AI voor verzekeraars, met de controles die een uitbestedingsbeoordeling vraagt
Standard Compute is de AI-gateway waarmee verzekeraars en herverzekeraars Claude, GPT en open-sourcemodellen inzetten voor schadebehandeling, acceptatie en klantenservice, met de controles die een DORA- en uitbestedingsbeoordeling onder Solvency II vraagt. Via één API gaat elke stap naar het goedkoopste model dat hem aankan.
Met de Europa-regel en zero data retention aan worden gegevens van polishouders, ook gezondheidsgegevens, in Europa verwerkt, door geen enkele provider bewaard, nooit gebruikt voor training en alleen bediend door providers die u goedkeurt, met een registratie van elk verzoek gedurende 12 maanden.
Bedrijfsaccount aanmakenof mail naar contact@standardcompute.com
De korte antwoorden
- Wat vraagt de regelgeving als een verzekeraar werkzaamheden uitbesteedt?
- Volgens artikel 27d van het Besluit prudentiële regels Wft voldoet een verzekeraar met zetel in Nederland (niet zijnde een verzekeraar met beperkte risico-omvang) bij uitbesteding aan artikel 49 van Solvency II. De verzekeraar blijft volledig verantwoordelijk, uitbesteding van kritieke of belangrijke werkzaamheden mag het operationele risico niet onnodig vergroten of de dienstverlening aan polishouders ondermijnen, en de toezichthouder wordt vooraf ingelicht. DNB schrijft in zijn Good Practice: “In een situatie van uitbesteding blijft de verzekeraar steeds volledig verantwoordelijk.”
- Hoe blijven gevoelige polisgegevens vertrouwelijk bij een externe AI-dienst?
- De Good Practice uitbesteding van DNB vraagt dat verzekeraars de beschikbaarheid, integriteit, vertrouwelijkheid en beveiliging van kritieke en gevoelige data waarborgen, en artikel 274 van Gedelegeerde Verordening (EU) 2015/35 vraagt dat de dienstverlener aan dezelfde regels over vertrouwelijkheid is gebonden als de verzekeraar. Zet zero data retention aan en elk verzoek gaat alleen naar inference-endpoints die toezeggen geen kopie te bewaren. Wij verwerken prompts in het geheugen en schrijven ze nooit naar opslag of logs.
- Is premiestelling in leven- en zorgverzekeringen hoog risico onder de AI-verordening?
- Bijlage III, punt 5, onder c), noemt AI-systemen voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen. Volgens AFM en DNB zijn de bestaande financiële toezichthouders ook verantwoordelijk voor het toezicht op de AI-regels waar AI in de financiële sector wordt gebruikt. Of een toepassing hoog risico is, hangt af van het beoogde gebruik door de verzekeraar als gebruiksverantwoordelijke (artikel 26). Met een sleutel per applicatie en goedgekeurde modellen per sleutel blijft een premieapplicatie gescheiden van het dagelijkse gebruik door teams.
Uw eisen, gekoppeld aan de controles in het product
Wat de risicofunctie en de functionaris voor gegevensbescherming van een verzekeraar controleren voordat polisgegevens een AI-model bereiken, en de controle die op elk punt antwoord geeft.
| Wat de regels vragen | Hoe Standard Compute het regelt |
|---|---|
| Een dienstverlener met dezelfde vertrouwelijkheidsregels als de verzekeraar (Gedelegeerde Verordening 2015/35, art. 274, lid 3, f) | Zet zero data retention aan en elk verzoek gaat alleen naar inference-endpoints die toezeggen geen kopie van uw gegevens te bewaren. Wij verwerken prompts in het geheugen en schrijven ze nooit naar opslag of logs. |
| Bekende voorwaarden voor onderuitbesteding (art. 274, lid 4, k) | Onderteken de verwerkersovereenkomst in enkele minuten in het dashboard: geen training op uw gegevens, geen bewaring van uw inhoud, melding van datalekken binnen 72 uur. Elke subverwerker is gepubliceerd, met 14 dagen vooraankondiging voordat er een bijkomt. |
| Verwerkingslocaties in het contract en het informatieregister (DORA, art. 28 en 30) | Stel een Europa-regel in voor het bedrijf, een team of één sleutel. Elk verzoek, ook herhaalpogingen en fallbacks, wordt alleen bediend door goedgekeurde Europese inference-endpoints, en een verzoek dat geen Europees endpoint kan bedienen, wordt geweigerd voordat de prompt wordt verstuurd. Account- en gebruiksgegevens worden opgeslagen in Frankfurt en de EU-gateway draait in Finland. Verzoekregistraties bevatten alleen metadata (model, provider, tokens, kosten en status), nooit prompts of output. |
