1. Doel en uitgangspunt
FinanceLabs wil ondernemers helpen informatie te begrijpen, mogelijkheden te vergelijken en hun administratieve processen te verbeteren. Boekhouder.nl is een handelsnaam van FinanceLabs BV. De AI-adviseur ondersteunt deze dienstverlening door behoeften te verduidelijken en informatie uit de beschikbare gegevens te ontsluiten.
Dit beleid stelt voorwaarden aan dat gebruik. FinanceLabs moet kunnen uitleggen waarvoor AI wordt ingezet, welke beperkingen gelden, wie verantwoordelijk is en hoe fouten worden aangepakt. Naleving vraagt om een werkende inrichting, passende kennis en terugkerende controle.
Het beleid geldt voor medewerkers en opdrachtnemers die namens FinanceLabs AI ontwikkelen, inkopen, beheren of gebruiken. Het omvat ook AI voor onderzoek, redactie en interne ondersteuning wanneer zulke toepassingen worden ingezet.
2. De toegestane rol van de AI-adviseur
De beoogde functie van de advisor is informatie en keuzeondersteuning. De toegestane ondersteuning verschilt per onderwerp:
| Onderwerp | Toegestane ondersteuning binnen dit beleid |
|---|---|
| Boekhoudprogramma's | Behoeften verduidelijken, functies en kosten vergelijken en de aansluiting op een beschreven scenario toelichten. |
| Zakelijke rekeningen | Openbare kenmerken, kosten, voorwaarden en verschillen inzichtelijk maken binnen vastgelegde vergelijkingscriteria. |
| Zakelijke financiering | Financieringsvormen uitleggen, openbare voorwaarden tonen en mogelijkheden binnen transparante filters vergelijken. |
| Belastingen en workflows | Regels, aandachtspunten en processtappen uitleggen, met vermelding van relevante aannames en bronnen. |
Binnen deze afbakening mag de advisor geen kredietwaardigheid, kredietscore, verantwoorde leenruimte of individuele acceptatiekans bepalen. Een persoonlijke aanbeveling om een specifieke financiering af te sluiten valt buiten deze informatiehulp. De advisor mag evenmin zelfstandig aanvragen indienen, overeenkomsten sluiten of belastingaangiften verzenden.
Nieuwe functies moeten vooraf op hun werkelijke werking worden beoordeeld. Dat geldt ook voor koppelingen die gebruikersgegevens doorgeven aan een financieel aanbieder. Een nieuwe naam of disclaimer verandert de aard van de dienstverlening niet.
- De AFM beschrijft het aanbevelen van een specifiek financieel product van een bepaalde aanbieder aan een bepaalde klant als adviseren. Ook gegevensdoorgifte kan bemiddelen zijn. Of de Wft, een vergunningplicht of een uitzondering van toepassing is, hangt mede af van product, doelgroep en feitelijke activiteiten. Dit beleid stelt geen vrijstelling voor FinanceLabs vast.
- AFM: adviseren en bemiddelen
3. Duidelijk maken wanneer iemand AI gebruikt
Bij de advisor moet uiterlijk aan het begin van de eerste interactie duidelijk zijn dat de gebruiker met AI communiceert. FinanceLabs hanteert daarvoor een zichtbare melding bij iedere nieuwe sessie, ook op mobiel en toegankelijk voor hulptechnologie. Alleen een vermelding in dit beleid of de gebruiksvoorwaarden is onvoldoende.
Europese Commissie: richtsnoeren voor AI-transparantie, punten 33–38 en 142–144
Te gebruiken basistekst bij de advisor:
Bij financiering moet daarnaast de begrenzing uit onderdeel 2 begrijpelijk worden toegelicht. De interface mag geen persoonlijke financiële beoordeling suggereren wanneer de dienst uitsluitend informatie en filters biedt.
Een menselijke naam, foto of expertvermelding mag geen onjuiste indruk geven over wie het antwoord heeft opgesteld of gecontroleerd. Een antwoord mag alleen als door een deskundige gecontroleerd worden aangeduid als die controle daadwerkelijk heeft plaatsgevonden.
4. AI-uitvoer en openbare publicaties herkenbaar houden
Voor aanbieders van generatieve AI-systemen geldt onder artikel 50 lid 2 een afzonderlijke verplichting rond machinaal leesbare markering en detecteerbaarheid van AI-uitvoer. Een zichtbaar AI-label vervangt die technische verplichting niet. FinanceLabs moet voor het eigen systeem vastleggen welke verplichtingen gelden en hoe ontwikkelaar en modelleverancier daaraan bijdragen.
Europese Commissie: markering en zichtbare labels
De technische controle moet de daadwerkelijk aangeboden uitvoer omvatten, inclusief opslaan, exporteren en delen als die functies beschikbaar zijn. Een leveranciersverklaring moet worden getoetst aan de eigen toepassing. Technische beperkingen en de gekozen oplossing moeten worden gedocumenteerd.
