Hoe de financiële sector AI omarmt zonder het gesprek over governance te voeren

Op 7 april 2026 publiceerde Investment Officer een artikel over AI bij Nederlandse depotbanken. Het stuk is informatief en goed onderbouwd. Het beschrijft hoe InsingerGilissen, ABN Amro MeesPierson en Van Lanschot Kempen AI inzetten voor onboarding, documentverwerking en het beantwoorden van klantvragen.

Wat mij opviel was wat er niet in stond. In vijf pagina’s met vier geïnterviewde directeuren en concrete toepassingen van AI in een zwaar gereguleerde sector valt het woord ‘governance’ niet één keer. Hetzelfde geldt voor ‘AI Act’ en ‘risicoclassificatie’, en ook ‘compliance’ komt niet voor in relatie tot het AI-gebruik zelf.

Ik verwijt dat de journalist en de geïnterviewden niet. Het zegt volgens mij iets over de staat van de sector, en meer dan de antwoorden die wel gegeven werden.

Wat de depotbanken wél vertellen

De toepassingen die beschreven worden zijn herkenbaar en relevant. ABN Amro MeesPierson heeft de onboarding versneld, want een volledig dossier kan nu binnen twee dagen worden afgerond, inclusief interne controles. InsingerGilissen gebruikt AI om routinematige werkzaamheden slimmer te ondersteunen: onboarding, documentverwerking, trading en het beantwoorden van veelgestelde vragen van vermogensbeheerders. Van Lanschot Kempen rolt Copilot365 bankbreed uit en ontwikkelt een intern generatief AI-model genaamd Leonardo.

Dit zijn geen experimenten maar operationele inzet van AI in het primaire proces van zwaar gereguleerde financiële instellingen.

Van Lanschot Kempen en het ODD-voorbeeld

Het meest veelzeggende voorbeeld in het artikel betreft Van Lanschot Kempen. De bank werkt aan een door AI aangedreven model voor Ongoing Due Diligence: continue monitoring die aan de hand van ‘zorgvuldig gedefinieerde triggers’ veranderingen in gedrag, transacties en risicoindicatoren signaleert zodra deze zich voordoen. Periodieke reviews zouden dan niet meer nodig zijn.

Dat is een AI-systeem dat automatisch gedragsveranderingen van klanten monitort en risico-signalen genereert. In de context van financiële dienstverlening (Wwft, sanctieregelgeving, klantintegriteit) raakt zo’n toepassing direct aan fundamentele rechten en financiële belangen van personen.

Onder de EU AI Act, specifiek Annex III, kwalificeren AI-systemen die worden ingezet voor de beoordeling van kredietwaardigheid, risicobeoordeling, en fraudedetectie in de financiële sector als potentieel hoog-risico. Een systeem dat automatisch klantgedrag monitort en risicosignalen genereert, past in dat profiel.

Ronald van Barneveld van Van Lanschot Kempen zegt in het artikel terecht dat de verwerking van signalen voor een groot deel mensenwerk zal blijven. Menselijke beoordeling en betrokkenheid van de medewerker blijven cruciaal. Dat is het juiste instinct, maar nog geen kader. De vraag is dan hoe dat toezicht is georganiseerd. Is het gedocumenteerd? Is er een risicoclassificatie gemaakt? Weet de IWMS-medewerker die de signalen verwerkt dat hij of zij opereert binnen een AI-toepassing die mogelijk als hoog-risico kwalificeert? Is er een protocol voor het geval het model een onterechte risico-trigger genereert, of erger, een terechte trigger mist?

Het patroon dat zichtbaar wordt

Het Investment Officer-artikel staat niet op zichzelf. Het past in een breder patroon dat ik de afgelopen maanden heb waargenomen in gesprekken met en artikelen over financiële dienstverleners in Nederland.

De sector bevindt zich in een specifieke fase. AI wordt actief ingezet en de toepassingen zijn relevant en waardevol, maar het bewustzijn over de governance-implicaties loopt structureel achter op het gebruik. Organisaties weten niet wat ze niet weten.

Onwil is het niet, het is een kwestie van snelheid. De technologie beweegt sneller dan de organisatorische capaciteit om die technologie te beheersen, en de regulering (AI Act, DORA, de gezamenlijke positie van DNB en AFM) beweegt sneller dan de sector beseft.

