Stel je voor. Een fintech ontwikkelt een AI-agent die namens een bank betalingen uitvoert. Het onderliggende AI-model wordt geleverd door een derde partij.
Alles werkt uitstekend, totdat de agent vier miljoen euro overmaakt naar de verkeerde rekening. De agent heeft binnen zijn toegekende bevoegdheden gehandeld, maar het geld is foetsie en de bank moet de klant schadeloosstellen.
De bank onderzoekt het incident. De fintech verwijst naar een wijziging in het AI-model en de modelleverancier stelt dat het systeem volgens de instructies heeft gewerkt.
Wie is aansprakelijk? De bank, de fintech of de modelleverancier? Wellicht nog belangrijker: wie betaalt uiteindelijk die vier miljoen euro? Wie draait erop voor de schade?
AI-agents krijgen steeds meer zelfstandigheid binnen de financiële sector. Goed nieuws, want daarmee kunnen we bankieren beter, klantvriendelijker en efficiënter maken. Met die zelfstandigheid ontstaan ook financiële risico’s waar we volgens mij nog te weinig over nadenken.
Van adviseren naar zelfstandig handelen
De discussie over autonome AI binnen banken gaat vooral over productiviteit en efficiency. Hoeveel processen kunnen we automatiseren? Hoeveel kosten besparen we? Wat mij betreft praten we nog te weinig over de financiële risico’s die ontstaan wanneer AI zelfstandig handelt.
Er is een groot verschil tussen een AI-systeem dat adviseert en een agent die zelfstandig handelt. Een verkeerde samenvatting is meestal te corrigeren. Een foutieve betaling of beleggingsorder kan directe financiële gevolgen hebben die veel moeilijker terug te draaien zijn.
Uit onderzoek van de Bank of England en de Britse Financial Conduct Authority van 26 oktober blijkt dat 80 procent van de respondenten op de uitgebreide vragenlijst AI-agents gebruikt. Slechts 2 procent rapporteert agents met brede autonomie.
De sector lijkt niet direct alle beslissingsbevoegdheden over te dragen, maar naarmate de technologie zich ontwikkelt, zullen instellingen waarschijnlijk steeds meer taken aan autonome AI-agents overlaten.
De AI Act regelt veel, maar niet wie de rekening betaalt
Europa heeft met de AI Act belangrijke regels ontwikkeld voor het gebruik van AI. Voor AI-systemen met een hoog risico gelden eisen aan onder meer risicobeheersing, documentatie en menselijk toezicht. DORA stelt daarnaast eisen aan de beheersing van ICT-risico’s en uitbesteding.
Ook bestaande aansprakelijkheidsregels blijven gewoon gelden. Een bank kan zich niet zomaar achter een technologieleverancier verschuilen wanneer zij haar verplichtingen tegenover een klant niet nakomt, maar daarmee is de vraag wie uiteindelijk de financiële schade draagt nog niet beantwoord.
Stel dat de bank uit ons voorbeeld de klant schadeloos moet stellen. Vervolgens wil zij de vier miljoen euro verhalen op de fintech. Die fintech stelt echter dat het probleem bij het onderliggende AI-model ligt. De modelleverancier wijst op zijn beurt naar de instructies waarmee de agent is geconfigureerd.
Bovendien kunnen contracten de aansprakelijkheid van leveranciers beperken. Een schadeclaim van vier miljoen euro kan dan veel hoger zijn dan het bedrag dat een leverancier contractueel moet vergoeden. En dan hebben we het nog niet gehad over de vraag of de schade onder een verzekering valt.
Het probleem is niet alleen aansprakelijkheid, maar ook bewijsbaarheid
In oktober 2025 trok de Europese Commissie haar voorstel voor een afzonderlijke AI Liability Directive in. Het voorstel moest het voor gedupeerden gemakkelijker maken om schade door AI te verhalen, onder meer door bewijsproblemen aan te pakken.
En daar zit nu juist het probleem. Want hoe stel je vast wat er daadwerkelijk is misgegaan?
Was het een verkeerde instructie van de bank? Een fout in de configuratie door de fintech? Of een onverwachte uitkomst van het onderliggende AI-model?
Bij autonome AI kunnen beslissingen afhangen van verschillende instructies, gegevens, modelversies en interacties met andere systemen. Bovendien bevindt de benodigde informatie zich mogelijk bij meerdere leveranciers.
Dat maakt het voor klanten lastig om een fout aan te tonen, maar ook voor banken en fintechs om schade op een andere partij te verhalen. We hebben daarom niet per definitie nieuwe aansprakelijkheidsregels nodig. Wel moeten we ervoor zorgen dat bestaande regels ook bij autonome AI in de praktijk werken.
Wie kan zich het risico veroorloven?
De verzekeraars hebben hierin een belangrijke rol, maar daar speelt nog een ander probleem. Om een risico te kunnen verzekeren, moet je kunnen inschatten hoe groot de kans op schade is en hoeveel die schade kan bedragen.
Bij autonome AI ontbreekt die ervaring grotendeels. Hoe vaak maakt een agent een kostbare fout? Wat is de maximale schade als het misgaat? Voor verzekeraars maakt die onzekerheid het lastig om een premie vast te stellen. Bovendien moeten ze voldoende kapitaal aanhouden om mogelijke claims op te vangen. Dat kan verzekeringen duur maken of ertoe leiden dat bepaalde risico’s voorlopig niet worden gedekt.
Vooral kleinere fintechs kunnen daar last van krijgen. Want hoe ontwikkel je een innovatieve financiële dienst wanneer je het bijbehorende risico nauwelijks kunt verzekeren?
Banken, fintechs, technologieleveranciers en verzekeraars moeten daarom vooraf duidelijke afspraken maken over welke risico’s ze dragen, welke informatie beschikbaar is bij incidenten en hoe de schade wordt verdeeld. Niet pas wanneer het misgaat.
Is er een oplossing?
Ik ben ervan overtuigd dat autonome AI enorme kansen biedt voor de financiële sector. Juist fintechs kunnen hierin een belangrijke rol spelen, maar meer autonomie betekent ook dat we beter moeten nadenken over de financiële consequenties van fouten.
Wat mij betreft vraagt dit niet automatisch om meer regelgeving. Wel om afspraken die verder gaan dan de gebruikelijke contractuele bepalingen en aansprakelijkheidsbeperkingen. Want een klant die schade lijdt door een autonome AI-agent heeft weinig aan een discussie tussen drie leveranciers over wie verantwoordelijk is.
Je kunt niet eerst een AI-agent zelfstandig miljoenen laten overboeken en pas na een incident ontdekken dat niemand heeft afgesproken wie de schade betaalt.
Over de auteur
Job Mantz is Executive Director van Holland Fintech Association en zelfstandig adviseur op het gebied van strategie, digitale transformatie en groei binnen de financiële sector. Eerder bekleedde hij leidinggevende functies bij onder andere MeDirect, ABN AMRO en BinckBank. Vanuit zijn ervaring bij zowel gevestigde financiële instellingen als fintechs schrijft hij over de toekomst van bankieren, innovatie en technologie.
Job Mantz schrijft op persoonlijke titel.