De sprong van LLM’s naar AI-agents

Banken, verzekeraars en betaaldienstverleners functioneren allemaal op enorme digitale systemen. Met AI-agents in beeld zijn de mogelijkheden gigantisch. Denk aan klantenservicebots die problemen in seconden oplossen, assistenten die 24/7 transacties monitoren, of tools die duizenden contracten kunnen scannen en vrijwel onmiddellijk risico’s markeren. Deze agents kunnen de efficiëntie radicaal verbeteren en nieuwe waarde creëren.

Maar diezelfde kracht brengt ook nieuwe kwetsbaarheden met zich mee. Wat gebeurt er als een AI-agent de verkeerde beslissing neemt? Als het data verstuurt waar dat niet mag? Of simpelweg uitvalt midden in een cruciaal proces? Dat is niet langer een klein IT-probleem, maar een potentiële bedreiging voor de financiële stabiliteit. Precies die uitdaging ligt aan de basis van Europa’s nieuwe regelgeving: de Digital Operational Resilience Act (DORA).

DORA is de manier van de EU om te zeggen: “Innovatie is welkom, maar veerkracht is niet onderhandelbaar.” Sinds januari 2025 zijn alle financiële instellingen in Europa verplicht om te voldoen aan dezelfde normen voor digitale veerkracht.

In de kern draait DORA om voorbereiding. Kan jouw organisatie blijven functioneren als digitale systemen falen? Hebben jullie de mogelijkheid om problemen snel te detecteren, effectief te reageren en grote incidenten te rapporteren aan toezichthouders? En kunnen de technologiepartners waar je van afhankelijk bent, of het nu cloudplatforms, dataleveranciers of AI-providers zijn, ook aan diezelfde standaarden voldoen? Door één duidelijk raamwerk neer te zetten voor alle lidstaten, zorgt DORA ervoor dat veerkracht niet langer een lappendeken van nationale regels is, maar een gedeelde basis voor het Europese financiële systeem.

AI-agents zijn juist krachtig omdat ze actie kunnen ondernemen. Maar dat maakt ze tegelijkertijd onderdeel van het operationele risico van een organisatie. Onder DORA moeten ze behandeld worden als elk ander kritisch ICT-systeem. Dat betekent dat bedrijven duidelijke grenzen moeten stellen zodat agents niet buiten veilige of compliant kaders handelen. Het betekent ook dat wanneer een AI-gedreven proces gevoelige data lekt of een fout veroorzaakt, dit moet worden geregistreerd en gemeld als een digitaal incident. En het betekent dat elk extern AI-model of elke API waarop een bedrijf vertrouwt deel uitmaakt van het ecosysteem van derde partijen dat zorgvuldig gemonitord en getest moet worden.

Met andere woorden: AI-agents vallen niet buiten het bereik van veerkrachtplanning, ze staan er middenin.

Er is echter ook een andere kant van het verhaal. Dezelfde agents die nieuwe risico’s creëren, kunnen financiële instellingen juist helpen hun verplichtingen onder DORA na te komen. Stel je een assistent voor die nooit slaapt, voortdurend systemen controleert op zwakke plekken en problemen markeert voordat ze escaleren. Of een agent die automatisch incidentrapporten opstelt voor toezichthouders en zo kostbare tijd bespaart tijdens een crisis. Of zelfs een die cyberaanvallen simuleert en je digitale verdediging test. In die zin zijn AI-agents niet alleen een uitdaging onder DORA, maar ook een van de krachtigste instrumenten die bedrijven krijgen om eraan te voldoen.

LLM’s voorspellen. AI-agents handelen. En in de financiële sector hebben handelingen gewicht. DORA zorgt ervoor dat, wanneer de sector AI omarmt en nieuwe vormen van digitale automatisering inzet, veerkracht en veiligheid niet achterblijven. De toekomst van financiële diensten wordt niet alleen digitaal; ze wordt vanaf het begin veerkrachtig ontworpen.