DORA, EU AI Act en datasoevereiniteit: de compliance-stack 2026 voor banken

TL;DR. DORA, EU AI Act, GDPR, concentratierisico cloud en datasoevereiniteit smelten in 2026 samen tot één compliance-stack voor banken in Nederland.

Points clés

Waarom 2026 het jaar is waarin dit strategisch werd. De sector is voorbij de adoptiefase.
De architectuurbasis voor 2026. De bank zou moeten beginnen bij de wrijving: vastzittende liquiditeit, settlementvertraging, reconciliatiekosten, mislukte betalingen, fraudeblootstelling, zwakke auditeerbaarheid of slechte klantervaring.
Strategische architectuurtabel. Wereldwijde banken zouden orkestratie op platformniveau moeten creëren, zodat niet elke markt, rail, token en AI-capaciteit een afzonderlijk operating model wordt.
Wat dit betekent per banktype. Wereldwijde banken zouden orkestratie op platformniveau moeten creëren, zodat niet elke markt, rail, token en AI-capaciteit een afzonderlijk operating model wordt.

DORA, de EU AI Act, GDPR, concentratierisico cloud en datasoevereiniteit smelten samen tot één compliance-stack 2026 voor banken. Het signaal van 2026 is dat compliance-architectuur is verschoven van innovatietheater naar het operating model van de bank, waar de doorslaggevende vraag ontwerpdiscipline is: welke data, rails, controles, aansprakelijkheden en klantworkflows horen bij elkaar (European Commission).

Managementsamenvatting / belangrijkste punten

Compliance-architectuur is nu strategisch. Het onderwerp is verbonden aan operating model, veerkracht, klantwaarde en regelgevend bewijs in plaats van een smalle productlancering (European Commission).

Het ontwerpprincipe is bewijs van controle. Banken hebben een architectuur nodig die beleid, product, data, railkeuze, risicocontroles en meetbare economie verbindt (IOMETE).

Het controlemodel moet realtime zijn. Beslissingen over fraude, liquiditeit, compliance, settlement en operationeel risico moeten op het tempo van de workflow draaien, niet achteraf.

Datakwaliteit wordt commercieel voordeel. Gestructureerde data, transactiecontext, auditlogs en identiteitssignalen worden het substraat voor automatisering en klantgerichte producten.

Fragmentatie is de vijand. Een bank die geïsoleerde pilots bouwt rond elke rail, token, model of compliance-eis creëert toekomstig operationeel risico.

Het winnende model is orkestratie. De instelling die elke workflow kan routeren, besturen, beprijzen, bewijzen en uitleggen presteert beter dan degene die slechts weer een tool adopteert (GOV.UK).

Waarom 2026 het jaar is waarin dit strategisch werd

De sector is voorbij de adoptiefase. Het volstaat niet langer om aan te sluiten op een rail, een bericht te migreren, een AI proof of concept te draaien of een tokenisatiepilot aan te kondigen. In 2026 ontstaat het strategische voordeel uit het orkestreren van die capaciteiten tegen een echte workflow, en vervolgens aantonen dat de workflow veiliger, sneller, goedkoper, veerkrachtiger of nuttiger is voor klanten.

Daarom is compliance-architectuur nu een onderwerp voor de Raad van Bestuur. Dezelfde drukfactoren keren terug: rijkere betalingsdata, realtime settlement, getokeniseerd geld, AI-besluitvorming, Open Banking, operationele veerkracht, concentratierisico cloud en sterker regelgevend bewijs. Apart behandeld leiden die drukfactoren tot programmawildgroei. Als één architectuur behandeld leveren ze operationele hefboomwerking op (European Commission, IOMETE).

De architectuurbasis voor 2026

1. Workflow eerst, technologie tweede

De bank zou moeten beginnen bij de wrijving: vastzittende liquiditeit, settlementvertraging, reconciliatiekosten, mislukte betalingen, fraudeblootstelling, zwakke auditeerbaarheid of slechte klantervaring. De technologie is alleen gerechtvaardigd waar die wrijving wordt weggenomen (European Commission).

2. Data als control plane

Gestructureerde, beheerde en traceerbare data vormen het fundament. Zonder bruikbare data wordt automatisering broos en compliance handwerk. Met bruikbare data kunnen banken routeringsintelligentie, realtime controles en klantgerichte analytics creëren (IOMETE).

3. Orkestratie over rails en platforms heen

De architectuur moet meerdere rails, leveranciers, identiteitsschema's, risicosignalen en settlementactiva ondersteunen. De routeringsbeslissing moet worden genomen op basis van kosten, snelheid, finaliteit, jurisdictie, klantvoorkeur, veerkracht en datarijkdom.

4. Ingebedde compliance en bewijs

Het compliance-model moet inheems zijn aan de workflow. Policy-as-code, geautomatiseerde auditlogs, bewijs van operationele veerkracht, toestemmingsregisters en modelgovernance moeten als onderdeel van de uitvoering worden geproduceerd, niet later voor auditors gereconstrueerd.

