Financiële instellingen in Singapore blijven verantwoordelijk voor de AI van hun leveranciers

De Monetary Authority of Singapore (MAS) heeft op 7 oktober 2026 haar definitieve richtsnoeren voor AI-risicobeheer gepubliceerd. Volgens de toezichthouder gelden ze voor alle financiële instellingen en voor alle vormen van AI, en blijft een instelling verantwoordelijk voor AI die een derde ontwikkelt, beheert of levert. De richtsnoeren volgen op een openbare raadpleging van november 2025; MAS hield daarna vast aan de kern van haar verwachtingen en paste details aan.

Wat de richtsnoeren vragen

MAS verwacht dat de raad van bestuur en het hoger management toezicht houden op AI-risico’s, verantwoordelijkheden vastleggen en een risicobereidheid bepalen. Daarvoor mogen bestaande bestuursstructuren dienen: een apart AI-comité is niet nodig. Instellingen moeten bijhouden waar ze AI inzetten, per toepassing beoordelen hoe zwaar het risico weegt en daar proportionele controles aan koppelen, onder meer rond datagovernance, testen, menselijk toezicht, cyberbeveiliging, monitoring en wijzigingsbeheer. Een instelling waarvan het AI-gebruik waarschijnlijk geen materiële impact heeft op haarzelf, haar klanten of andere instellingen, kan volgens MAS volstaan met basisbeleid en basisprocedures.

Voor AI van derden moet een instelling voldoende garanties van de leverancier verkrijgen. Kan het risico van zo’n dienst niet binnen de risicobereidheid gebracht worden, dan moet ze overwegen de dienst te beperken, op te schorten of te vervangen.

De richtsnoeren gaan in op 7 oktober 2027. De invoering gebeurt gefaseerd: onderdelen 3 en 4 gelden vanaf oktober 2027, onderdelen 5 en 6 vanaf oktober 2028. Over AI-agenten die zelfstandig kunnen handelen en tools kunnen gebruiken, schrijft MAS nog geen aparte regels voor: instellingen moeten hun controles herbekijken naarmate dat gebruik groeit, en MAS wil de sector in 2027 raadplegen over bijkomende richtsnoeren.

Wat betekent dit voor banken in België?

Een Belgische bank valt niet onder deze richtsnoeren, tenzij ze in Singapore actief is: de regels gelden daar voor financiële instellingen die onder MAS-toezicht staan. Wie een Singaporese vestiging heeft, zal de inventarisatie, de beoordeling per toepassing en de afspraken met AI-leveranciers voor die entiteit moeten inrichten.

Voor de rest is het stuk vooral een vergelijkingspunt. Ook de ECB wil dat banken bij AI-agenten waarborgen inbouwen, zoals we eerder schreven over de toespraak van Claudia Buch. MAS legt het zwaartepunt bij bestuur, een inventaris van toepassingen en de keten van leveranciers, en wil de sector pas in 2027 raadplegen over bijkomende richtsnoeren voor AI-agenten. De vraag voor een bank die AI-diensten afneemt, is of ze kan aantonen welke toepassingen ze heeft, hoe zwaar elk risico weegt en wat ze met een leverancier heeft afgesproken als diens model buiten haar risicobereidheid valt.