Kredietverlening is één van de weinige plekken waar de AI Act expliciet wordt: AI die de kredietwaardigheid van natuurlijke personen beoordeelt, geldt in beginsel als high-risk. Dat is geen interpretatie, dat staat in de bijlage.
De praktijkvraag is subtieler. In een kredietproces zitten tien tools, waarvan er misschien twee onder die omschrijving vallen. De kunst is om per toepassing te bepalen wat er geldt — en die keuze te kunnen onderbouwen.
Wanneer valt het er wél onder?
Scoring van consumenten
AI die een kredietscore berekent of de kans op wanbetaling schat voor particuliere aanvragers.
Accept- of afwijsbeslissingen
Modellen die aanvragen automatisch goedkeuren, afwijzen of doorsturen op basis van een risico-inschatting.
Prijsstelling op risico
AI die de rente of voorwaarden per klant bepaalt op basis van een risicoprofiel raakt dezelfde kern.
Wanneer meestal niet — mits onderbouwd
Documentverwerking
AI die loonstroken uitleest of documenten classificeert, zonder invloed op de risicobeoordeling zelf.
Fraudedetectie
Signalering van verdachte patronen valt niet onder kredietwaardigheidsbeoordeling, maar kan wel andere verplichtingen raken.
Interne assistenten
Samenvatten van dossiers of het opstellen van conceptbrieven, zolang de adviseur zelf beoordeelt en het dossier dat laat zien.
Wat moet u regelen als het high-risk is?
Risicobeheersysteem
Een doorlopend proces dat risico's identificeert, beperkt en herbeoordeelt gedurende de hele levenscyclus van het systeem.
Datagovernance
Herkomst, representativiteit en bias-toetsing van trainings-, validatie- en testdata, aantoonbaar vastgelegd.
Technische documentatie en logging
Voldoende documentatie om de werking te kunnen toetsen, plus logging die besluiten reconstrueerbaar maakt.
Menselijk toezicht met betekenis
Een medewerker die kan afwijken, dat ook doet en daarvoor de tijd en informatie heeft. Registreer afwijkingen.
Transparantie richting de aanvrager
Duidelijk maken dat AI meeweegt en een begrijpelijke uitleg kunnen geven bij een afwijzing.
De classificatie is uw belangrijkste document
Bij een toets is de eerste vraag niet 'is dit high-risk?' maar 'hoe bent u tot dat oordeel gekomen?'. Leg daarom per toepassing vast: wat het systeem doet, wie het gebruikt, welke rol de uitkomst speelt in het besluit, welke categorie u toekent en waarom.
Twee A4'tjes per toepassing is genoeg. Wat niet werkt, is een spreadsheet met kleurtjes zonder redenering erachter.
Veelgestelde vragen
- Is elke AI in het kredietproces high-risk?
- Nee. Het gaat om AI die de kredietwaardigheid van natuurlijke personen beoordeelt of hun kredietscore bepaalt. AI die alleen documenten sorteert, samenvat of fraudepatronen signaleert valt daar meestal buiten — mits die uitkomst het kredietbesluit niet feitelijk stuurt.
- Geldt het ook voor zakelijke kredieten?
- De high-risk-categorie richt zich op natuurlijke personen. Bij eenmanszaken en zzp'ers loopt dat onderscheid door elkaar; beoordeel dan per geval en leg de redenering vast.
- Wat als AI alleen adviseert en een mens beslist?
- Een adviesrol haalt u er niet automatisch uit. Als het advies in de praktijk vrijwel altijd wordt gevolgd, is het feitelijk besluitvormend. Toezichthouders kijken naar de praktijk, niet naar het organogram.
- Wanneer moet dit geregeld zijn?
- De high-risk verplichtingen worden vanaf augustus 2026 van kracht, met langere termijnen voor bepaalde bestaande systemen. Classificatie en documentatie kosten maanden, dus starten in 2026 is laat.
Volgende stap
Twijfelt u over de classificatie van uw toepassingen?
De AI Risicoscan brengt uw AI-gebruik in kaart, geeft per domein een score en levert een actieplan waarmee u de classificatie onderbouwd kunt vastleggen.