Krediet- en risicoscoremodellen vallen vandaag de dag nog steeds onder de AI-wet
Een politiek akkoord dat de verplichtingen voor hoog-risico systemen in de EU AI-wet uitstelt tot december 2027, heeft ertoe geleid dat veel financiële instellingen de hele regelgeving beschouwen als “een probleem voor volgend jaar.” Dat is een verkeerde interpretatie, die instellingen die nu al AI inzetten voor kredietbeslissingen, fraudedetectie en risicoscores onnodig blootstelt aan risico’s. Het uitstel geldt slechts voor één specifiek hoofdstuk van de wet. Diverse andere verplichtingen zijn nooit uitgesteld, en sommige zijn nu al van kracht.
Het is begrijpelijk dat een gerichte vertraging wordt verward met een algemene uitstelregeling, zeker als koppen roepen “AI-wet uitgesteld” zonder verdere toelichting. Het praktische risico is dat een instelling stilletjes stopt met voorbereiden, om er later achter te komen dat bepalingen die nog steeds gelden—zoals transparantieverplichtingen en verplichtingen voor aanbieders van general-purpose AI-modellen die vaak onder kredietscoretools liggen—nooit onderdeel waren van het uitstel. Dit artikel zet uiteen wat het uitstel daadwerkelijk inhoudt voor financiële instellingen, wat niet is uitgesteld en wat dit betekent voor AI-governance die nu al in gang gezet moet worden.
Samenvatting
De Digital Omnibus-amendement op de EU AI-wet heeft de toepassing van verplichtingen voor hoog-risico systemen uitgesteld tot december 2027, als reactie op niet-afgeronde technische standaarden. Dit uitstel is concreet en specifiek: het geldt voor Hoofdstuk III. Het raakt niet aan de verboden praktijken, de verplichtingen voor aanbieders van general-purpose AI-modellen, of de transparantie-eisen rond AI-gegenereerde content en AI-interactie, waarvan diverse nu al bindend zijn voor financiële instellingen. Voor risicomanagers en compliance-leiders betekent dit dat 2027 niet de juiste deadline is als het doel is om alle AI-wet verplichtingen als “nog niet van toepassing” te behandelen.
Belangrijkste punten
- Alleen de verplichtingen voor hoog-risico systemen uit Hoofdstuk III zijn uitgesteld, niet de hele wet. Kredietscoring valt onder Annex III als hoog-risico categorie en schuift door naar december 2027, terwijl andere hoofdstukken doorgaan volgens de oorspronkelijke planning.
- Transparantieverplichtingen onder Artikel 50 zijn niet uitgesteld en nu al van kracht. Het melden van AI-interactie en het labelen van AI-gegenereerde content zijn huidige verplichtingen voor elke klantgerichte AI, niet toekomstige.
- Verplichtingen voor aanbieders van general-purpose AI-modellen zijn niet geraakt door het uitstel. Veel krediet- en fraudescoringtools draaien op general-purpose modellen, en die onderliggende verplichtingen gelden al sinds vóór het uitstelvoorstel.
- Verboden AI-praktijken blijven verboden, ongeacht de tijdlijn voor hoog-risico systemen. Het uitstel bepaalt wanneer hoog-risico systemen aan een conformiteitsbeoordeling moeten voldoen, niet of onaanvaardbare risico’s zijn toegestaan.
- Governance-infrastructuur die nu wordt opgebouwd voor transparantie en documentatie, blijft bruikbaar voor de latere vereisten rond hoog-risico systemen. Wachten tot de deadline van 2027 betekent dat je dezelfde capaciteit twee keer moet opbouwen.
Wat de Digital Omnibus daadwerkelijk heeft uitgesteld voor krediet- en risicoscores
Het uitstelmechanisme is ingevoerd omdat de technische standaarden en conformiteitsbeoordelingsmiddelen die nodig zijn om de verplichtingen voor hoog-risico systemen operationeel te maken, niet op tijd gereed waren—niet omdat de onderliggende beleidsdoelen zijn gewijzigd.
Een gericht uitstel van Hoofdstuk III, geen reset van de wet
Het uitstel geldt voor conformiteitsbeoordeling, technische documentatie en het volledige compliance-regime waaraan kredietscore- en fraudedetectiesystemen als Annex III-categorieën onderworpen zijn. Alles buiten dat hoofdstuk verloopt volgens de oorspronkelijke tijdlijn van de wet.
Backstop-datums zijn er juist omdat standaarden nog niet klaar zijn
De nieuwe datum fungeert als backstop: verplichtingen voor hoog-risico systemen gelden zodra de benodigde standaarden gereed zijn, met december 2027 als uiterste limiet. Toezichthouders verwachten dat instellingen zich blijven voorbereiden tijdens het uitstel.
Wat nu al geldt voor financiële instellingen, uitstel of niet
Diverse verplichtingen vallen volledig buiten Hoofdstuk III en gelden al volgens de oorspronkelijke planning.
Verplichtingen voor general-purpose AI-modellen gelden al vóór het uitstel
Aanbieders van general-purpose AI-modellen, die veel risicoscore- en fraudedetectietools ondersteunen, zijn al sinds vóór het Digital Omnibus-voorstel onderworpen aan documentatie-, transparantie- en veiligheidseisen.
Transparantie- en meldingsplichten gelden nu al
Vereisten dat klanten geïnformeerd worden wanneer ze met een AI-systeem te maken hebben, gelden volgens de oorspronkelijke planning van de wet en zijn niet verplaatst door de Omnibus. Een instelling die een klantgerichte krediet- of fraude-AI inzet zonder deze verplichtingen te adresseren, bevindt zich niet in een overgangsperiode.
Waarom het uitstel als pauze zien later meer kost
Een instelling die al het AI-governancewerk stopzet omdat “de deadline naar 2027 is verschoven”, gooit voorbereidend werk weg dat het halen van de uiteindelijke deadline voor hoog-risico systemen juist eenvoudiger had gemaakt.
Documentatie en logs die nu worden opgebouwd zijn geen verspilde moeite
De mogelijkheden voor registratie en toegangscontrole die uiteindelijk vereist zijn voor hoog-risico systemen, overlappen grotendeels met wat nu al wordt gevraagd voor transparantie en general-purpose modelverplichtingen.
AI-governance opbouwen rond wat nu daadwerkelijk geldt
De praktische start is het scheiden van de AI-wet verplichtingen in wat nu al geldt en wat op een backstop-tijdlijn tot 2027 staat, en het direct prioriteren van governancewerk voor de eerste lijst.
Hoe een Data Control Plane AI-governanceverplichtingen ondersteunt die nu al gelden
Het Kiteworks Data Control Plane past data-bewuste zero-trust controls toe op elke actie van elke gebruiker of AI-agent over elk kanaal, en legt alles vast in een manipulatiebestendige, onbeperkte audit log die direct doorgevoerd wordt naar SIEM-tools. Omdat logging volledig en nooit steekproefsgewijs gebeurt, kunnen instellingen het gedetailleerde, doorzoekbare overzicht van AI-gerelateerde gegevensactiviteiten leveren dat nu al wordt verwacht voor transparantie en documentatie, en dat straks voor hoog-risico systemen nog uitgebreider vereist zal zijn.
Instellingen die willen zien hoe continue, kanaaloverstijgende bewijsvoering hun huidige AI-governanceverplichtingen ondersteunt, kunnen een demo op maat aanvragen.
Veelgestelde vragen
Alleen de verplichtingen voor hoog-risico systemen uit Hoofdstuk III zijn uitgesteld tot december 2027; het uitstel geldt niet voor de rest van de wet.
Ja, de transparantie-eisen uit Artikel 50 voor het melden van AI-interactie en het labelen van AI-gegenereerde content zijn al van kracht en niet uitgesteld.
Ja, deze verplichtingen zijn niet geraakt door het Digital Omnibus en gelden al sinds vóór het uitstelvoorstel, wat impact heeft op veel krediet- en fraudescoringtools.
Documentatie en logs die nu worden opgebouwd voor huidige transparantieverplichtingen overlappen met toekomstige eisen voor hoog-risico systemen, dus uitstel betekent dat dezelfde capaciteit later opnieuw opgebouwd moet worden.