FSB-sound-practices voor verantwoorde AI-adoptie: een vrijwillig menu voor de mondiale financiële sector

Op 10 juni 2026 publiceerde de Financial Stability Board (FSB) — het G20-orgaan dat de financiële regelgeving tussen jurisdicties coördineert — een consultatierapport getiteld Sound Practices for Responsible Adoption of Artificial Intelligence (AI). Het stelt 12 sound practices voor die financiële instellingen kunnen toepassen op hun AI-governance en op de manier waarop zij AI over de hele levenscyclus beheersen. De consultatie staat open tot 22 juli 2026.

Dit is geen wet en geen norm. De FSB stelt uitdrukkelijk dat het rapport "niet bedoeld is om een internationale norm te vestigen" en geen voorschrijvende aanpak oplegt; het is een menu waaruit instellingen van elk type — banken en non-banken — kunnen putten, naar rato van hoe en op welke schaal zij AI gebruiken. Die kadrering doet ertoe: de FSB heeft geen bindende regelgevingsbevoegdheid, en haar instrumenten werken doordat ze de gedeelde referentie worden waar nationale toezichthouders en instellingen naartoe convergeren.

Waarom een stabiliteitsorgaan over AI schrijft

Het rapport is de naar-de-praktijk-gerichte tegenhanger van eerder FSB-werk. In oktober 2025 publiceerde de FSB Monitoring Adoption of Artificial Intelligence and Related Vulnerabilities in the Financial Sector, met directe en indirecte indicatoren waarmee autoriteiten AI-opmars en de bijbehorende kwetsbaarheden kunnen volgen — concentratie bij derden, modelcorrelatie, afhankelijkheid van datakwaliteit en operationele fragiliteit. De sound practices van 2026 keren die toezichtsblik om en vragen wat individuele instellingen zouden moeten doen. De onderliggende zorg is systemisch: als veel instellingen leunen op dezelfde kleine groep modelaanbieders en cloudplatforms, kan een individuele governancefout een sectorbrede fout worden.

De 12 practices, in drie lagen

Het persbericht groepeert de practices in drie gebieden:

• Organisatiebrede governance (practices 1-4). Het bestuur en de directie

bepalen de overkoepelende aanpak en houden toezicht, zodat AI-adoptie aansluit bij het bedrijfsmodel, de risicobereidheid en de strategie van de instelling — vóórdat, niet nadat, een toepassing wordt gebouwd of ingekocht.

• AI-risico beheersen over ontwikkeling en inzet (practices 5-10).

Prestatiebeoordeling, testen en doorlopende monitoring naar rato van de materialiteit en het risico van een toepassing; en menselijk toezicht afgestemd op de materialiteit, het risico, de autonomie, de complexiteit en de verklaarbaarheid van elke toepassing — een formulering die stilletjes toegeeft dat uniforme "mens in de lus"-retoriek het niet uithoudt bij hoogvolume-geautomatiseerde systemen.

• Cyber-, ICT- en derdenrisico (practices 11-12). AI-cyber- en

ICT-risicoscenario's opnemen in tests en oefeningen, informatie delen met belangrijke betrokkenen, en — waar passend — AI-instrumenten inzetten in het cyber- en ICT-risicobeheer zelf.

Wat het bewust buiten beschouwing laat

Twee afbakeningen verdienen aandacht, omdat beide ingaan tegen secundaire berichtgeving die het rapport heeft overgeïnterpreteerd. Ten eerste stelt de FSB dat de practices niet zijn ontwikkeld om de risico's van frontier-AI-modellen te adresseren, ook al kunnen sommige helpen. Ten tweede gaat de consultatie er niet van uit dat zij opkomende AI heeft opgelost: een van de vragen legt respondenten voor of de practices nieuwere en complexere vormen van AI afdoende dekken, zoals generatieve AI en agentische AI. Het rapport opent die vraag in plaats van haar te beantwoorden.

Waar het voor Europese instellingen staat

Voor een bank of verzekeraar in de EU komen de FSB-practices bovenop een bindende stapel, niet ervoor in de plaats. DORA regelt al ICT- en derdenrisico voor dezelfde instellingen, en de AI-verordening merkt AI voor kredietwaardigheidsbeoordeling en voor prijsstelling in levens- en zorgverzekering aan als hoogrisico. De practices 11-12 van de FSB vallen vrijwel één-op-één samen met het ICT-derdenregime van DORA, en de governancelaag rijmt op de kwaliteitsmanagement- en menselijk-toezichtplichten van de AI-verordening. De waarde van de FSB-tekst is geen nieuwe verplichting maar een gedeeld vocabulaire waarin een mondiaal actieve instelling één AI-governancesysteem aan toezichthouders in meerdere jurisdicties tegelijk kan beschrijven.

Het past ook in de soft-law-laag naast twee instrumenten die al in deze kennisbank staan: de NIST-afgeleide aanpak van de Verenigde Staten (zie het NIST AI-risicomanagementkader, de basis voor de financiële-sector-bewerking van het Amerikaanse ministerie van Financiën) en het Hiroshima-AI-rapportagekader van de G7. Samen gelezen tonen ze een financiële sector die dubbel wordt bestuurd — eenmaal door bindend regionaal recht, en eenmaal door een verdichtend web van vrijwillige internationale praktijk dat steeds dezelfde taal spreekt. De FSB-consultatie is het moment waarop dat web de prudentiële kern van het stelsel bereikt. Het bredere beeld van internationale AI-governance verklaart waarom organen zonder regelgevende macht toch de termen blijven zetten.