Navigeren door de EU AI-verordening: nalevingsvereisten voor geautomatiseerde rapportage

1. Samenvatting

Met het aflopen van de overgangsperiodes van de EU AI Act in 2026 is het behandelen van kunstmatige intelligentie als een informeel IT-experiment nu een aanzienlijk regelgevingsrisico. Voor audit- en accountantskantoren is AI-governance een opdracht op bestuursniveau.

Systemen die financiële gegevens verwerken of professionele oordeelsvorming ondersteunen, vallen onder strikte eisen op het gebied van transparantie, gegevensverwerking en toezicht. Kantoren kunnen niet langer vertrouwen op ondoorzichtige tools. Zij moeten aantonen dat hun geautomatiseerde rapportageworkflows veilig, interpreteerbaar en uiteindelijk door een menselijke professional worden beheerst.

De onderstaande tabel koppelt de belangrijkste pijlers van de EU AI Act aan praktische, operationele oplossingen voor financiële ondernemingen.

2. Inleiding: AI verlaat het Wilde Westen

De vroege adoptie van AI in de financiële sector werd vooral gedreven door individuele accountants die publieke chatbots gebruikten om dagelijkse taken te versnellen. Dit tijdperk van 'shadow IT' stelde professionals in staat te experimenteren, maar creëerde een omgeving die volledig verstoken was van formele kwaliteitscontrole.

Vandaag is het juridische landschap fundamenteel veranderd. Het gebruik van consumenten-AI om vertrouwelijke klantgegevens te verwerken schendt de regels rond beroepsgeheim en voldoet niet aan de strenge compliance-eisen die de EU AI Act heeft ingevoerd. Toezichthouders kijken nu niet alleen naar de financiële uitkomst, maar ook naar de digitale infrastructuur waarmee die tot stand komt. Voor leiderschapsteams binnen accountantskantoren moet de strategische focus verschuiven van wat AI kan doen naar hoe AI wordt beheerst.

3. Pijler 1: Datagovernance en grounding

Artikel 10 van de EU AI Act schrijft hoogwaardige gegevens en robuuste datagovernancepraktijken voor. Voor financiële verslaggeving betekent dit dat AI-systemen moeten werken op basis van geverifieerde, onbevooroordeelde informatie.

De operationele realiteit is dat kantoren moeten afstappen van modellen die steunen op brede, niet-geverifieerde trainingsdata van het internet. Als een AI-agent een verslaggevingsgrondslag opstelt voor een complexe leaseovereenkomst, kan hij zijn redenering niet baseren op een blogpost die hij twee jaar geleden heeft gelezen. Hij moet zijn redenering baseren op de exacte tekst van het actuele regelgevingskader.

Om dit te bereiken, implementeren kantoren beveiligde infrastructuren die de AI 'gronden' in feitelijke, interne kantoorgegevens en officiële wet- en regelgeving. Gestandaardiseerde integratiekaders, zoals het Model Context Protocol (MCP), worden steeds vaker gebruikt om AI-modellen veilig te koppelen aan propriëtaire databases. Dit zorgt ervoor dat de AI zijn kennis ophaalt uit een afgesloten, vertrouwde kluis in plaats van te gokken op basis van openbare datapatronen, waarmee perfect wordt voldaan aan de regelgevende eis van gegevensintegriteit.

4. Pijler 2: Menselijk toezicht (de loop)

Artikel 14 van de EU AI Act schrijft expliciet menselijk toezicht voor. AI-systemen moeten zodanig worden ontworpen dat natuurlijke personen er effectief toezicht op kunnen houden, hun beperkingen kunnen begrijpen en kunnen ingrijpen. In softwarearchitectuur wordt dit bereikt door een mens óf 'in the loop' óf 'on the loop' te plaatsen.

Een human-on-the-loop-systeem laat de AI continu geautomatiseerde taken uitvoeren terwijl de mens een dashboard monitort en de bevoegdheid behoudt om de uitvoer te overrulen als er iets misgaat.

Een human-in-the-loop-systeem is veel strikter. De AI stelt een actie voor, zoals het mappen van een complexe proef- en saldibalans naar een rapportagetaxonomie of het markeren van een compliance-risico, maar de workflow stopt fysiek totdat een menselijke professional deze expliciet goedkeurt.

Voor het opstellen en controleren van financiële overzichten is de human-in-the-loop-aanpak strikt vereist. Volledig autonome autopilots kunnen niet worden gebruikt voor het aftekenen van officiële jaarrekeningen. De technologie fungeert als een zeer capabele opsteller, maar de geregistreerde professional blijft de uiteindelijke, verantwoordelijke besluitvormer.

5. Pijler 3: Transparantie en de digitale audit trail

Artikel 13 vereist transparantie en verstrekking van informatie, wat betekent dat gebruikers en toezichthouders de uitvoer van het systeem moeten kunnen interpreteren.

In het geval van een inspectie door een kwaliteitsbeoordelaar, zoals de AFM of de SRA, is het niet geldig om te stellen dat "de AI een fout heeft gemaakt". Kantoren moeten de exacte context van de opdracht op het moment dat de AI werd gebruikt kunnen reconstrueren.

Dit vereist diepgaande traceerbaarheid van de verwerkingsketen. Kantoren moeten systemen implementeren die de digitale audit trail permanent vastleggen in het opdrachtdossier. Dit omvat het registreren van elk specifiek hulpmiddel dat de AI heeft aangeroepen, de exacte prompt die is uitgevoerd, de versie van het gebruikte AI-model en de redeneerketen die het model heeft gevolgd om tot zijn conclusie te komen. Zonder deze transparante trace blijft de AI een zwarte doos, waardoor het kantoor niet-conform is.

6. Conclusie

De EU AI Act wordt vaak gezien als een regelgevingshindernis, maar kan beter worden beschouwd als een blauwdruk voor veilige, professionele AI-adoptie. Het dwingt de sector om experimentele gewoonten achter zich te laten en governance op enterprise-niveau te omarmen.

Kantoren die proactief investeren in beveiligde infrastructuur, human-in-the-loop-workflows en traceerbare verwerkingsketens, zullen hun AI-gebruik met vertrouwen kunnen opschalen. Wie blijft vertrouwen op ad-hoc tools en niet-gemonitorde chatinterfaces, loopt onaanvaardbare compliance-risico's. In 2026 is het concurrentievoordeel voor de kantoren die kunnen aantonen dat hun AI net zo gedisciplineerd is als hun accountants.