Bronherleidbare verbindingen van AI Act-wijzigingen en verplichtingen naar actoren, acties, bewijs, controls en publieke hulpmiddelen.
Vragen en antwoorden over AI-geletterdheid
Classificatieroute voor zelfstandige hoog-risico AI-systemen onder Artikel 6 lid 2 en Bijlage III.
Het bedoelde doel valt onder een usecase in Bijlage III.
De classificatie loopt via Artikel 6 lid 2.
Een in Bijlage III genoemd systeem kan onder strikte voorwaarden buiten hoog-risico vallen via Artikel 6 lid 3, behalve wanneer het profileert. De beoordeling en registratie moeten worden vastgelegd.
De kernregels van Hoofdstuk III, afdelingen 1 tot en met 3, voor systemen onder Artikel 6 lid 2 en Bijlage III worden van toepassing op 2 december 2027.
Amended Article 113, Article 6(2) and Annex III application date
De latere toepassingsdatum verandert de classificatievraag niet. Een vroeg classificatiedossier voorkomt dat ontwerp- en inkoopbesluiten zonder bewijs worden genomen.
Leg nu bedoeld doel, Bijlage III-punt, Artikel 6 lid 3-toets, profiling en gekozen registratiepad vast.
Article 6(2)-(4), Article 49 and Annex III
Kwaliteits- en governance-eisen aan trainings-, validatie- en testdata van hoog-risico AI.
Het hoog-risico systeem wordt getraind met data; de aanbieder stelt de datasets samen, de gebruiksverantwoordelijke bewaakt relevante inputdata.
Voor bijzondere categorieën persoonsgegevens geldt de strikte uitzondering van Artikel 10 lid 5 (biasdetectie en -correctie onder voorwaarden).
Artikel 10 vereist datasets die passen bij het beoogde doel, met governance over herkomst en samenstelling, aandacht voor representativiteit, fouten en volledigheid, en onderzoek naar mogelijke bias met passende maatregelen.
Voor de Bijlage III-route geldt deze eis vanaf 2 december 2027; voor hoog-risico AI in gereguleerde producten (Bijlage I) vanaf 2 augustus 2028.
De dataset-keuzes van nu bepalen of naleving straks haalbaar is: data die u vandaag inkoopt of verzamelt zonder herkomst-registratie is in 2027 niet meer te repareren.
Leg per dataset herkomst en aannames vast en neem datakwaliteit op als eis in elk inkoopcontract voor AI of data.
Het technisch dossier dat vóór marktintroductie aantoont dat een hoog-risico systeem aan de eisen voldoet.
De aanbieder brengt een hoog-risico AI-systeem op de markt of in gebruik.
Kleine aanbieders (kmo’s) mogen de documentatie vereenvoudigd aanleveren volgens het door de Commissie vastgestelde formulier.
Artikel 11 vereist technische documentatie die vóór marktintroductie is opgesteld, actueel wordt gehouden en de elementen van Bijlage IV bevat, zodat naleving van afdeling 2 aantoonbaar is voor toezichthouders.
Voor inkopende organisaties is Bijlage IV de checklist van wat u contractueel bij uw leverancier moet kunnen opvragen; zonder dat dossier kunt u uw eigen artikel 26-plichten niet waarmaken.
Neem het recht op inzage in de technische documentatie nu op in inkoop- en leverancierscontracten voor AI.
Automatische registratie van gebeurtenissen over de levensduur van een hoog-risico AI-systeem.
Het systeem is hoog-risico; de aanbieder ontwerpt de logging, aanbieder en gebruiksverantwoordelijke bewaren de logs binnen hun controle.
De bewaartermijn kan worden begrensd door Unierecht of nationaal recht, waaronder gegevensbescherming.
Artikel 12 vereist dat hoog-risico AI-systemen technisch geschikt zijn om gebeurtenissen automatisch te registreren gedurende hun levensduur, ten behoeve van traceerbaarheid, risicosignalering en post-market monitoring; Artikel 19 en Artikel 26 lid 6 regelen het bewaren van de logs.
Article 12, Article 19 and Article 26(6)
Logging is de ruggengraat van elk ander bewijs: zonder logs valt een incident niet te reconstrueren en een monitoringplicht niet in te vullen. Inkopers moeten nu al toetsen of een systeem dit technisch kan.
Neem loggingcapaciteit en logtoegang op als eis bij elke AI-inkoop en beleg het bewaarregime (wie, waar, hoe lang) per systeem.
Artikel 13: transparantie richting gebruiksverantwoordelijken
Begrijpelijke gebruiksinstructies en systeeminformatie zodat gebruiksverantwoordelijken het systeem correct kunnen inzetten.
