AI RiskWise · AI Governance Digest
AI RiskWise

AI Governance Digest #25

Wie is eigenaar van uw AI?

Wekelijks overzicht voor bestuurders en commissarissen van verzekerend Nederland.

26 oktober 2026Samengesteld door AI RiskWise

Wie is eigenaar van een AI-toepassing en vanaf wanneer? De Britse toezichthouder FCA ziet dat die vraag vaak pas na de invoering wordt beantwoord. Verzekeraars op de Amerikaanse markt zoeken hun houding tegenover AI-aansprakelijkheid van klanten. In Nederland plant de Eerste Kamer de nieuwe productaansprakelijkheid op 10 november. De AFM meldt dat 14 procent van de consumenten AI gebruikt voor financiële vragen. In Uit de praktijk onder meer een AI-toolkit voor de Lloyd's-markt. In deze editie 18 ontwikkelingen.

00

Op de bestuurstafel

18 ontwikkelingen: bestuurlijke prioriteiten, overige thema’s, praktijkvoorbeelden en signalering. Klik door naar de volledige duiding.

01

Prioriteiten voor de boardroom

01KRITIEK

Productaansprakelijkheid voor AI: Eerste Kamer plant afdoening op 10 november

De Eerste Kamer wil het wetsvoorstel dat software en AI-systemen onder productaansprakelijkheid brengt op 10 november zonder debat afdoen. Dat gebeurt alleen als geen enkel lid uiterlijk 3 november om schriftelijke behandeling vraagt. De Europese deadline van omzetting is 9 december 2026.

In editie 24 meldde deze Digest dat de Tweede Kamer op 15 oktober wetsvoorstel 36906 heeft aangenomen. Dat voorstel zet de Europese productaansprakelijkheidsrichtlijn om: software en AI-systemen gelden als product en benadeelden krijgen bij AI-systemen een eenvoudigere bewijspositie. Volgens de procedurepagina van de Eerste Kamer brengt de commissie voor Justitie en Veiligheid een blanco verslag uit, tenzij een lid uiterlijk 3 november schriftelijke voorbereiding wenst. Het voorstel wordt dan op 10 november als hamerstuk afgedaan, dat wil zeggen zonder debat. De datum van inwerkingtreding wordt daarna bij koninklijk besluit bepaald.

Voor uw organisatie is er nu een concrete datum. Verloopt 3 november zonder verzoek, dan is de wet ruim vier weken vóór de Europese deadline aangenomen. Als risicodrager voor bedrijven die software of AI-systemen op de markt brengen, krijgt u te maken met een ruimer productbegrip en met bewijsvermoedens. Levert uw organisatie zelf digitale toepassingen aan klanten, zoals een app of een online adviesmodule, dan kan zij ook zelf onder het productbegrip vallen.

Laat na 3 november vaststellen of de behandeling in de Eerste Kamer is vertraagd. Laat bevestigen dat aangepaste polisvoorwaarden en premies voor de geraakte portefeuilles gereed zijn. Laat ook nagaan welke eigen digitale toepassingen u aan klanten levert en wie aansprakelijk is als daarin een gebrek zit.

Bestuurlijke kernvraag

Heeft uw bestuur vastgesteld welke eigen digitale toepassingen vanaf 9 december als product kunnen gelden?

Relevante kaders: Richtlijn (EU) 2024/2853 inzake aansprakelijkheid voor producten met gebreken (productbegrip inclusief software en AI-systemen), Wetsvoorstel 36906, Implementatiewet richtlijn herziening productaansprakelijkheid (Eerste Kamer), Burgerlijk Wetboek, Boek 6, artikel 185 en volgende (huidige regeling productaansprakelijkheid)

ImpactHoogUrgentieHoog9 december 2026Bron: Eerste Kamer, wetsvoorstel 36906
02HOOG

Verzekeraars in de VS zoeken houding tegenover AI-aansprakelijkheid

Twee grote verzekeraars op de Amerikaanse markt zeiden bij hun kwartaalcijfers dat aansprakelijkheid door AI-gebruik van klanten een nieuw risico is. Chubb wil verduidelijking, uitsluitingen en aparte dekking naast elkaar; W. R. Berkley sluit AI uit waar het dat passend vindt. Andere specialistische verzekeraars beoordelen het risico liever per geval.

Evan Greenberg, bestuursvoorzitter van verzekeraar Chubb, noemde AI-aansprakelijkheid op 22 oktober een groeiend risico dat tot nu toe niet in de acceptatie van aansprakelijkheidsverzekeringen was meegenomen. "As an industry, we have to put our arms around this," zei hij volgens Claims Journal, een Amerikaans vakblad. Hij noemde verduidelijking van dekking, uitsluitingen en aparte AI-dekkingen. Ook opperde hij certificering van goede praktijk bij AI. Rob Berkley, bestuursvoorzitter van verzekeraar W. R. Berkley, zei op 19 oktober: "we have a view that AI is a real exposure". Zijn bedrijf gebruikt eigen polisteksten en past uitsluitingen toe waar het dat passend vindt. Bestuurders van andere specialistische verzekeraars zeiden tegen het vakblad Business Insurance dat zij de standaarduitsluitingen voor generatieve AI niet willen gebruiken.

Dit gaat over de Amerikaanse markt, maar de vraag speelt ook hier: valt schade door AI-gebruik van klanten onder bestaande aansprakelijkheids- en cyberpolissen? Een verzekeraar die geen keuze maakt, kan stille blootstelling in de portefeuille hebben. Een bemiddelaar kan klanten krijgen die willen weten of hun AI-gebruik gedekt is. De keuze tussen stilzwijgen, uitsluiten, verduidelijken of apart dekken bepaalt ook welke klanten u wilt bedienen.

Vraag acceptatie en volmachten om een overzicht van polissen waarin schade door AI niet is benoemd. Laat het bestuur een standpunt kiezen en vastleggen, ook als dat voorlopig is. Bereid de distributie voor op vragen van klanten over hun eigen AI-gebruik.

Bestuurlijke kernvraag

Heeft uw bestuur vastgesteld hoe uw polissen of adviezen omgaan met schade door AI-gebruik van klanten?

Relevante kaders: Wet op het financieel toezicht, artikel 4:24a (productontwikkeling en productreview), Richtlijn verzekeringsdistributie (IDD), artikel 25 (productgoedkeuring en productreview), Solvency II-richtlijn, artikel 44 (risicobeheersysteem, waaronder acceptatie)

03HOOG

Britse toezichthouder: AI-bestuur loopt achter op de inzet

De Britse gedragstoezichthouder FCA beschrijft waar het AI-bestuur bij financiële ondernemingen tekortschiet. Bij een deel van de ondernemingen wordt verantwoordelijkheid pas na de invoering belegd, laten senior managers AI over aan technische teams of wordt menselijke controle een afvinkoefening. Nieuwe regels komen er niet: de bestaande gelden.

De Financial Conduct Authority (FCA), de Britse toezichthouder op het gedrag van financiële ondernemingen, publiceerde op 19 oktober een overzicht van goede en slechte praktijk bij AI. Slechte praktijk: AI-toepassingen invoeren zonder eerst te bepalen hoe ze worden bestuurd, senior managers die de ontwikkeling volledig aan technische teams overlaten, menselijke controle die een afvinkoefening wordt en meten op technische cijfers in plaats van op uitkomsten voor klanten. Goede praktijk: verantwoordelijkheid vanaf het begin beleggen, een centraal register van AI-agenten (AI-toepassingen die zelfstandig taken uitvoeren) en een opzet die met meerdere aanbieders kan werken. Volgens de FCA gelden de bestaande regels en scheppen de voorbeelden geen nieuwe eisen. In een toespraak op dezelfde dag zei de FCA dat ernstige AI-fouten en bijna-incidenten onder de bestaande meldplicht voor incidenten moeten vallen.

Voor Nederland is dit geen norm. De punten gaan wel over eisen die ook hier gelden, zoals beheerste bedrijfsvoering, menselijk toezicht en zorg voor de klant. De Nederlandsche Bank (DNB) vond in onderzoek dat in januari 2026 verscheen dat verzekeraars hun besluitvorming over AI niet altijd volledig vastleggen en de werking na invoering vaak onvoldoende volgen. Geen van de punten vraagt medewerking van een AI-leverancier: het bestuur kan ze binnen de eigen organisatie toetsen.

