de nieuwe regels per 9 december in Nederland gelden daarmee groter geworden. Als risicodrager voor ondernemingen die software of AI-systemen op de markt brengen, krijgt u met een ruimer productbegrip en met bewijsvermoedens te maken. De aanpassing van polisvoorwaarden en premies wordt daarmee minder een scenario en meer een planning. Levert uw organisatie zelf digitale producten aan consumenten, dan kan zij ook zelf onder het productbegrip vallen.

Laat bevestigen dat de aanpassing van geraakte polissen en premies vóór december gereed is. Laat de behandeling in de Eerste Kamer volgen en houd de juridische beoordeling voor schades na 9 december klaar voor het geval de wet later ingaat.

Twee Amerikaanse senatoren willen wie een AI-agent laat werken aansprakelijk maken als die roekeloos schade aanricht door inbraak in computersystemen. Tegelijk haalde de start-up Harbor 10 miljoen dollar op om AI-agenten van ondernemingen te meten, te begrenzen en het resterende risico te verzekeren. Aansprakelijkheid en dekking gaan zo uit van aantoonbare beheersing.

De Amerikaanse senatoren Josh Hawley en Chris Murphy maakten op 1 oktober de AI Agent Accountability Act bekend. Volgens hun persbericht wordt wie bewust een AI-agent laat werken strafrechtelijk en civielrechtelijk aansprakelijk als die agent roekeloos schade veroorzaakt door inbraak in computersystemen. Ontwikkelaars worden aansprakelijk als zij van zulke capaciteiten wisten of hadden moeten weten en geen redelijke waarborgen namen. Het gaat om een aankondiging; formele indiening is niet bevestigd. Op 13 oktober meldde het Amerikaanse vakblad Insurance Journal dat de start-up Harbor 10 miljoen dollar startkapitaal ophaalde. Harbor brengt elke AI-agent van een onderneming in kaart, scoort het risico, blokkeert beslissingen die de eigen regels schenden en verzekert het resterende risico. Wie dat risico draagt, staat niet in het bericht. Beide berichten komen uit de Verenigde Staten.

Voor uw organisatie is het Amerikaanse wetsvoorstel geen regel, wel een richting die ook in Europa denkbaar is. Wie AI-agenten inzet, zal moeten laten zien welke grenzen golden en wat is vastgelegd. Harbor laat zien hoe de verzekeringsmarkt daarop kan inspelen: dekking op basis van gemeten beheersing. Voor een verzekeraar of bemiddelaar die zelf AI-agenten inzet, wordt aantonen daarmee zowel een juridische vraag als een vraag van verzekerbaarheid.

Laat een overzicht maken van de AI-agenten die in uw organisatie zelfstandig handelingen uitvoeren, ook binnen software van leveranciers. Leg per agent vast wat hij mag, wie hem bewaakt en hoe zijn handelingen worden vastgelegd. Vraag uw eigen verzekeraar hoe deze inzet in uw dekking is meegenomen.