Samenloop van AI Act en DORA: één AI-systeem, twee toezichtkaders

Sinds 17 januari 2025 is DORA (Verordening (EU) 2022/2554) van toepassing op banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en hun kritieke ICT-dienstverleners. De AI-verordening legt daar voor dezelfde instellingen een tweede laag overheen. De twee kaders hebben verschillende doelen — DORA beschermt de operationele continuïteit van het financiële stelsel, de AI Act beschermt veiligheid en grondrechten van personen — maar grijpen in de praktijk op dezelfde systemen, dezelfde leveranciers en dezelfde interne processen aan.

Waar de AI Act de financiële sector rechtstreeks raakt

Bijlage III van de AI-verordening merkt twee typisch financiële toepassingen aan als hoogrisico: AI-systemen voor de beoordeling van kredietwaardigheid of de vaststelling van een kredietscore van natuurlijke personen (punt 5b, met een uitzondering voor systemen voor het opsporen van financiële fraude), en AI-systemen voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (punt 5c). Een bank die kredietacceptatie met AI ondersteunt of een verzekeraar die premies met AI differentieert, is dus gebruiksverantwoordelijke — en soms aanbieder — van een hoogrisicosysteem.

De schakelbepalingen: de AI Act leunt bewust op het financiëledienstenrecht

De wetgever heeft dubbele governance willen voorkomen met drie expliciete schakelbepalingen:

• Artikel 17, lid 4: aanbieders die financiële instellingen zijn en onder

interne-governance-eisen van het Uniefinanciëledienstenrecht vallen, worden geacht aan de meeste eisen van het kwaliteitsbeheersysteem te voldoen door naleving van die bestaande governance-regels; enkele onderdelen van artikel 17 lid 1 blijven daarvan uitgezonderd.

• Artikel 26, lid 5: voor gebruiksverantwoordelijken die financiële

instellingen zijn geldt de monitoringplicht als vervuld door naleving van de interne-governance-regels uit het financiëledienstenrecht.

• Artikel 26, lid 6: diezelfde instellingen bewaren de logs van

hoogrisicosystemen als onderdeel van de documentatie die zij op grond van het financiëledienstenrecht al bijhouden.

Voor instellingen die hun DORA- en governance-huis op orde hebben is dit goed nieuws: het AI Act-kwaliteitsbeheer hoeft geen parallelle structuur te worden, maar kan worden ingebed in het bestaande raamwerk.

Waar DORA het AI-vraagstuk al regelt

DORA behandelt extern betrokken AI — een model-API, een SaaS-scoringsdienst, een cloudgebaseerd fraudedetectiesysteem — als ICT-dienst van een derde aanbieder. Daarmee gelden de DORA-eisen onverkort: contractuele minimumbepalingen, opname in het informatieregister, concentratierisico-analyse en exitstrategieën. Het ICT-risicobeheerraamwerk van DORA (identificeren, beschermen, detecteren, herstellen, leren) omvat AI-systemen die in de bedrijfsvoering zijn opgenomen net zo goed als klassieke ICT.

Waar het schuurt

Drie punten vragen om bewuste inrichting. Ten eerste de incidentmeldingen: DORA kent een eigen meldplicht voor ernstige ICT-incidenten aan de financiële toezichthouder, de AI-verordening (artikel 73) een meldplicht voor ernstige incidenten met hoogrisicosystemen aan de markttoezichthouder. Eén storing in een AI-systeem kan beide meldplichten tegelijk activeren, met verschillende termijnen en loketten. Ten tweede de testverplichtingen: DORA-weerbaarheidstesten toetsen op continuïteit en beveiliging, niet op de datakwaliteits- en biasvereisten van de AI Act; het een vervangt het ander niet. Ten derde de timing: DORA geldt nu, terwijl de hoogrisicoverplichtingen van de AI Act volgens het Digital Omnibus-akkoord van 7 mei 2026 naar verwachting pas op 2 december 2027 van toepassing worden. Het DORA-raamwerk is daarmee de natuurlijke plek om de AI Act-voorbereiding alvast in onder te brengen — de schakelbepalingen van de artikelen 17 en 26 zijn daar uitdrukkelijk voor bedoeld.