De aanbieder levert een hoog-risico systeem; de gebruiksverantwoordelijke gebruikt het volgens de instructies.
De mate van detail mag passen bij de kennis van de beoogde gebruiksverantwoordelijke; bedrijfsgeheimen hoeven niet prijsgegeven.
Artikel 13 vereist dat hoog-risico systemen zo transparant zijn ontworpen dat gebruiksverantwoordelijken de output kunnen interpreteren en gebruiken, met gebruiksinstructies die onder meer doel, nauwkeurigheid, beperkingen, menselijk toezicht en onderhoud beschrijven.
De gebruiksinstructie is het scharnier tussen aanbieder- en gebruikersplichten: wat de aanbieder hier niet levert, kan de gebruiksverantwoordelijke onder artikel 26 niet waarmaken. Vraag er bij inkoop expliciet naar.
Vertaal ontvangen gebruiksinstructies per systeem naar interne werkinstructies per rol en leg vast wie ze heeft ontvangen.
Hoog-risico AI moet zo zijn ontworpen dat mensen er effectief toezicht op kunnen houden en kunnen ingrijpen.
Het systeem is hoog-risico; de aanbieder bouwt toezichtsmaatregelen in, de gebruiksverantwoordelijke belegt het toezicht bij bekwame personen.
Voor biometrische identificatie op afstand geldt de verzwaarde eis van verificatie door ten minste twee bevoegde personen (Artikel 14 lid 5), met de daar genoemde uitzonderingen.
Artikel 14 vereist dat hoog-risico systemen effectief door natuurlijke personen kunnen worden overzien, met maatregelen die het mogelijk maken het systeem te begrijpen, output juist te interpreteren, automation bias te onderkennen, en te besluiten het systeem niet te gebruiken, te negeren of te stoppen.
Toezicht op papier is geen toezicht: de wet noemt automation bias expliciet, dus een mens die alleen mag doorklikken telt niet. Effectief toezicht vergt begrip, tijd en mandaat, en dat raakt direct aan de artikel 4-geletterdheidsmaatregelen.
Wijs nu per (aankomend) hoog-risico systeem de toezichthoudende personen aan, train ze gericht en leg hun mandaat om in te grijpen schriftelijk vast.
Artikel 15: nauwkeurigheid, robuustheid en cyberbeveiliging
Passende prestatie-, robuustheids- en beveiligingsniveaus over de hele levenscyclus van hoog-risico AI.
Systemen die na uitrol doorleren kennen aanvullende eisen om feedback-loops en afwijkend gedrag te beheersen.
Artikel 15 vereist dat hoog-risico systemen een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging bereiken en dat gedurende de levenscyclus behouden, inclusief weerbaarheid tegen fouten en tegen AI-specifieke aanvallen zoals data poisoning en adversarial voorbeelden.
Nauwkeurigheid is hier geen marketinggetal maar een gedeclareerde, testbare waarde die in de gebruiksinstructies staat en waar u in productie aan gehouden wordt.
Vraag leveranciers nu al om gedeclareerde nauwkeurigheidsniveaus en testrapporten, en richt productie-monitoring op die niveaus in.
Artikel 16: de twaalf plichten van de aanbieder van een hoog-risico AI-systeem
Artikel 16 is het samenvattende plichtenoverzicht voor aanbieders: twaalf punten die doorverwijzen naar het kwaliteitsbeheersysteem, de documentatie, de logs, de conformiteitsbeoordeling, de EU-conformiteitsverklaring, de CE-markering, de registratie, de corrigerende maatregelen en de toegankelijkheidseisen.
Van toepassing op aanbieders van AI-systemen met een hoog risico. Voor de standalone-route van bijlage III (artikel 6, lid 2) geldt 2 december 2027. Voor systemen die als veiligheidscomponent zijn ingebed in producten onder de harmonisatiewetgeving van bijlage I (artikel 6, lid 1) geldt 2 augustus 2028.
Een aanbieder die meent dat een in bijlage III bedoeld systeem geen hoog risico inhoudt, documenteert die beoordeling vóór het in de handel brengen en blijft onderworpen aan de registratieverplichting van artikel 49, lid 2 (artikel 6, lid 4). Voert een in bijlage III bedoeld systeem profilering van natuurlijke personen uit, dan geldt het altijd als hoog risico (artikel 6, lid 3, laatste alinea).
