Amerikaanse staatstoezichthouders geven bankexaminatoren een AI-toetsingskader

De Amerikaanse koepelorganisatie van deelstaattoezichthouders, de Conference of State Bank Supervisors (CSBS), publiceerde op 16 september 2026 een toetsingskader waarmee examinatoren van de deelstaten het AI-gebruik en de AI-risico’s kunnen beoordelen bij banken met een staatsvergunning en bij niet-bancaire financiële instellingen onder staatstoezicht. CSBS noemt het een hulpmiddel dat de examinator naar eigen inzicht gebruikt, met een op principes gebaseerde aanpak van governance. Volgens Banking Dive werkt het met een reeks vragen over waar AI in de instelling zit en wat er doorheen loopt, en deelt het toepassingen in naar risico: van intern gebruik met menselijke controle aan de ene kant tot rechtstreekse impact op klanten, gevoelige data en beperkt toezicht aan de andere.

Het kader is uitdrukkelijk geen verplichting. “The use of AI provides a powerful new tool for financial institutions to improve services, protect consumers, and increase operating efficiency,” zei CSBS-topman Brandon Milhorn bij de release, en elke staat beslist zelf hoeveel ervan ze in haar toezicht overneemt. Het gros van de Amerikaanse banken met een federale depositoverzekering staat onder toezicht van zo’n deelstaatregulator, meldt Banking Dive, waardoor het kader het grootste deel van de Amerikaanse banksector raakt. Het komt er nadat de federale toezichthouders — de Federal Reserve, de OCC en de FDIC — generatieve en agentische AI in hun eigen richtlijnen nog uitdrukkelijk buiten beschouwing lieten omdat die technologie volgens hen te nieuw is en te snel verandert, meldt hetzelfde vakblad.

Wat betekent dit voor banken in België?

Een Belgische bank heeft niet de keuze die een Amerikaanse staatsbank wel heeft. Sinds 17 januari 2025 verplicht de Digital Operational Resilience Act (DORA) elke bank, verzekeraar en betaalinstelling in de EU om ICT-risico’s te beheersen — een bindend kader, geen vrijblijvend hulpmiddel waarvan een toezichthouder de toepassing aan de instelling zelf overlaat. Op 31 juli 2026 riepen de Europese toezichthouders EBA, EIOPA en ESMA samen op om de ICT-risico’s van “frontier”-AI-modellen “zonder uitstel” binnen diezelfde DORA-governance te beheren, in plaats van te wachten op nieuwe wetgeving. Waar de Amerikaanse deelstaatregulator dus zelf mag afwegen hoeveel gewicht het CSBS-kader in haar toezicht krijgt, ligt voor een Belgische bank de verplichting om AI-risico’s te beheersen al vast: niet óf, maar hoe grondig.

Voor de risico-indeling die CSBS nu voorstelt — oplopend naargelang de impact op de klant — bestaat in de EU wél een bindende tegenhanger die specifiek over AI gaat, en die staat in de AI Act zelf. AI-systemen die bedoeld zijn om de kredietwaardigheid van natuurlijke personen te beoordelen of hun kredietscore te bepalen, staan als hoogrisicotoepassing in bijlage III, punt 5, onder b, de lijst die bij artikel 6, lid 2 hoort — met één uitzondering, die de bron expliciet maakt: AI-systemen die gebruikt worden om financiële fraude op te sporen. Dat onderscheid is op deze tak geen detail. Een model dat een kredietscore bepaalt, valt onder het zware regime; een model dat fraude detecteert, niet. Wie die twee in één adem noemt, zet de verkeerde bank in de verkeerde categorie.

Alleen: die verplichtingen gelden vandaag nog niet. De AI Omnibus trad op 27 juli 2026 in werking en verschoof de toepassing: artikel 113 van de AI Act zet de datum voor hoogrisicosystemen uit bijlage III op 2 december 2027. Tot dan is DORA wat telt — en dat is genoeg voor het verschil met de VS: elke Belgische bank moet vandaag al kunnen tonen welke ICT-systemen, AI incluis, ze gebruikt en hoe ze de risico’s ervan beheerst. Wie dat register nu aanlegt met een risico-indeling erbij, voldoet niet alleen aan DORA maar legt ook het werk klaar dat er vanaf december 2027 sowieso ligt.