Financiële dienstverleners kennen risicobeheer als vak. Er bestaan al kaders voor kredietrisico, operationeel risico, modelrisico en compliance. Dat is precies waarom AI-governance hier anders ligt dan in sectoren die met een schone lei beginnen: de vraag is niet of er een risicostructuur is, maar of AI daarin al is opgenomen of ernaast is gegroeid. Modellen voor kredietscoring, fraudedetectie of klantsegmentatie bestaan vaak al langer dan het label 'AI' erop werd geplakt. De governance-vraag is dan niet: bouwen we iets nieuws, maar: past bestaand toezicht nog op wat er inmiddels draait.
De verhouding tussen wat bekend is bij een modelrisicocommissie of compliance-afdeling en wat er werkelijk in gebruik is, verschilt sterk per instelling. Bij de een is vrijwel alles ooit langs een validatieproces gegaan, bij de ander draaien er naast de goedgekeurde modellen ook tools die individuele medewerkers of teams zelf zijn gaan gebruiken, zonder dat iemand ze heeft laten toetsen. Welke verhouding voor een specifieke organisatie geldt, is niet aan te geven zonder daar te hebben gekeken.
Een instelling met een volwassen modelrisicokader gaat er soms van uit dat AI daarmee is afgedekt. Modelrisicobeheer is gebouwd op statistische modellen met vaste input en output. Een taalmodel dat klantvragen samenvat, een tool die concepttaal voor een adviesbrief genereert, of een systeem dat contracten doorzoekt, valt niet altijd binnen die definitie en glipt daardoor door de bestaande maas. De governance-vraag is dus niet alleen welke modellen er zijn, maar ook welke tools als AI worden herkend en welke niet.
Daarnaast is de rol van de AI in het proces bepalend. Een tool die een adviseur ondersteunt bij het opstellen van een advies is iets anders dan een tool die het advies zelf genereert of een acceptatiebeslissing beïnvloedt. Dezelfde technologie kan in de ene toepassing een hulpmiddel zijn en in de andere een schakel die direct raakt aan een besluit richting een klant. Classificatie naar rol en risiconiveau is daarom nodig voordat een instelling kan zeggen welk niveau van toezicht bij welke toepassing past.
De IT-lijst van goedgekeurde applicaties is niet wat er wordt gebruikt. Medewerkers in financiële dienstverlening werken met klantdossiers, transactiegegevens en vertrouwelijke adviesinformatie, en juist die groep is niet immuun voor het plakken van een tekst in een gratis chatvenster om sneller een samenvatting of conceptantwoord te krijgen. Hoe dat risico zich concreet voordoet en wat ertegen te doen is, staat beschreven in de aanpak tegen bedrijfsdata in een gratis chatvenster.
De reden dat dit gebruik onzichtbaar blijft, is zelden onwil. Het is vaker een gevolg van onduidelijkheid over wat wel en niet mag, gecombineerd met tijdsdruk. Wie wil weten wat er werkelijk gebruikt wordt, moet daar rechtstreeks naar vragen, en dat werkt alleen als medewerkers niet bang zijn voor een sanctie op het antwoord. Een aanpak die daar rekening mee houdt, staat toegelicht op de pagina over het in beeld brengen van tools die niemand heeft goedgekeurd.
Wat financiële dienstverlening ook onderscheidt, is de gewoonte om verantwoording af te leggen. Een risicomanager of General Counsel in deze sector is gewend om aan een toezichthouder of aan de raad van commissarissen te kunnen laten zien hoe een risico is beoordeeld en welke maatregelen daaruit volgen. Voor AI betekent dit dat een inventaris niet los kan staan van het bestaande risicoraamwerk; ze moet erin passen, met dezelfde indeling in risicoklassen en dezelfde rapportagelijnen die al voor andere risicocategorieën gelden. Een governance-set die naast het bestaande kader wordt gelegd in plaats van erin opgenomen, levert bij de volgende auditronde extra werk op in plaats van houvast.
De inhoud van de regels die op AI van toepassing zijn, verandert en wordt elders actueel gehouden. Deze pagina beschrijft het mechanisme: inventariseren wat er draait, classificeren naar rol en risico, en het resultaat inbedden in bestaande governance-structuren, zodat een instelling bij een vraag van toezichthouder of bestuur een antwoord heeft dat aansluit op hoe risico al wordt beheerd.
De spanning tussen bestaand toezicht en nieuw gebruik van AI is niet uniek voor financiële dienstverlening. Vergelijkbare patronen zijn te zien in de wijze waarop governance rond AI wordt ingericht in de energiesector, in de manier waarop de bouw omgaat met AI-toepassingen op de werkvloer en in het ontwerpproces, en in hoe de vastgoedsector kijkt naar AI in taxatie en beheer. Wat verschilt is niet het mechanisme, maar de plek waar het risico landt: bij een bank of verzekeraar is dat vaak een beslissing die direct een klant raakt.
Een inventaris van AI-gebruik en de bijbehorende risicoclassificatie laten zien wat er draait en onder welk toezicht dat zou moeten vallen. Ze laten niet zien wat dat gebruik betekent voor de indeling van het werk zelf: welk deel van een taak, zoals het opstellen van een adviesrapport, het doorlichten van een dossier of het samenvatten van een klantgesprek, in aanmerking komt om door AI te worden overgenomen en welk deel bij een medewerker blijft. Die vraag ligt buiten het bereik van een governance-scan en wordt beantwoord door de werkscan van FTE TO AI, die per taak berekent welk deel van het werk over te dragen is aan AI.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.