5. Unit-economie en klantwaarde

Elk initiatief heeft bewijs van commerciële waarde nodig. Kosten per betaling, kosten per besluit, kosten per onderzoek, bespaarde liquiditeit, vermeden handmatige herstelacties, gereduceerde fraudeverliezen en klantadoptie moeten schaalbeslissingen bepalen.

Strategische architectuurtabel

Laag	Richting 2026	Bankkans	Risico bij verkeerde aanpak
Workflowlaag	Pijnpunt van de klant bepaalt het product	Duidelijke business case en adoptie	Technologiegedreven pilots zonder gebruikers
Datalaag	Gestructureerde, beheerde transactie- en controledata	Automatisering, analytics en auditeerbaarheid	Slechte data sneller verplaatst
Raillaag	Routering over kaarten, A2A, RTGS, stablecoins, deposito's, API's, DLT	Geoptimaliseerde kosten, snelheid en finaliteit	Kanaalwildgroei en gedupliceerde controles
Controlelaag	Realtime beleid, fraude, sancties, veerkracht, identiteit en toestemming	Risico beheerst op uitvoeringssnelheid	Handmatige compliance achteraf
Economielaag	Gemeten eenheidskosten en klantwaarde	Bewijsgeleide schaling	Innovatie-uitgaven zonder duurzame opbrengst

Wat dit betekent per banktype

Wereldwijde banken

Wereldwijde banken zouden orkestratie op platformniveau moeten creëren, zodat niet elke markt, rail, token en AI-capaciteit een afzonderlijk operating model wordt.

Regionale banken

Regionale banken zouden zich moeten richten op use cases waar vertrouwen, lokale marktkennis en eenvoudiger integratie schaal verslaan: treasury-zichtbaarheid, fraudepreventie, Open Banking-betalingen en gereguleerde digitale gelddiensten.

Fintechs en PSP's

Fintechs zouden complexiteit voor banken moeten reduceren in plaats van weer een geïsoleerde rail toe te voegen. De beste proposities brengen orkestratie, compliance-bewijs of data-intelligentie.

Corporate treasurers

Treasurers zouden meetbare verbeteringen moeten eisen: minder herstelacties op betalingen, betere liquiditeitszichtbaarheid, rijkere reconciliatiedata, snellere settlement en sterkere controle over geautomatiseerde besluiten.

Conclusie

DORA, EU AI Act en datasoevereiniteit vormen uiteindelijk een architectuurvraag. De winnende instellingen zijn niet die met de meeste pilots of de luidste innovatietaal. Het zijn de instellingen die klantworkflows, datakwaliteit, railorkestratie, ingebedde compliance en unit-economie verbinden tot een coherent operating model.

Veelgestelde vragen

Waarom is dit onderwerp urgent in 2026?

Omdat de relevante infrastructuur, regelgeving en signalen van klantvraag zijn samengekomen. Wat optioneel experiment was, wordt nu onderdeel van het operating model van de bank.

Wat is het grootste implementatierisico?

Het grootste risico is fragmentatie: afzonderlijke teams bouwen afzonderlijke pilots, elk met andere data, controles, governance en economie.

Wat zou een bank als eerste moeten bouwen?

Een bank zou moeten beginnen bij de workflow met meetbare waarde, zoals snellere settlement, lagere reconciliatiekosten, minder onderzoeken, verbeterde fraudepreventie of betere liquiditeitszichtbaarheid.

Hoe moet succes worden gemeten?

Succes moet worden gemeten aan de hand van unit-economie, bewijs van veerkracht, datakwaliteit, klantadoptie, reductie van operationeel risico en verbetering van liquiditeit of werkkapitaal.

Referenties

European Commission, (2026). AI Act ⧉.
IOMETE, (2026). Data Sovereignty Compliance in 2026 ⧉.
GOV.UK, (2026). UK fintech backed to embrace future payments technology ⧉.

Laatst beoordeeld 2026-05-28.

Laatst herzien 2026-06-16.

Dit artikel herpubliceren

DORA, EU AI Act en datasoevereiniteit: de compliance-stack 2026 voor banken — Sebastien Rousseau

DORA, EU AI Act, GDPR, concentratierisico cloud en datasoevereiniteit smelten in 2026 samen tot één compliance-stack voor banken in Nederland.

Dit artikel valt onder de licentie Creative Commons Attribution 4.0 International. Herpublicatie vereist attributie aan de canonieke URL.

DORA, EU AI Act en datasoevereiniteit: de compliance-stack 2026 voor banken — Sebastien Rousseau

DORA, EU AI Act, GDPR, concentratierisico cloud en datasoevereiniteit smelten in 2026 samen tot één compliance-stack voor banken in Nederland.

Originally published at https://sebastienrousseau.com/nl/2026-05-28-dora-ai-act-data-sovereignty-banking-compliance-stack-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER