AI-chatbot voor financiële diensten: compliance check

Een AI-chatbot bij een financiële dienstverlener is geen reskinned support-bot. Het juridisch raamwerk is anders, de aansprakelijkheid is anders, en wat je wel en niet aan AI mag overlaten staat in wet vastgelegd. Vijf vragen die je moet kunnen beantwoorden voordat je gaat.

1. AVG, DORA en MiFID-II — in één regel

AVG regelt persoonsgegevens. DORA vereist bestendigheid van je IT-keten (inclusief leverancier-contracten). MiFID-II raakt geschiktheidstoetsen, transparantie en passendheidsverplichtingen. Je chatbot raakt alle drie zodra je hem klantvragen laat beantwoorden over financiële producten — niet pas wanneer hij advies geeft.

2. Wat je nooit aan een bot mag overlaten

Drie categorieën zijn juridisch off-limits voor AI, ongeacht hoe goed het model is. Niet omdat het technisch niet kan — omdat de wet er een mens of een geregistreerde adviseur voor vereist:

• Geschiktheidstoets en passendheidstoets — een bot mag deze nooit zelfstandig afsluiten of vastleggen.
• Definitief productadvies (een specifieke hypotheek, polis, beleggingsproduct aanbevelen).
• Acceptatie van mutatie-aanvragen die financiële gevolgen hebben — alleen mens-bevestigd.

Wat de bot wél mag: uitleggen wat een geschiktheidstoets is, een afspraak inplannen, productinformatie geven. Bij Hypadvies werkt dit precies zo: 91,8% afhandeling, maar zodra het naar advies of verzilvering gaat, naar de adviseur.

3. De “noodzakelijke onderbreking” — wettelijke informatieplichten

In financiële diensten ben je verplicht bepaalde informatie te delen — vóór een aanbod, vóór advies, en vaak ook vóór een nadere vraag. Je bot moet weten wanneer het gesprek geforceerd onderbroken moet worden voor een bekende disclaimer of doorverwijzing. Dat zijn geen chatberichten — dat zijn juridische artefacten met traceerbaarheid.

4. Logging die je over 5 jaar nog kunt overleggen

MiFID-II vereist dat je communicatie met een (potentiële) klant 5 jaar bewaart. Voor sommige producten 7 jaar. Dat geldt ook voor chatbot-conversaties. Drie eisen aan je logging:

Een leverancier die je niet kan vertellen waar de logs liggen, hoe lang ze blijven en hoe je ze exporteert, kun je beter niet inzetten — onafhankelijk van hoe goed het AI-model is.

5. Wanneer je auteurschap moet kunnen aantonen

Bij een geschil moet je kunnen aantonen wat door een mens is geschreven en wat door AI is gegenereerd. Dat klinkt absurd, maar het is waar de toezichthouders heen bewegen. Praktisch: zorg dat je systeem onderscheid maakt tussen mens-bewerkte FAQ-antwoorden (gecontroleerd, getekend) en AI-gegenereerde antwoorden (gegenereerd, gelogd, met de prompt erbij).

Een korte checklist voor compliance go-live

Hypadvies werkt onder dit raamwerk. Het kan dus. Maar niet by accident — alleen door deze vijf punten vóór livegang expliciet te beleggen.