Als aanvullende beleidsregel krijgen rechtstreeks gedeelde of geëxporteerde AI-antwoorden een zichtbare aanduiding, bijvoorbeeld ‘Gegenereerd met AI · Boekhouder.nl’.
Bij openbare AI-teksten over onderwerpen van algemeen belang moet worden beoordeeld of artikel 50 lid 4 een bekendmaking vereist. De uitzondering vraagt inhoudelijke menselijke beoordeling of redactionele controle én daadwerkelijke redactionele verantwoordelijkheid. Alleen spellingcontrole of een expertnaam is onvoldoende.
Europese Commissie: openbare AI-teksten en redactionele controle
Wie deze uitzondering toepast, moet vastleggen welke versie is gecontroleerd, door wie en wanneer. Na inhoudelijke AI-wijzigingen moet de gewijzigde tekst opnieuw worden beoordeeld voordat daarop wordt vertrouwd.
5. Onafhankelijkheid en aansluiting op de methodologie
Voor AI gelden dezelfde onafhankelijkheidsafspraken als voor de scenariovergelijkingen van Boekhouder.nl:
- Criteria en gewichten worden per vergelijkingspagina of scenario vastgelegd en uitgelegd.
- Adverteerders kunnen geen hogere positie, hogere score of gunstiger AI-conclusie kopen.
- Vergoedingen mogen geen rol spelen in de berekening van geschiktheid of rangschikking.
- Relevante commerciële relaties moeten herkenbaar worden vermeld.
- Aanbieders kunnen feitelijke correcties aandragen, maar hebben geen redactioneel veto.
De advisor moet kunnen toelichten op welke invoer, criteria en gegevens een vergelijking berust. Ontbrekende gegevens mogen niet worden ingevuld met verzonnen tarieven of voorwaarden. Er mag geen volledige marktdekking worden gesuggereerd wanneer slechts een selectie van aanbieders is onderzocht.
Als de advisor een andere selectie of volgorde toont dan een vaste scenariopagina, moet die afwijking inhoudelijk verklaarbaar zijn. Bij financiering moet ook die werking binnen de vooraf beoordeelde informatiehulp blijven.
6. Bronnen, actualiteit en inhoudelijke controle
FinanceLabs moet bronnen regelmatig controleren en wijzigingen verwerken in de gegevens waarop de advisor steunt. De controle sluit aan op het onderwerp en de gepubliceerde methodologie.
Voor tarieven en productvoorwaarden zijn openbare aanbiederspagina’s en officiële prijslijsten het uitgangspunt. Voor belastingen en regelgeving hebben primaire bronnen, zoals de Belastingdienst, wetgeving en publicaties van toezichthouders, voorrang.
Bij gegevens die een vergelijking of berekening bepalen, moet worden vastgelegd: de bron, de controledatum, de relevante versie of geldigheidsdatum en de gebruikte aannames. Een controledatum mag alleen worden vernieuwd na een echte controle.
Bekende wijzigingen in tarieven, fiscale regels of voorwaarden moeten aanleiding geven tot herbeoordeling van de betrokken inhoud. Ontbreekt betrouwbare actuele informatie, dan moet de advisor die beperking aangeven en zo nodig afzien van een stellige uitkomst.
De redactie controleert openbare inhoud op feitelijke juistheid, brongebruik en duidelijkheid. Steekproeven van chatantwoorden dienen om structurele fouten te ontdekken. Daarmee wordt geen menselijke beoordeling van ieder afzonderlijk gesprek toegezegd.
7. Rollen, risico’s en verantwoordelijkheid vastleggen
Per AI-toepassing moet FinanceLabs bepalen welke juridische rol het vervult. Wie een systeem ontwikkelt of laat ontwikkelen en onder eigen naam aanbiedt, kan systeemaanbieder zijn. Wie AI onder eigen verantwoordelijkheid gebruikt, kan gebruiksverantwoordelijke zijn. Een extern taalmodel neemt eigen verplichtingen niet automatisch weg.
Europese Commissie: aanbieder en gebruiksverantwoordelijke
Bij een onder Boekhouder.nl ontwikkelde advisor moet rekening worden gehouden met de rol van systeemaanbieder. Die rol maakt FinanceLabs niet automatisch aanbieder van het onderliggende algemene AI-model.
Een informatiehulp over financiering is niet automatisch hoogrisico-AI. AI die de kredietwaardigheid of kredietscore van natuurlijke personen beoordeelt, valt wel onder de betreffende categorie in bijlage III. Een zakelijke doelgroep sluit dit niet uit: een ondernemer kan een natuurlijke persoon zijn.
AI Act, bijlage III, punt 5(b)
Bij een nieuw gebruiksdoel moet ook worden onderzocht of verboden AI-praktijken of andere hoogrisicocategorieën relevant zijn. Een algemene kwalificatie van de hele onderneming als ‘laag risico’ volstaat niet.