Artikel 16 verplicht aanbieders van AI-systemen met een hoog risico tot twaalf zaken. Zij zorgen ervoor dat hun systemen in overeenstemming zijn met de eisen van hoofdstuk III, afdeling 2 (punt a); vermelden op het systeem of, wanneer dat niet mogelijk is, op de verpakking of in de begeleidende documentatie hun naam, geregistreerde handelsnaam of geregistreerd merk en hun contactadres (punt b); beschikken over een systeem voor kwaliteitsbeheer conform artikel 17 (punt c); bewaren de documentatie van artikel 18 (punt d); bewaren de automatisch gegenereerde logs van artikel 19 wanneer zij daarover de controle hebben (punt e); zorgen ervoor dat de conformiteitsbeoordelingsprocedure van artikel 43 wordt uitgevoerd vóórdat het systeem in de handel wordt gebracht of in gebruik wordt gesteld (punt f); stellen een EU-conformiteitsverklaring op conform artikel 47 (punt g); brengen de CE-markering aan conform artikel 48 (punt h); leven de registratieverplichtingen van artikel 49, lid 1, na (punt i); nemen de noodzakelijke corrigerende maatregelen en verstrekken de informatie die artikel 20 vereist (punt j); tonen op een met redenen omkleed verzoek van een nationale bevoegde autoriteit de overeenstemming met de eisen van afdeling 2 aan (punt k); en zorgen ervoor dat het systeem voldoet aan de toegankelijkheidseisen van de Richtlijnen (EU) 2016/2102 en (EU) 2019/882 (punt l).
Artikel 16 leest als een inhoudsopgave en wordt daarom vaak als één regel op de roadmap gezet. Het zijn twaalf zelfstandige plichten met sterk uiteenlopende doorlooptijden: een kwaliteitsbeheersysteem opzetten kost maanden, een CE-markering aanbrengen kost een dag. De grotere val zit in artikel 25, lid 1: wie zijn eigen merk op een bestaand hoog-risico systeem zet, het systeem substantieel wijzigt, of het beoogde doel van een niet-hoog-risico systeem zo verandert dat het hoog risico wordt, geldt als aanbieder en krijgt alle twaalf punten op zijn bord zonder ooit iets gebouwd te hebben. Bij het merknaam-scenario van punt a) geldt dat onverminderd contractuele regelingen waarin de verplichtingen anders worden toegewezen, maar die afspraken moet u dan wel vooraf hebben gemaakt en kunnen tonen. Dat overkomt in de praktijk vooral partijen die AI whitelabelen of een algemeen model inzetten voor een bijlage III-toepassing.
Bepaal eerst of u aanbieder bent of dat u het door artikel 25 wordt, en werk daarna de twaalf punten uit als twaalf afzonderlijke werkpakketten met eigenaar en datum. Begin met punt c) en punt f), omdat die de doorlooptijd van het hele traject bepalen.
Het gedocumenteerde kwaliteitssysteem waarmee een aanbieder van hoog-risico AI naleving structureel borgt.
De aanbieder brengt hoog-risico AI-systemen op de markt of in gebruik.
Aanbieders die al onder sectorale kwaliteitsregimes vallen mogen de AI-elementen integreren in dat bestaande systeem; kmo’s mogen elementen vereenvoudigd invullen.
Artikel 17 vereist een gedocumenteerd kwaliteitsmanagementsysteem met onder meer een nalevingsstrategie, ontwerp- en ontwikkelprocedures, data-management, risicobeheer, post-market monitoring, incidentmelding en verantwoordingsstructuur.
Het KMS is de paraplu boven alle andere aanbiedersplichten: wie de losse dossiers heeft maar geen systeem dat ze verbindt, faalt op precies dit artikel bij een audit.
Bouw het KMS niet als apart document maar als index bovenop de bestaande dossiers (risico, data, documentatie, monitoring) met eigenaren per procedure.
Artikel 23: de plichten van de importeur
Vóór het in de handel brengen verifieert de importeur vier dingen bij de aanbieder, en daarna draagt hij een eigen bewaar-, informatie- en meldpakket met een termijn van tien jaar.
Van toepassing op importeurs van AI-systemen met een hoog risico. Voor de standalone-route van bijlage III (artikel 6, lid 2) geldt 2 december 2027; voor de ingebedde route van bijlage I (artikel 6, lid 1) geldt 2 augustus 2028.
Zet u uw eigen naam of merk op het systeem, wijzigt u het substantieel of wijzigt u het beoogde doel zo dat het hoog risico wordt, dan wordt u op grond van artikel 25, lid 1, als aanbieder beschouwd en gelden de plichten van artikel 16 in plaats van die van artikel 23.
Artikel 23, lid 1, verplicht importeurs om vóór het in de handel brengen van een hoog-risico AI-systeem na te gaan of de relevante conformiteitsbeoordelingsprocedure van artikel 43 door de aanbieder is uitgevoerd (punt a), of de aanbieder de technische documentatie heeft opgesteld conform artikel 11 en bijlage IV (punt b), of de vereiste CE-markering is aangebracht en het systeem vergezeld gaat van de EU-conformiteitsverklaring van artikel 47 en van gebruiksaanwijzingen (punt c), en of de aanbieder een gemachtigde heeft aangewezen conform artikel 22, lid 1 (punt d). Lid 2 bepaalt dat een importeur met afdoende redenen om aan te nemen dat het systeem niet conform is, vervalst is of vergezeld gaat van vervalste documenten, het systeem niet in de handel brengt voordat het in overeenstemming is gebracht, en dat hij bij een risico in de zin van artikel 79, lid 1, de aanbieder, de gemachtigden en de markttoezichtautoriteiten in kennis stelt. Lid 3 vraagt vermelding van naam, geregistreerde handelsnaam of geregistreerd merk en contactadres. Lid 4 vraagt opslag- en vervoersomstandigheden die de overeenstemming met afdeling 2 niet in het gedrang brengen. Lid 5 verplicht tot het gedurende tien jaar bewaren van een kopie van het door de aangemelde instantie afgegeven certificaat en, waar van toepassing, van de gebruiksaanwijzing en van de EU-conformiteitsverklaring van artikel 47. Lid 6 verplicht tot het op met redenen omkleed verzoek verstrekken van alle nodige informatie en documentatie in een voor de autoriteit gemakkelijk te begrijpen taal, en tot het beschikbaar kunnen stellen van de technische documentatie. Lid 7 verplicht tot samenwerking met de bevoegde autoriteiten.
Artikel 23 wordt onderschat omdat het op documentcontrole lijkt, en dat is het grotendeels ook: u hoeft het model niet opnieuw te valideren, u moet kunnen laten zien dat u de vier punten hebt gecontroleerd. De pijn zit ergens anders. Punt d) valt in de praktijk het vaakst om: veel aanbieders van buiten de EU hebben geen gemachtigde aangewezen, en dan mag u het systeem simpelweg niet in de handel brengen, hoe ver de deal ook is. En lid 5 legt de tienjaarstermijn bij u neer, niet bij de leverancier: als die leverancier over vijf jaar niet meer bestaat, moet u de stukken nog steeds kunnen tonen.
Verplaats de vier verificaties van artikel 23, lid 1, naar het moment vóór contractondertekening in plaats van vóór levering. Vraag de conformiteitsverklaring, de technische documentatie, het bewijs van de artikel 43-procedure en de gegevens van de gemachtigde op als opschortende voorwaarde in het inkoopcontract.
Artikel 24: de plichten van de distributeur
De distributeur controleert vóór het op de markt aanbieden de markering, de verklaring en de gebruiksinstructies plus de naleving door aanbieder en importeur, en moet daarna kunnen corrigeren, uit de handel nemen of terugroepen.
Van toepassing op distributeurs van AI-systemen met een hoog risico. Voor de standalone-route van bijlage III (artikel 6, lid 2) geldt 2 december 2027; voor de ingebedde route van bijlage I (artikel 6, lid 1) geldt 2 augustus 2028.
Zet u uw eigen naam of merk op het systeem, wijzigt u het substantieel of wijzigt u het beoogde doel zo dat het hoog risico wordt, dan wordt u op grond van artikel 25, lid 1, als aanbieder beschouwd en gelden de plichten van artikel 16 in plaats van die van artikel 24.
Artikel 24, lid 1, verplicht distributeurs om vóór het op de markt aanbieden van een hoog-risico AI-systeem te controleren of daarop de vereiste CE-markering is aangebracht, of het systeem vergezeld gaat van de EU-conformiteitsverklaring van artikel 47 en van gebruiksinstructies, en of de aanbieder en de importeur, naargelang het geval, hun verplichtingen uit artikel 16, punten b) en c), en artikel 23, lid 3, hebben nageleefd. Lid 2 verbiedt het in de handel brengen zolang de distributeur op grond van de informatie waarover hij beschikt meent of redenen heeft om aan te nemen dat het systeem niet aan afdeling 2 voldoet, en verplicht bij een risico in de zin van artikel 79, lid 1, tot kennisgeving aan de aanbieder of de importeur. Lid 3 vraagt opslag- en vervoersomstandigheden die de overeenstemming niet in het gedrang brengen. Lid 4 verplicht een distributeur die meent of redenen heeft om aan te nemen dat een reeds aangeboden systeem niet aan afdeling 2 voldoet tot de noodzakelijke corrigerende maatregelen om het in overeenstemming te brengen, uit de handel te nemen of terug te roepen, dan wel ervoor te zorgen dat de aanbieder, de importeur of een andere betrokken operator die maatregelen treft; bij een risico in de zin van artikel 79, lid 1, stelt hij de aanbieder of importeur en de bevoegde autoriteiten onmiddellijk in kennis met een uitvoerige beschrijving van de non-conformiteit en de getroffen corrigerende maatregelen. Lid 5 verplicht tot het op met redenen omkleed verzoek verstrekken van alle informatie en documentatie over de op grond van de leden 1 tot en met 4 genomen maatregelen. Lid 6 verplicht tot samenwerking met de bevoegde autoriteiten.