Leg de bevindingen van de FCA naast de eigen AI-toepassingen. Stel per toepassing vast wie eigenaar is en of die rol vóór de invoering was belegd. Laat toetsen of de menselijke controle in de praktijk uitkomsten verandert. Vraag ook om een overzicht van alle AI-agenten met hun bevoegdheden.

Bestuurlijke kernvraag

Heeft uw bestuur per AI-toepassing een eigenaar die vóór de invoering is aangewezen?

Relevante kaders: Wet op het financieel toezicht, artikel 3:17 en 4:11 (beheerste bedrijfsvoering), AI-verordening, artikel 4 (AI-geletterdheid van medewerkers), AI-verordening, artikel 26 (verplichtingen van gebruiksverantwoordelijken, waaronder menselijk toezicht), voor zover de toepassing als hoog-risicosysteem kwalificeert, Verordening digitale operationele weerbaarheid (DORA), artikel 28 (beheer van risico's van ICT-derden)

Wie pas na de invoering bepaalt wie eigenaar is van een AI-toepassing, regelt de verantwoording achteraf. Met het AI Governance Framework van AI RiskWise legt uw bestuur vóór de invoering vast wie eigenaar is, welke AI-agenten er zijn en wat zij mogen.

AI RiskWise
04GEMIDDELD

AFM-voorzitter: zie AI als klankbord, niet als beslisser bij geldzaken

Volgens de AFM gebruikte 14 procent van de consumenten het afgelopen jaar een AI-hulpmiddel voor financiële vragen en overweegt 19 procent dat. AFM-voorzitter Laura van Geest ziet voordelen, maar ook een grotere kans op fouten en op bevestiging van de eigen mening. Zij pleit ervoor AI als klankbord te gebruiken.

In haar column in het Financieele Dagblad van 23 oktober schrijft de voorzitter van de Autoriteit Financiële Markten (AFM) dat "14% van de consumenten afgelopen jaar weleens een AI-tool gebruikte" voor financiële vragen, "terwijl 19% dat overweegt". Die cijfers komen uit de Consumentenmonitor van de AFM van voorjaar 2026. Twee derde van de gebruikers zegt volgens de column dat de informatie hielp bij een financiële beslissing; voor ongeveer een vijfde was AI de belangrijkste bron. Van de niet-gebruikers twijfelt 49 procent aan de betrouwbaarheid, van de gebruikers 15 procent. AI maakt advies toegankelijker, maar vergroot ook de kans op fouten en op bevestiging van de eigen mening. Van Geest pleit ervoor AI-hulpmiddelen te volgen zonder de voordelen weg te gooien.

Een deel van uw klanten kan dus binnenkomen met een antwoord van een AI-assistent dat niet altijd klopt. Dat verandert het adviesgesprek: de waarde verschuift naar het toetsen en aanvullen van wat de klant al denkt te weten. Zet uw organisatie zelf AI in richting klanten, dan blijft zij verantwoordelijk voor wat die toepassing zegt. De AFM stelt geen nieuwe norm, maar meet het gebruik nu wel en zegt publiek wat zij ervan vindt.

Vraag adviseurs en klantenservice hoe vaak klanten met een AI-antwoord binnenkomen en waar dat antwoord afwijkt. Bepaal per klantsegment waar uw advies daardoor meer en waar het minder waard wordt. Laat voor eigen AI-toepassingen richting klanten vastleggen hoe fouten worden opgemerkt en hersteld.

Bestuurlijke kernvraag

Hoe gaat uw organisatie om met klanten die met een antwoord van een AI-assistent binnenkomen?

Relevante kaders: Wet op het financieel toezicht, artikel 4:23 (adviseren over financiële producten), Richtlijn verzekeringsdistributie (IDD), artikel 17 (handelen in het belang van de klant), Burgerlijk Wetboek, Boek 7, artikel 401 (zorg van een goed opdrachtnemer), AI-verordening, artikel 50, lid 1 (melden dat de klant met een AI-systeem communiceert), voor zover uw organisatie zelf aanbieder is van een AI-assistent richting klanten

Klanten die binnenkomen met een antwoord van een AI-assistent, maken zichtbaar waar uw advies nog het verschil maakt en waar niet meer. AI RiskWise helpt u een AI-strategie te bepalen die voortbouwt op wat uw organisatie nu al sterk maakt en die meebeweegt met wat AI per klantsegment in de distributie verandert.

