FSB vraagt banken AI-risico’s organisatiebreed te beheersen

De Financial Stability Board (FSB) publiceert twaalf praktijken voor AI-gebruik bij financiële instellingen en vraagt besturen om AI-keuzes organisatiebreed te verankeren in strategie, risicobeheer en controle.

Voor Nederlandse banken betekent dit een gezamenlijke opgave voor bestuur, risicobeheer, IT, data en inkoop. Leveranciers van modellen, cloud of software kunnen daardoor vragen krijgen over prestaties, datakwaliteit en continuïteit. Voor bedrijven buiten de financiële sector maakt het FSB-document op zichzelf geen nieuwe verplichtingen.

De eerste vier praktijken beginnen bij de top

De eerste groep verdeelt verantwoordelijkheid tussen bestuur en senior management. Zij moeten AI-adoptie laten aansluiten op het bedrijfsmodel, de strategie en de risicobereidheid van de instelling. Het management werkt die koers uit in heldere verantwoordelijkheden en een governancekader. AI-risico’s horen in het bestaande risicobeheer, met vastgelegde informatie over het gebruik en de materialiteits- en risicobeoordeling.

De vierde praktijk gaat over aanpassingsvermogen. Financiële instellingen moeten hun toezicht, kennis en risicobeheer bijstellen als AI-capaciteiten en toepassingen veranderen. De FSB noemt ook kleinere instellingen: zij kunnen bestaande functies benutten en externe expertise inzetten. De aanbevelingen zijn dus bedoeld voor uiteenlopende omvang, bedrijfsmodellen en risicoprofielen.

Risico volgt de toepassing door de levenscyclus

De overige acht praktijken gaan van de eerste beoordeling tot het gebruik van een AI-systeem. Instellingen moeten de materialiteit en risico’s van een toepassing beoordelen bij de start en opnieuw wanneer het gebruik verandert. De keuze voor een model of systeem hoort aan te sluiten op het bedrijfsdoel, de technische en operationele eisen en de risico’s. Datakwaliteit is onderdeel van dezelfde afweging: gegevens moeten geschikt, accuraat, volledig, consistent, betrouwbaar en beveiligd zijn.

Daarna volgen uitlegbaarheid, transparantie en prestatiemeting. Als een toepassing minder uitlegbaar is, noemt de FSB aanvullende beheersmaatregelen als mogelijke compensatie. Metingen, tests en doorlopend toezicht moeten passen bij de materialiteit en het risico van de toepassing. Voor menselijk toezicht tellen ook de autonomie, complexiteit en uitlegbaarheid mee. De tekst schrijft daarmee geen universele handmatige goedkeuring van iedere agenthandeling voor; het toezicht moet passen bij de toepassing en de gevolgen van fouten.

De laatste praktijken raken cyber- en ICT-risico’s en afhankelijkheid van AI-aanbieders. De FSB noemt onder meer scenario’s voor tests en oefeningen. Bij externe AI-diensten moeten instellingen letten op prestaties, transparantie, datakwaliteit, de toeleveringsketen, concentratierisico en bedrijfscontinuïteit. Voor de bank is leveranciersinformatie daardoor nodig om te beoordelen wat een dienst doet en wat er gebeurt als die uitvalt of niet langer beschikbaar is.

De consultatie scherpt vooral agent-AI aan

De consultatie begon op 10 juni en sloot op 22 juli. De FSB ontving ongeveer 160 reacties van banken, verzekeraars, andere financiële instellingen, technologiebedrijven, brancheorganisaties, onderzoekers en overheden. Veel reacties steunden de proportionele, technologie-neutrale aanpak. Sommige deelnemers vroegen juist om meer voorschriften. De eindversie houdt vast aan een principes-gebaseerd kader dat instellingen in hun bestaande governance en risicobeheer kunnen opnemen.

De reacties leidden tot meer aandacht voor agentische AI. De eindversie verduidelijkt hoe documentatie verantwoordelijkheid en reconstructie van beslissingen ondersteunt, voegt voorbeelden van verzekeraars en niet-bancaire instellingen toe en werkt aandachtspunten voor autonome toepassingen uit. De FSB zegt tegelijk dat de praktijken voor agentische en multi-agent-systemen nog in ontwikkeling zijn en later kunnen veranderen.

De consultatiesamenvatting benoemt ook een grens: het rapport kijkt naar AI-gebruik binnen afzonderlijke financiële instellingen en behandelt niet de bredere systeemrisico’s die ontstaan wanneer veel partijen dezelfde modellen of aanbieders gebruiken. De FSB zegt zulke risico’s via haar bredere beoordeling te blijven volgen. De twaalf praktijken lossen dus niet alle vragen rond concentratie of gelijktijdig gedrag in de sector op.

Het FSB-kader vervangt geen Nederlandse regels

De praktijken zijn aanbevelingen. Financiële instellingen worden aangemoedigd ze te gebruiken en aan hun eigen context en risicoprofiel aan te passen. De FSB zegt dat haar beleidskeuzes niet juridisch bindend zijn en nationale en regionale regelgeving niet vervangen. De publicatie maakt daarom zelf geen nieuwe bindende Nederlandse regels. Bestaande Europese en nationale verplichtingen blijven wel gelden.

De Europese Centrale Bank (ECB) heeft AI-gerelateerde strategie, governance en risicobeheer al opgenomen in haar toezichtsprioriteiten voor 2026 tot 2028. Een aparte brief van 7 juli vraagt significante instellingen uiterlijk 31 oktober 2026 een cyberactieplan met maatregelen, middelen, rollen en tijdlijnen in te dienen. Die opdracht gaat over cyberweerbaarheid en staat naast het bredere FSB-kader. De brief noemt ook software van derden en open-sourcecomponenten als onderdelen van het AI-cyberplan.

De nieuwe publicatie bouwt voort op de FSB-waarschuwing van augustus dat frontier-AI de snelheid, schaal en kosten van cyberaanvallen kan veranderen en verbreedt de vraag naar dagelijks AI-gebruik. De toepassing, de eigenaar, het toezicht en de leverancier komen in hetzelfde beheerkader. Voor leveranciers aan banken maakt vooral de combinatie van documentatie, transparantie en continuïteit hun diensten toetsbaar. De FSB zegt de praktijken te blijven aanpassen naarmate AI zich ontwikkelt; de specifieke beheersing van autonome systemen is daarin nog niet uitgekristalliseerd.