Europese Commissie: risicocategorieën
8. Persoonsgegevens en leveranciers
AI-gebruik moet afzonderlijk aan de AVG worden getoetst. Voor iedere verwerking moet vooraf een passende rechtsgrond en een duidelijk doel worden vastgesteld. Een AI-melding of akkoord met algemene voorwaarden is geen algemene toestemming voor verdere verwerking.
EDPB: rechtmatige verwerking en toestemming
Voor de advisor gelden de volgende beleidsregels:
- Vraag alleen gegevens die nodig zijn voor de beschreven functie. Gebruik waar mogelijk globale categorieën of bandbreedtes.
- Vraag in de algemene chat niet om BSN, DigiD-inloggegevens, wachtwoorden of volledige identiteitsdocumenten.
- Leg vast welke invoer, antwoorden en gebruiksgegevens worden opgeslagen, waarom, wie toegang heeft en wanneer verwijdering plaatsvindt.
- Beoordeel leveranciers op hun werkelijke rol, onderaannemers, gegevenslocaties, doorgiften en contractuele afspraken.
- Gebruik gespreksgegevens niet voor modeltraining of andere nieuwe doeleinden zonder voorafgaande beoordeling van noodzaak, rechtsgrond, informatievoorziening en leveranciersinstellingen.
Voor iedere toepassing moet worden onderzocht of een gegevensbeschermingseffectbeoordeling, een DPIA, nodig is. Deze is verplicht wanneer de verwerking waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert. Bij een blijvend hoog risico kan voorafgaande raadpleging van de toezichthouder nodig zijn. Deze AVG-toets staat los van de risicocategorie onder de AI Act.
EDPB: privacy by design en DPIA
De privacyverklaring moet overeenkomen met de werkelijke AI-verwerking. Verzoeken om bijvoorbeeld inzage, correctie of verwijdering moeten volgens de toepasselijke voorwaarden en termijnen worden behandeld. Nieuwe functies met uitsluitend geautomatiseerde beslissingen die rechtsgevolgen of vergelijkbare aanzienlijke gevolgen hebben, vragen een afzonderlijke beoordeling onder artikel 22 AVG.
EDPB: rechten en geautomatiseerde beslissingen
9. Beveiliging, kennis en wijzigingen
Toegang tot AI-beheer en opgeslagen gegevens moet passen bij iemands taak. Beveiligingsmaatregelen moeten worden gekozen en getest op basis van de gegevens en risico’s. Het dossier moet onder meer de toegangsbeveiliging, bescherming van sleutels, gegevensoverdracht en verwijdering beschrijven.
EDPB: persoonsgegevens beveiligen
Onder dit beleid mogen medewerkers vertrouwelijke bedrijfs- of gebruikersgegevens alleen verwerken met daarvoor beoordeelde AI-tools. Het beoordelingsdossier moet laten zien welke instellingen en contracten daarbij gelden.
Betrokken medewerkers en opdrachtnemers moeten instructie krijgen die aansluit op hun taken, ervaring en de risico’s van de toepassing. Artikel 4 verlangt maatregelen ter ondersteuning van AI-geletterdheid; volgens de actuele Commissie-uitleg geldt geen verplicht certificaat of gegarandeerd kennisniveau per individu.
Europese Commissie: AI-geletterdheid
De instructie moet praktisch ingaan op onjuiste antwoorden, broncontrole, persoonsgegevens, commerciële beïnvloeding, financieringsgrenzen en het melden van fouten. FinanceLabs moet vastleggen welke instructie is gegeven en wanneer aanvulling nodig is.
Vóór ingebruikname en na wezenlijke wijzigingen aan model, instructies, databronnen of functionaliteit moeten gerichte controles plaatsvinden.
10. Fouten en incidenten behandelen
Een melding moet worden beoordeeld op inhoudelijke impact, betrokken gegevens en mogelijke schade. Bij een ernstig probleem moet de verantwoordelijke de betreffende functie kunnen beperken of tijdelijk uitschakelen.
De opvolging omvat registratie, onderzoek naar de oorzaak, herstel van gegevens of werking, controle van de oplossing en waar nodig informatie aan betrokken gebruikers. Terugkerende fouten moeten leiden tot aanpassing van instructies, bronnen, techniek of gebruiksdoel.
Bij een datalek gelden afzonderlijke AVG-regels. Een meldplichtig datalek moet zonder onredelijke vertraging en waar mogelijk binnen 72 uur na bekendwording aan de bevoegde toezichthouder worden gemeld. Bij een waarschijnlijk hoog risico moeten ook betrokkenen zonder onredelijke vertraging worden geïnformeerd, behoudens toepasselijke uitzonderingen. Ook niet-gemelde datalekken moeten worden gedocumenteerd.
EDPB: datalekken
Een inhoudelijk onjuist AI-antwoord is niet automatisch een datalek. Eventuele andere wettelijke meldplichten moeten op basis van het incident, de juridische rol en het soort systeem worden beoordeeld.