De controle van lid 1 lijkt licht, maar bevat een lastig element: u moet ook nagaan of de aanbieder zijn verplichting uit artikel 16, punt c), is nagekomen, en dat is het hebben van een kwaliteitsbeheersysteem conform artikel 17. Dat ziet u niet aan de verpakking. In de praktijk verankert u dat in leveranciersvoorwaarden met een verklaring van de aanbieder en legt u vast wat u hebt gecontroleerd. Het zwaartepunt van artikel 24 ligt echter bij lid 4: veel resellers gaan ervan uit dat terugroepen een zaak van de fabrikant is, terwijl de bepaling die actie ook bij u neerlegt, met de mogelijkheid om ervoor te zorgen dat een ander hem uitvoert. Dat zorgen dat vraagt om contractuele grip die u vooraf regelt, niet tijdens een incident.
Neem de drie controles van lid 1 op in uw resell- of leveringsproces en bewaar per contract wat u hebt gezien. Zorg daarnaast dat u binnen een dag weet welke klant welk systeem in welke versie gebruikt, want zonder dat overzicht kunt u lid 4 niet uitvoeren.
Artikel 26: de plichten van de gebruiksverantwoordelijke van een hoog-risico AI-systeem
Twaalf leden die het dagelijkse gebruik regelen: gebruik volgens de gebruiksaanwijzing, menselijk toezicht door bevoegde personen, inputdata, monitoring en melding, logbewaring, informeren van werknemers vóór ingebruikname, registratie door overheden en informeren van de personen over wie beslissingen worden genomen.
Van toepassing zodra u een hoog-risico AI-systeem onder eigen verantwoordelijkheid gebruikt (artikel 3, punt 4), ongeacht of u het zelf hebt gebouwd of ingekocht. Voor de standalone-route van bijlage III (artikel 6, lid 2) geldt 2 december 2027; voor de ingebedde route van bijlage I (artikel 6, lid 1) geldt 2 augustus 2028.
Artikel 2, lid 10, sluit natuurlijke personen uit die een AI-systeem gebruiken in het kader van een louter persoonlijke, niet-beroepsmatige activiteit. Voor gebruiksverantwoordelijken die financiele instellingen zijn met interne-governance-eisen uit het Unierecht inzake financiele diensten geldt de monitoringsplicht van lid 5 als vervuld door naleving van die regels, en worden de logs van lid 6 bewaard als onderdeel van de documentatie uit dat recht.