DNB, AFM, en de convergentie die niemand verwacht

Nederland is een bijzonder geval in de Europese context. DNB en AFM handhaven DORA al actief. In april 2024 publiceerden ze een gezamenlijk rapport over AI in de financiële sector. De AI Act-implementatiewet wordt verwacht in het vierde kwartaal van 2026.

Voor financiële instellingen betekent dit een dubbele regulatoire druk: DORA voor digitale operationele weerbaarheid en de AI Act voor het verantwoord inzetten van AI-systemen. Die twee frameworks convergeren in de praktijk. Een AI-systeem dat wordt ingezet voor risicobeoordeling moet voldoen aan zowel de operationele weerbaarheidseisen van DORA als de risicobeheersingsverplichtingen van de AI Act.

37,4% van de Nederlandse financiële sector gebruikte in 2024 al AI, significant boven het EU-gemiddelde van 13,5%. De sector loopt voorop in adoptie. De vraag is of ze ook vooroploopt in beheersing.

De vraag die niet gesteld wordt

Financiële instellingen praten over AI in vaste termen: ‘sneller’, ‘efficiënter’, ‘voorspelbaarder’, ‘slimmer’. Het zijn productiviteitsverhalen, en terecht, want de productiviteitswinst is reëel.

Dat verhaal verdringt echter een ander dat minstens zo belangrijk is, het beheersbaarheidsverhaal. Hoe zorg je dat de AI-systemen die je inzet doen wat je denkt dat ze doen? Hoe classificeer je ze? Wie is verantwoordelijk als ze niet doen wat ze moeten doen?

Die vragen hoor ik niet in het Investment Officer-artikel, niet in de meeste boardroom-presentaties die ik ken en niet in de strategische plannen die ik heb gezien. Ook dat is geen verwijt. Ik lees het als een collectieve blinde vlek die urgenter wordt naarmate de regulatoire druk toeneemt en de toepassingen complexer worden.

Drie vragen voor elke AI-toepassing

De governance die nodig is, begint niet met een compliance-framework of een externe audit. Ze begint met drie vragen die elke financiële instelling per AI-toepassing zou moeten kunnen beantwoorden:

  1. Wie is de eigenaar van deze toepassing? Dat gaat om de dagelijkse operatie en niet om het papier. Wie bewaakt dat het AI-systeem wordt ingezet waarvoor het bedoeld is?
  2. Welk risicoprofiel heeft dit specifieke gebruik? Een chatbot die veelgestelde vragen beantwoordt is iets fundamenteel anders dan een systeem dat klantgedrag monitort voor risicosignalen. De technologie kan identiek zijn, het risico niet.
  3. Wat is het protocol als de output onbetrouwbaar is? Wat gebeurt er als het ODD-model een risico-trigger mist, of een onterechte genereert? Wie merkt dat, hoe snel, en wat zijn de stappen?

Elke instelling die deze vragen niet per toepassing kan beantwoorden, opereert met een governance-gat dat groter wordt met elke nieuwe AI-toepassing die live gaat.

De klok tikt

Augustus 2026 is de datum waarop de AI Act volledig van kracht wordt, over vier maanden. De implementatiewet volgt in het vierde kwartaal, en DNB en AFM worden de handhavende autoriteiten voor financiële instellingen.

De depotbanken die in het Investment Officer-artikel worden beschreven, doen niets verkeerds. Ze zetten AI in op een manier die waarde creëert voor hun klanten en hun organisatie. De technologie is niet het probleem. Het probleem is dat een structuur ontbreekt die ervoor zorgt dat die inzet verantwoord, gedocumenteerd en beheersbaar is, als dagelijkse werkwijze en niet als theoretisch kader.

Of die structuur nodig is, staat voor mij niet ter discussie. Wat ik nog niet weet, is of de sector hem bouwt voordat de toezichthouder ernaar vraagt.

Jan-Willem Rodenhuis is managing partner van Ductus B.V. en schrijft op miliarium.nl over de effecten van AI-adoptie in gereguleerde sectoren.

Bronnen
Investment Officer, ‘Met AI versnellen depotbanken in onboarding en communicatie’, Geert Dekker, 7 april 2026
CBS AI-monitor, september 2025 (37,4% financiële sector)
DNB/AFM gezamenlijk AI-rapport, april 2024
EU AI Act, Verordening (EU) 2024/1689
Gartner, juni 2025 (>40% agentic AI-projecten gecanceld)
Deloitte, State of AI 2026 (n=3.235, 1 op 5 mature agentic governance)
CMS Expert Guide, AI laws and regulations in the Netherlands, februari 2026