Als u uw eigen tool bouwt die met betalingen in aanraking komt, wie draagt dan het compliancerisico?

Dat bent u. Niet de AI die de code heeft gegenereerd, niet uw hostingprovider en niet uw betalingsprovider. Op het moment dat een door u gebouwde tool met betalingen in aanraking komt, ligt het compliancerisico bij uw bedrijf. En daar blijft het ook liggen, ongeacht hoeveel conforme leveranciers u inschakelt. Wat u wel kunt veranderen, is de omvang van dat risico, en het verschil tussen een goed ontworpen maatwerktool en een onzorgvuldige tool is enorm.

Waarom ligt het risico bij u en niet bij uw leveranciers?

Kaartacceptatie is gebaseerd op een keten van contracten. De kaartnetwerken bepalen de regels, uw acquirer (de bank die kaartverkopen voor u afwikkelt) handhaaft ze, en uw merchant-overeenkomst geeft ze aan u door. Het regelboek is PCI DSS, de gegevensbeveiligingsstandaard van de creditcardindustrie, en deze is van toepassing op elk bedrijf dat kaarthoudergegevens (kaartnummers en de bijbehorende gegevens) opslaat, verwerkt of verzendt. De huidige versie is 4.0.1. (Versienummers en programmadetails zijn nauwkeurig op het moment van publicatie; beschouw deze details als een momentopname.)

Uw leveranciers hebben verplichtingen voor hun eigen systemen, en een conforme betalingsprovider verkleint uw aandeel in het werk aanzienlijk. Maar niets wat een leverancier doet, draagt het eigendom over. De PCI Security Standards Council is er duidelijk over dat de beslissing of u de naleving moet valideren, bij de kaartmerken en uw acquirer ligt. Hun antwoord, vastgelegd in uw merchant-overeenkomst, is ja. Elk jaar ondertekent iemand binnen uw bedrijf een verklaring waarin staat dat uw omgeving aan de standaard voldoet. Die handtekening is van u, niet van uw leverancier.

Wat verandert er zodra uw eigen code met kaartgegevens in aanraking komt?

Scope. De inspanning voor compliance wordt bepaald door de scope: elk systeem dat met kaarthoudergegevens in aanraking komt, plus alles wat daarmee verbonden is, valt onder de standaard.

Een merchant wiens betalingen volledig worden afgehandeld door een conforme provider en gecertificeerde apparaten, valideert dit met een korte zelfevaluatievragenlijst (een jaarlijkse checklist) van een paar dozijn vragen. Een merchant wiens eigen software kaartnummers verwerkt, valt in de zwaarste categorie, die grotendeels overeenkomt met de volledige standaard: ruim tweehonderd vereisten op het gebied van driemaandelijkse kwetsbaarheidsscans, penetratietesten, toegangscontroles, logboekregistratie en formele beveiligingsrichtlijnen¹.

Dat checkoutformulier dat een AI in een middagje voor u heeft geschreven? Als het kaartnummers accepteert, vallen uw webserver, uw database, uw admin-laptop en uw winkel-wifi allemaal binnen de scope. En u kunt niet zomaar stiekem de korte vragenlijst indienen. Het kiezen van een categorie waar u niet voor in aanmerking komt, vermindert uw risico niet; het betekent dat het document dat u hebt ondertekend onjuist is, wat meestal op het slechtst denkbare moment aan het licht komt: direct na een datalek.

Wat kost het eigenlijk als het misgaat?

Handhaving is contractueel geregeld, dus dit is meestal zichtbaar op uw verwerkingsoverzicht. Veel verwerkers brengen elke maand een terugkerende boete voor niet-naleving in rekening totdat u de naleving valideert. Na een datalek lopen de kosten snel op: een verplicht forensisch onderzoek dat u zelf betaalt, kosten voor het opnieuw uitgeven van kaarten en oplopende boetes die via uw acquirer worden doorberekend, doorgaans geschat op zo'n 5.000 tot 100.000 USD per maand (gebaseerd op boeteschema's die zijn gepubliceerd door PCI-compliance-beoordelaars). In ernstige gevallen kan een bedrijf de mogelijkheid om kaarten te accepteren zelfs volledig verliezen.

Voor een kleine merchant zijn de zwaarste kosten minder zichtbaar dan een boete: het opzetten van een echt beveiligingsprogramma kost tijd die u eigenlijk wilde besteden aan het runnen van uw bedrijf.

Hoe bouwt u maatwerktools zonder de scope van kaartgegevens op u te nemen?

Houd uw code buiten het kaarttraject. Uw maatwerktool moet de verkoop coördineren: de winkelwagen samenstellen, kortingen toepassen, het ordertotaal berekenen en het af te rekenen bedrag verzenden. De kaart zelf mag alleen in aanraking komen met een gecertificeerde terminal (betaalhardware die is gevalideerd voor de verwerking van kaarten) of de gehoste betaalpagina van uw provider, die de gegevens rechtstreeks doorstuurt naar een betalingsverwerker (het bedrijf dat het geld overboekt). Uw tool ontvangt een resultaat (goedgekeurd of geweigerd) en een token (een referentienummer dat onbruikbaar is voor dieven).

Deze splitsing is het belangrijkste argument voor een headless POS-architectuur: op maat gemaakte schermen aan de voorkant, gecertificeerde betalingsinfrastructuur aan de achterkant. Dit is ook de reden waarom door AI gegenereerde checkouts er in demo's prachtig uitzien maar vastlopen in productie, en waarom een webformulier het verkeerde antwoord is voor fysieke debetbetalingen zoals Interac: fysieke betalingen horen zowel technisch als contractueel thuis op gecertificeerde hardware.

Final is rondom exact deze grens gebouwd. De flows die u bouwt, of u ze nu zelf ontwerpt of uw eigen AI via MCP verbindt, beheren schermen, winkelwagens en catalogi. Kaartgegevens gaan van gecertificeerde terminalhardware naar een betalingsverwerker via Final Pay, en komen nooit in de door u gebouwde flow terecht. Maatwerk waar maatwerk veilig is, gestandaardiseerd waar de aansprakelijkheid ligt.

Dus, wie draagt het compliancerisico?

Dat bent u, en dat zal altijd zo blijven. De werkelijke beslissing is hoeveel scope u op u neemt, en dat is een architectonische keuze, geen papieren keuze. Voordat u een tool lanceert die met betalingen in aanraking komt, moet u zich één vraag stellen: kan mijn code ooit een kaartnummer zien? Zo ja, dan moet u het complianceprogramma zelf uitvoeren. Zo nee, dan behoudt u de flexibiliteit van maatwerk met slechts een fractie van de lasten. Als u momenteel zo'n project overweegt, begin dan met de signalen dat u uw standaard POS bent ontgroeid.