Artikel 26 legt gebruiksverantwoordelijken van hoog-risico AI-systemen twaalf leden op. Lid 1 vraagt passende technische en organisatorische maatregelen om het systeem te gebruiken in overeenstemming met de bijgeleverde gebruiksaanwijzingen. Lid 2 verplicht het menselijk toezicht op te dragen aan natuurlijke personen die over de nodige bekwaamheid, opleiding en autoriteit beschikken en de nodige ondersteuning krijgen. Lid 3 laat andere verplichtingen en de vrijheid om de eigen middelen te organiseren onverlet. Lid 4 vraagt, voor zover u controle hebt over de inputdata, dat die relevant en voldoende representatief zijn voor het beoogde doel. Lid 5 verplicht tot monitoring op basis van de gebruiksaanwijzingen en tot kennisgeving aan de aanbieder overeenkomstig artikel 72; bij redenen om aan te nemen dat het gebruik leidt tot een risico in de zin van artikel 79, lid 1, stelt u zonder onnodige vertraging de aanbieder of distributeur en de betreffende markttoezichtautoriteit in kennis en onderbreekt u het gebruik, en bij een ernstig incident stelt u onmiddellijk eerst de aanbieder in kennis en vervolgens de importeur of distributeur en de markttoezichtautoriteiten. Lid 6 verplicht tot het bewaren van de automatisch gegenereerde logs die onder uw controle vallen gedurende een periode die past bij het beoogde doel en ten minste zes maanden, tenzij het Unie- of nationaal recht anders bepaalt. Lid 7 verplicht gebruiksverantwoordelijken die werkgever zijn om werknemersvertegenwoordigers en de betrokken werknemers vóór ingebruikname of gebruik op de werkplek mee te delen dat zij aan het gebruik van het systeem zullen worden onderworpen. Lid 8 legt overheidsinstanties en instellingen, organen en instanties van de Unie de registratieverplichtingen van artikel 49 op en verbiedt gebruik van een systeem dat niet in de EU-databank van artikel 71 is geregistreerd. Lid 9 koppelt de informatie uit artikel 13 aan de gegevensbeschermingseffectbeoordeling van artikel 35 van Verordening (EU) 2016/679. Lid 10 stelt aanvullende voorwaarden aan biometrische identificatie op afstand achteraf in het kader van rechtshandhaving. Lid 11 begint met de woorden onverminderd artikel 50 van deze verordening en verplicht gebruiksverantwoordelijken van in bijlage III bedoelde systemen die beslissingen over natuurlijke personen nemen of helpen nemen, die personen te informeren dat het systeem op hen wordt toegepast; voor hoog-risico AI-systemen die voor rechtshandhaving worden gebruikt is artikel 13 van Richtlijn (EU) 2016/680 van toepassing. De transparantieplichten van artikel 50 gelden sinds 2 augustus 2026 en staan los van de datum waarop lid 11 gaat gelden. Lid 12 vraagt samenwerking met de bevoegde autoriteiten.
De datum van 2 december 2027 verleidt tot uitstel, maar twee onderdelen zijn nu al voorbereidingswerk. Lid 7 verplicht u werknemersvertegenwoordigers en de betrokken werknemers te informeren vóórdat het systeem op de werkplek in gebruik wordt gesteld, en die informatie verstrekt u waar van toepassing volgens de bestaande regels en praktijk inzake informatie van werknemers. Dat raakt medezeggenschap, en zo'n traject duurt in de praktijk maanden en niet weken, dus een systeem dat in 2027 live moet, bespreekt u in 2026. Lid 2 sluit daarnaast aan op het menselijk toezicht dat artikel 14 aan het systeemontwerp stelt: u moet natuurlijke personen aanwijzen met bekwaamheid, opleiding, autoriteit en ondersteuning. Dat is nadrukkelijk iets anders dan de maatregelenplicht van artikel 4. Artikel 4 vraagt maatregelen die AI-geletterdheid ondersteunen en verplicht u niet een bepaald niveau bij individuen te waarborgen; artikel 26, lid 2, vraagt aanwijsbare toezichthouders met mandaat. Wie die twee door elkaar haalt, denkt met een algemene e-learning klaar te zijn en heeft dan nog steeds geen toezichthouder met beslisruimte. Een derde onderschat onderdeel is lid 11: het informeren van de mensen over wie een bijlage III-systeem beslissingen neemt of helpt nemen, is een zichtbare klant- of sollicitantcommunicatie die u door uw eigen organisatie heen moet ontwerpen.
Maak nu een lijst van de systemen die per 2 december 2027 waarschijnlijk als hoog risico gelden en zet daar drie kolommen naast: wie houdt menselijk toezicht en met welk mandaat, wanneer informeert u de ondernemingsraad en de betrokken werknemers, en hoe krijgen de betrokken personen de mededeling uit lid 11. Plan het medezeggenschapstraject een jaar vooruit.
Grondrechteneffectbeoordeling vóór het inzetten van bepaalde hoog-risico AI-systemen.
Het gaat om een hoog-risico AI-systeem via Artikel 6 lid 2 en Bijlage III, met uitzondering van Bijlage III punt 2.
De gebruiksverantwoordelijke is een publiekrechtelijke instantie, private aanbieder van publieke diensten of gebruikt een relevant systeem uit Bijlage III punt 5(b) of 5(c).
In de situatie van Artikel 46 lid 1 kan een uitzondering op de kennisgeving gelden. Dit heft de beoordeling zelf niet generiek op.
De genoemde gebruiksverantwoordelijken moeten vóór ingebruikname een FRIA uitvoeren. De verplichting volgt voor deze Bijlage III-route de toepassingsdatum van 2 december 2027.
Amended application schedule and Article 27 DPIA cross-reference
Een FRIA is geen generieke risicoanalyse voor ieder AI-systeem. Eerst moeten systeemroute, Bijlage III-categorie en type gebruiksverantwoordelijke zijn vastgesteld.
