AI-fraudedetectie in de financiële sector: de uitzondering in bijlage III

Kort antwoord: De AI Act merkt kredietwaardigheidsbeoordeling aan als hoog-risico, maar bijlage III punt 5(b) maakt daarop één expliciete uitzondering: AI-systemen die worden gebruikt om financiële fraude op te sporen, vallen niet onder die hoog-risicocategorie. De uitzondering is bewust smal. Hij dekt fraudedetectie, niet kredietbeoordeling die als fraudedetectie wordt gepresenteerd. De AVG en goede governance blijven onverkort gelden.

Wat de uitzondering precies zegt

Bijlage III, punt 5 kwalificeert AI voor kredietwaardigheidsbeoordeling en kredietscoring als hoog-risico. Direct daarna staat de uitzondering: dit geldt niet voor AI-systemen die worden gebruikt om financiële fraude op te sporen. De gedachte is dat fraudedetectie de consument juist beschermt en het financiële stelsel weerbaar maakt, terwijl kredietscoring over toegang tot diensten beslist. Zie ook AI bij kredietscoring, waar het hoofdregime wel geldt.

Waarom de uitzondering smal is

De uitzondering kan niet worden gebruikt om een kredietbeslissysteem buiten het regime te tillen door het "fraudedetectie" te noemen. Bepalend is de werkelijke functie en het effect op de betrokkene. Een systeem dat in de praktijk bepaalt of iemand krediet krijgt, blijft hoog-risico — ook als er een frauderisicocomponent in zit. Een systeem dat afwijkende transacties of identiteitsfraude signaleert, valt onder de uitzondering. Een gemengd systeem moet je daarom op functieniveau ontleden.

Toezichthouders zullen bij twijfel naar de uitwerking kijken, niet naar het etiket. Wie een grensgeval te ruim als "fraudedetectie" classificeert, draagt zelf het risico: blijkt het systeem feitelijk over kredietverlening te beslissen, dan ontbreekt de verplichte conformiteitsbeoordeling en is het systeem niet-conform op de markt gebracht.

Wat blijft gelden zonder hoog-risicostatus

Uitgezonderd zijn van bijlage III betekent niet ongereguleerd. Fraudedetectie verwerkt persoonsgegevens en valt volledig onder de AVG: grondslag, doelbinding, dataminimalisatie en transparantie. Leidt het systeem tot besluiten met aanzienlijke gevolgen (zoals het blokkeren van een rekening) op puur geautomatiseerde basis, dan speelt AVG-artikel 22. Daarnaast gelden de algemene AI Act-bepalingen die niet aan hoog-risico zijn gekoppeld, en de sectorale eisen voor financiële instellingen, waaronder operationele weerbaarheid onder DORA.

Wat te doen

• Toets de werkelijke functie: detecteert het systeem fraude, of beslist het feitelijk over krediet? Documenteer die analyse.
• Ontleed gemengde systemen op componentniveau en classificeer elk deel apart.
• Blijf AVG-conform: regel grondslag, doelbinding en menselijke tussenkomst bij ingrijpende automatische besluiten.
• Houd governance in stand: neem ook uitgezonderde systemen op in je AI-governanceraamwerk.
• Borg uitlegbaarheid: een onterechte fraudevlag treft de klant hard; zorg voor herstel- en bezwaarroutes.

De fraude-uitzondering is reëel maar krap. Wie hem oprekt naar kredietbeslissingen, glijdt zonder conformiteitsbeoordeling het hoog-risicoregime in.