| Gezondheidsgegevens van polishouders trainen geen modellen (AVG, art. 9) | Standard Compute traint nooit op uw prompts of output. Met een regioregel of zero data retention gaat elk verzoek alleen naar providers die toezeggen er niet op te trainen. |
| Concentratierisico en providerkeuze beheerst (DORA, art. 29) | Kies precies welke inference-providers uw gegevens mogen verwerken, voor het bedrijf, een team of een sleutel. Lagere niveaus kunnen de lijst alleen inperken, nieuwe providers komen er nooit bij zonder goedkeuring van een beheerder, en fallbacks gaan er nooit omheen. |
| Premiestelling leven en zorg gescheiden van dagelijks gebruik (AI-verordening, bijlage III, 5 c, en art. 26) | Bepaal welke modellen elke sleutel mag gebruiken, zodat elke applicatie en elke persoon precies de modellen krijgt die u goedkeurt. GLM, DeepSeek en MiniMax draaien bij Europese providers voor omgevingen die tot Europa zijn beperkt. |
| Toegang beheerd vanuit de directory van het bedrijf | Koppel Microsoft Entra ID of een andere SAML-identiteitsprovider. Iedereen op uw geverifieerde domein wordt automatisch lid van het bedrijf, en de toegang tot Claude Desktop en Claude Code volgt uw Entra-groepen via SCIM. |
| Een audittrail voor interne audit en de actuariële functie | Elke wijziging door een beheerder wordt vastgelegd met de waarde ervoor en erna. Exporteer een overzicht van elk verzoek met het model, de provider die het bediende en de geldende regioregel, 12 maanden bewaard. |
| Doorlopende dienstverlening aan polishouders (Solvency II, art. 49) | Valt een provider uit, dan schakelt het verzoek automatisch over naar een andere goedgekeurde provider van hetzelfde model, zonder uw regio- en providerregels te verlaten. Enterprise bevat een SLA met 99,9% maandelijkse beschikbaarheid en servicecredits. |
| Kostenbeheersing per applicatie en per persoon | Elke persoon en elke applicatie krijgt een vast maandbudget dat nooit wordt overschreden, met uitgavenlimieten per sleutel en voor het hele bedrijf. |
Ingericht in één middag
Maak het bedrijfsaccount aan
Nodig collega's uit per e-mail, deel ze in teams in en geef elke persoon en elke applicatie een eigen sleutel.
Stel de Europa-regel en zero data retention in
Stel beide in voor het hele bedrijf. Teams en sleutels nemen ze over en kunnen ze nooit uitzetten.
Koppel Microsoft Entra ID
Medewerkers loggen in met hun werkaccount en gebruiken Claude Desktop en Claude Code met hun Microsoft-werkaccount via onze EU-gateway.
Keur providers en modellen goed en onderteken de verwerkersovereenkomst
Kies welke inference-providers en modellen elke sleutel mag gebruiken, stel de budgetten in en onderteken de verwerkersovereenkomst in het dashboard.
De regelgeving in de bron
De regels die risicomanagement, compliance en de actuariële functie als eerste lezen, met een link naar de officiële tekst. Ze zijn een basis voor uw eigen beoordeling en geen juridisch advies.
Links gecontroleerd op 9 november 2026.
Vragen van IT, security en inkoop
- Is er een registratie per verzoek voor interne audit?
- Ja. Exporteer een overzicht van elk verzoek met het model, de provider die het bediende en de geldende regioregel, 12 maanden bewaard. De registraties bevatten alleen metadata, nooit prompts of output.
- Publiceert u uw subverwerkers?
- Ja. Wij publiceren elke subverwerker met doel, gegevens en locatie, en kondigen een nieuwe 14 dagen vooraf aan.
- Kunnen schadebehandelaars Claude Desktop en Claude Code met hun Microsoft-account gebruiken?
- Ja. Medewerkers melden zich via onze EU-gateway aan bij Claude Desktop en Claude Code met hun Microsoft-werkaccount, zonder API-sleutels uit te delen. De toegang volgt uw Microsoft Entra-groepen via SCIM.
- Wie is Standard Compute?
- Standard Compute AS is een Noorse vennootschap (organisatienummer 938 498 806) gevestigd in Oslo. Onze verwerkersovereenkomst valt onder Noors recht.
Verder lezen
Andere sectoren
Maak het bedrijfsaccount aan, stel de Europa-regel en zero data retention in, en uw mensen kunnen dezelfde dag beginnen.