Koppel de FRIA aan het AI-register en, waar relevant, aan de DPIA. Bewaar scope, betrokken groepen, mitigaties, resterende risico’s en kennisgeving als één versieerbaar dossier.
Article 27 amendment on DPIA inclusion or cross-reference
Aanbieders en gebruiksverantwoordelijken nemen maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen.
De organisatie is aanbieder of gebruiksverantwoordelijke van een AI-systeem binnen het toepassingsgebied.
De bepaling verlangt niet dat een specifiek individueel niveau wordt gegarandeerd.
Sinds 27 juli 2026 moeten aanbieders en gebruiksverantwoordelijken maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen. De bepaling verlangt geen gegarandeerd individueel niveau.
Amendment of Article 4; entry into force 27 July 2026
De aantoonbaarheid zit vooral in een passend dossier van genomen maatregelen per rol en gebruikscontext, niet in één voorgeschreven cursus of certificaat.
Questions on measures, formats, certificates and records
Inventariseer rollen en AI-systemen, kies passende maatregelen en leg keuze, uitvoering en periodieke evaluatie vast.
Implementation examples and evidence guidance
Het verbod op AI-praktijken met onaanvaardbaar risico, zoals manipulatie, social scoring en bepaalde biometrische toepassingen.
Het op de markt brengen, in gebruik stellen of gebruiken van AI valt onder een van de praktijken in Artikel 5 lid 1, waaronder schadelijke manipulatie of uitbuiting van kwetsbaarheden, social scoring, risicovoorspelling van strafbare feiten op basis van profilering, het ongericht scrapen van gezichtsopnamen, emotieherkenning op de werkplek of in het onderwijs, biometrische categorisering naar gevoelige kenmerken en realtime biometrische identificatie op afstand in de openbare ruimte voor rechtshandhaving.
De uitzonderingen zijn eng: onder meer emotieherkenning om medische of veiligheidsredenen, en de limitatief omschreven rechtshandhavingssituaties met machtiging voor realtime biometrische identificatie in Artikel 5 leden 2 tot en met 7. De uitzondering moet vooraf worden vastgesteld en gedocumenteerd.
De verboden praktijken van Artikel 5 gelden sinds 2 februari 2025 en zijn de enige AI Act-categorie die al die hele periode handhaafbaar is. Overtreding kent het hoogste boeteplafond van de verordening: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet.
Article 5, Article 99(3) and Article 113(a)
De Digital Omnibus voegt een verbod toe rond AI voor materiaal van seksueel kindermisbruik en niet-consensuele intieme synthetische content; de bijbehorende technische waarborgen zijn vereist per 2 december 2026.
Amendment to Article 5 and transition to 2 December 2026
De grens zit vaak in de details van de definitie: dezelfde techniek kan verboden zijn op de werkplek en toegestaan in een andere context. Toets daarom per concrete inzet en context, niet per technologie, en doe dat vóór inkoop of livegang.
Maak de Artikel 5-toets de eerste stap van elke classificatie en leg de uitkomst per systeem vast in het register, inclusief de motivering waarom een praktijk niet onder het verbod valt.
Article 5 read with Article 6 classification order
Specifieke meldings-, markerings- en labelplichten voor bepaalde AI-systemen en synthetische inhoud.
Een AI-systeem is bedoeld voor directe interactie met natuurlijke personen.
Het systeem genereert of manipuleert synthetische audio-, beeld-, video- of tekstinhoud, of de inzet betreft de specifiek genoemde deployerscenario’s.
De melding bij directe AI-interactie is niet vereist wanneer dit voor een redelijk geïnformeerde, oplettende en omzichtige persoon duidelijk is, gelet op omstandigheden en context.
Alleen Artikel 50 lid 2 heeft voor systemen die vóór 2 augustus 2026 op de markt kwamen een overgang tot 2 december 2026.
Artikel 50 geldt sinds 2 augustus 2026. De precieze plicht verschilt per scenario: directe AI-interactie, machineleesbare markering, emotieherkenning of biometrische categorisatie, deepfakes en bepaalde tekst van publiek belang.
Een generieke regel dat alle AI-content altijd zichtbaar moet worden gelabeld is te breed. Classificeer eerst het concrete Artikel 50-scenario.
Final guidelines, scope by Article 50 paragraph
Leg per systeem vast welk lid geldt, wie verantwoordelijk is, welke melding of markering is geïmplementeerd en hoe deze is getest.