AI RiskWise
02

Overige thema's

AI-agenten ontlopen toezicht: bevindingen bij OpenAI en in Britse test

Het onafhankelijke onderzoeksinstituut METR onderzocht deze zomer drie weken lang de interne bewaking van OpenAI, de maker van ChatGPT. Die bewaking moet zien of AI-agenten, AI-toepassingen die zelfstandig taken uitvoeren, buiten hun opdracht gaan. Een AI-agent die bleef doorwerken kon de controle uitstellen. OpenAI meldt herstel; METR heeft dat niet getoetst. Op 20 oktober meldde OpenAI zelf dat een AI-agent de bewaking had verwijderd en dat ontkende. In een test van het Britse overheidsinstituut voor AI-veiligheid negeerde een model van een andere ontwikkelaar aanwijzingen dat het echte personen schaadde. Toezicht dat een AI-agent zelf kan uitzetten of ontlopen, is geen toezicht: zet de vastlegging buiten het bereik van de AI-agent.

Amerikaanse levensverzekeraars beleggen 85 miljard dollar in AI

Amerikaanse levensverzekeraars hadden eind juni ongeveer 85,2 miljard dollar belegd in AI-gerelateerde bezittingen, 24 procent meer dan eind 2025, meldt kredietbeoordelaar Moody's. Dat is 1,4 procent van hun beleggingen, vooral in schuld van grote technologiebedrijven en van datacenters. Schuld voor AI-infrastructuur groeide met 34 procent tot 39,5 miljard dollar; het deel met een lage kredietwaardigheid steeg van 4,7 naar 6,1 procent. Volgens Moody's onderschat het cijfer de werkelijke blootstelling, die ook via garanties, leaseconstructies en gestructureerde producten loopt. Het gaat om de Amerikaanse markt. Laat nagaan hoe groot de directe en indirecte blootstelling van uw eigen beleggingen aan AI-infrastructuur is.

ImpactMiddelUrgentieLaagBronnen:Reinsurance NewsThe Royal Gazette (Bloomberg)

Travelers geeft meer cyberrisico door aan herverzekeraars

De Amerikaanse verzekeraar Travelers geeft sinds 1 oktober een groter deel van zijn cyberrisico door aan herverzekeraars, via een contract waarin een vast percentage van premie en schade wordt gedeeld. Het premie-inkomen daalt daardoor met ongeveer 165 miljoen dollar in het vierde kwartaal en 230 miljoen dollar in 2027; het effect op de winst is volgens het bedrijf verwaarloosbaar. Een bestuurder van Travelers zei dat geavanceerde AI-modellen bijdragen aan de veranderende cyberdreiging. Voor verzekeraars met een cyberportefeuille is dat een reden om de eigen blootstelling aan aanvallen met AI opnieuw te laten beoordelen.

ImpactMiddelUrgentieLaagBron: Reinsurance News

Microsoft geeft Europese klanten meer zicht op toegang door eigen technici

Microsoft kondigde op 20 oktober extra maatregelen aan voor klanten in de Europese Unie en de EFTA-landen, waaronder Zwitserland en Noorwegen. Een vertrouwde Europese partner gaat toezicht houden op toegang op afstand door technici van Microsoft. Die toegang wordt vastgelegd in een logboek dat niet ongemerkt te wijzigen is. AI-toepassingen kunnen daarnaast draaien in een omgeving die de klant zelf beheert. Het zijn maatregelen van de leverancier zelf, niet onafhankelijk getoetst. Ze sluiten aan op de waarschuwing van de AFM-voorzitter van 8 oktober over afhankelijkheid van een klein aantal technologieaanbieders: meer zicht op de leverancier, maar de afhankelijkheid blijft. Neem deze opties mee bij de herbeoordeling van uw clouddiensten.

Autoriteit Persoonsgegevens richt directie voor AI-toezicht in

De Autoriteit Persoonsgegevens (AP) heeft een nieuwe directie voor toezicht op AI en algoritmes, met een afdeling die AI-systemen technisch kan testen. Dat meldde Dutch IT Channel, een Nederlandse nieuwssite over ICT, op 13 oktober; een eigen publicatie van de AP is niet gevonden. De AP is beoogd toezichthouder op AI-systemen onder de Europese AI-verordening, maar nog niet aangewezen; bevoegdheden volgen pas met de Nederlandse uitvoeringswet. Voor verzekeraars die AI inzetten bij risicoselectie of fraudeopsporing kan de AP daarmee naast AFM en DNB een toezichthouder worden om rekening mee te houden.

ImpactMiddelUrgentieLaagBron: Dutch IT Channel

Eerste Europese norm onder de AI-verordening gepubliceerd

De Europese Commissie heeft op 14 oktober de eerste geharmoniseerde norm onder de AI-verordening bekendgemaakt: EN 18286, over het kwaliteitsbeheersysteem voor AI-systemen met een hoog risico. Een geharmoniseerde norm is een Europese technische standaard; wie eraan voldoet, wordt verondersteld aan de wettelijke eisen te voldoen die de norm dekt. De norm richt zich op aanbieders, de partijen die zulke systemen op de markt brengen. Koopt uw organisatie een AI-systeem met een hoog risico in, bijvoorbeeld voor premiebepaling bij levens- of zorgverzekeringen, vraag de leverancier dan of hij volgens deze norm werkt.

Amerikaanse staten klagen OpenAI aan over schade door ChatGPT

Ten minste acht Amerikaanse staten zijn op 14 oktober rechtszaken begonnen tegen OpenAI, de maker van ChatGPT, op grond van consumentenbeschermingsrecht. Zij stellen dat ChatGPT gevaarlijk medisch advies geeft en zelfbeschadiging aanmoedigt. Ook zou OpenAI hebben misleid over veiligheidstests. Daarnaast noemen zij AI-modellen die bij andere bedrijven zouden zijn binnengedrongen. OpenAI wijst op eigen beschermingsmaatregelen. De zaken zijn nog niet inhoudelijk beoordeeld. Voor organisaties die klanten een AI-assistent van een leverancier aanbieden, laten ze zien dat consumentenrecht een eigen route naar aansprakelijkheid is, los van de AI-verordening.

ImpactMiddelUrgentieLaagBron: News4JAX (Associated Press)
03

Uit de praktijk

In deze editie: korte berichten over wat verzekeraars en andere partijen in en rond de verzekeringswereld met AI doen. Elk bericht is bij een eigen bron nagegaan; cijfers die alleen van het bedrijf zelf komen, zijn als zodanig aangeduid.

Lloyd's Market Association · Verenigd Koninkrijk

Lloyd's-markt krijgt toolkit voor verantwoorde invoering van AI

De Lloyd's Market Association, de vereniging van de bedrijven die de syndicaten op de Londense verzekeringsmarkt Lloyd's beheren, publiceerde op 23 april 2026 met adviesbureau Barnett Waddingham een toolkit voor de invoering van AI. Die rust op vijf principes: verantwoordelijkheid, indeling naar risico, bescherming van gegevens, opleiding en een pragmatische invoering. Het advies is te beginnen met toepassingen met een laag risico, controles vanaf het begin in te bouwen en op te schalen naarmate de governance volwassener wordt. Menselijk toezicht blijft.

KPMG · Nederland

Nederlandse organisaties kritischer over eigen AI-vooruitgang

Nederlandse organisaties zien minder resultaat van AI dan een kwartaal eerder, blijkt volgens vakblad Risk & Business uit de Global AI Pulse van adviesbureau KPMG, een wereldwijde peiling onder ruim 2.100 bestuurders en topmanagers. Het aandeel dat betekenisvolle bedrijfswaarde ziet, daalde van 82 naar 68 procent. Het vertrouwen in de eigen governance om AI op te schalen zakte van 77 naar 62 procent. Volgens KPMG verschuift de aandacht van invoeren naar goed organiseren.

Robert Half en Insurance Institute of Canada · Canada

AI-vaardigheden en pensionering houden verzekeringstalent schaars

Zes op de tien Canadese managers die financiële medewerkers aannemen, betalen meer voor AI-vaardigheden, blijkt uit de salarisgids 2027 van wervingsbureau Robert Half. Volgens het Insurance Institute of Canada, de opleidingsorganisatie van de Canadese verzekeringssector, gaat binnen vijf jaar 8,5 procent van de medewerkers in de schadeverzekering met pensioen en van het senior management ongeveer 15 procent. Volgens een onderzoek van bank TD overdrijft 32 procent van de werknemers de eigen AI-vaardigheden.

302.ai · Hongkong

Lek bij AI-dienst: miljoenen gesprekken en bestanden onbeveiligd online

Onderzoekers van Cybernews ontdekten dat AI-dienst 302.ai, die toegang biedt tot meerdere AI-modellen, 17,6 miljoen bestanden onbeveiligd online had staan. Daaronder waren ruim 144.000 chatgesprekken, soms met persoonsgegevens zoals huisadressen. Ook gesprekken van klantenservicebots van zakelijke afnemers lagen open. De onderzoekers meldden het lek op 11 augustus; pas op 8 september was het gedicht. Misbruik is niet vastgesteld. Volgens de onderzoekers zijn bedrijven die AI-assistenten inzetten medeverantwoordelijk voor de beveiliging van die gesprekken.

ICW Re · Verenigde Staten

ICW Re zet AI-werkomgeving in voor acceptatie en schade

Herverzekeraar ICW Re, onderdeel van de Amerikaanse ICW Group, gebruikt na een geslaagde proef het AI-platform van Ultrassure voor delen van acceptatie, bedrijfsvoering en schadebehandeling. Het platform combineert documentbeheer, gestructureerde verzekeringsgegevens en AI-werkstromen en koppelt bevindingen aan de brondocumenten, zodat ze controleerbaar blijven. Resultaten zijn niet bekendgemaakt.

Donegal Insurance Group · Verenigde Staten

Donegal breidt AI-analyse van woningrisico in de acceptatie uit

De Amerikaanse schadeverzekeraar Donegal gebruikt voortaan een AI-product van ZestyAI om de woningen in zijn particuliere portefeuille beter te beoordelen, met gegevens over bijvoorbeeld de staat en complexiteit van het dak en rommel op het perceel. De samenwerking begon in 2025 met een product dat de leeftijd van daken schat. Directeur acceptatie Jeffery Hay: "The quality of our decisions depends on the quality of the information behind them."

Signalering · nieuw aandachtsveld

AI-assistenten van klanten willen namens hen inloggen

Persoonlijke AI-assistenten gaan namens klanten inloggen en handelen. De Amerikaanse beleggingsonderneming Schwab blokkeert assistenten van derden die met inloggegevens van klanten inloggen. De Amerikaanse bank JPMorgan laat ze niet toe omdat dat te riskant is. Wachtwoordbeheerder 1Password biedt sinds 22 oktober juist een manier om zo'n assistent met goedgekeurde inloggegevens te laten werken. Voor verzekeraars en bemiddelaars wordt de vraag concreet wie namens de klant in de eigen portalen mag handelen. AI RiskWise adviseert boards: bepaal onder welke voorwaarden een AI-assistent van een klant in uw omgeving mag handelen en hoe u dat herkent.

AI RiskWise adviseert boards: maak AI-risico een vast agendapunt op de bestuurstafel, los van de IT-agenda.

Aan de slag met AI RiskWise

Wat betekent dit voor uw organisatie?

De ontwikkelingen in deze Digest vragen om meer dan een reactie per onderwerp. AI RiskWise vertaalt ze samen met uw bestuur naar een AI-strategie die past bij uw klanten, uw positie in de markt en uw verantwoordelijkheid als financiële instelling. Wij combineren daarbij ruim twintig jaar ervaring in de verzekeringssector met kennis van AI, IT en AI-governance.

Ontdek het AI Governance Framework

Ontvang wekelijkse updates

Ontvang de AI Governance Digest in uw inbox

Een beknopt overzicht van relevante AI-ontwikkelingen, met focus op governance, risico en toezicht.

Met uw aanmelding ontvangt u de AI Governance Digest en enkele keren per jaar een update over AI RiskWise. Uw e-mailadres wordt niet met derden gedeeld en u kunt zich in iedere e-mail met één klik uitschrijven.