Implementation guidance for providers and deployers
Documentatie-, informatie-, auteursrechten- en transparantieplichten voor aanbieders van AI-modellen voor algemene doeleinden.
De partij is aanbieder van een GPAI-model dat op de Uniemarkt wordt aangeboden.
Voor modellen die vanaf 2 augustus 2025 op de markt zijn gebracht gelden de plichten vanaf dat moment. Modellen die vóór 2 augustus 2025 op de markt waren moeten uiterlijk 2 augustus 2027 voldoen.
De open-source-uitzondering is beperkt en laat onder meer het auteursrechtenbeleid en de publieke samenvatting van trainingsinhoud in stand. Voor modellen met systeemrisico gelden aanvullende plichten.
Artikel 53 geldt sinds 2 augustus 2025 voor nieuwe GPAI-modellen. Aanbieders onderhouden technische documentatie, geven informatie aan downstream-aanbieders, voeren een Unierechtelijk auteursrechtenbeleid en publiceren een voldoende gedetailleerde samenvatting van trainingsinhoud.
Aanbieders van GPAI-modellen die vóór 2 augustus 2025 op de markt waren, moeten uiterlijk 2 augustus 2027 aan de toepasselijke verplichtingen voldoen.
Een organisatie die alleen een extern GPAI-model gebruikt is niet daardoor automatisch GPAI-modelaanbieder. De rol in de waardeketen moet eerst worden vastgesteld.
Scope and provider qualification guidance
Leg modelversies, rolkwalificatie, documentatie-eigenaren, downstream-informatie, auteursrechtenbeleid en trainingssamenvatting in één wijzigingsgestuurd dossier vast.
Artikel 55: GPAI-modellen met systeemrisico
Aanvullende plichten voor de zwaarste AI-modellen voor algemene doeleinden, bovenop Artikel 53.
Het GPAI-model heeft capaciteiten met grote impact, vermoed bij cumulatieve trainingsrekenkracht boven 10^25 FLOPs, of is door de Commissie aangewezen.
De GPAI Code of Practice kan na de adequaatheidsbeoordeling dienen als middel om naleving aan te tonen.
Artikel 55 verplicht aanbieders van GPAI-modellen met systeemrisico tot modelevaluaties met adversarial testen, beoordeling en mitigatie van systeemrisico’s op Unieniveau, registratie en melding van ernstige incidenten, en passende cyberbeveiliging van model en infrastructuur. De verplichtingen gelden sinds 2 augustus 2025; de handhaving door het AI Office is sinds 2 augustus 2026 actief.
Article 55(1)-(2) with Article 51 and Article 52
De 10^25 FLOPs-drempel is een vermoeden, geen grens waar u zich achter kunt verschuilen: de Commissie kan modellen ook op capaciteiten aanwijzen, en finetuning bovenop een bestaand model kan onder omstandigheden een eigen kwalificatie opleveren.
Modelaanbieders in de buurt van de drempel: richt de drempelbewaking nu in en sluit aan bij de Code of Practice om de bewijslast te dragen.
Artikel 57: AI-testomgevingen voor regelgeving
Lidstaten moeten ten minste een nationale AI-testomgeving voor regelgeving aanbieden. Voor u is dat een vrijwillige route: u ontwikkelt, traint, test en valideert een innovatief AI-systeem in een gecontroleerde omgeving onder toezicht, volgens een plan dat u met de bevoegde autoriteit overeenkomt, voordat u het in de handel brengt of in gebruik stelt.
Relevant wanneer u aanbieder of potentiele aanbieder bent van een innovatief AI-systeem dat u wilt ontwikkelen, trainen, testen of valideren voordat u het in de handel brengt of in gebruik stelt, en u vooraf zekerheid wilt over classificatie of over de wijze waarop u aan de eisen van deze verordening voldoet.
Deelname is vrijwillig. Artikel 57 legt de plicht bij de lidstaat om een testomgeving aan te bieden, niet bij u om eraan deel te nemen. De lidstaat kan die plicht ook vervullen door aan te sluiten bij een bestaande testomgeving met gelijkwaardige nationale dekking. Artikel 57 lid 4 laat andere testomgevingen voor regelgeving op grond van Unie- of nationaal recht onverlet.
Artikel 57 lid 1 verplicht de lidstaten ervoor te zorgen dat hun bevoegde autoriteiten ten minste een AI-testomgeving voor regelgeving op nationaal niveau opzetten. De in het Publicatieblad bekendgemaakte tekst van Verordening (EU) 2024/1689 bepaalt dat die testomgeving uiterlijk op 2 augustus 2026 operationeel is, en die formulering staat op 9 augustus 2026 nog ongewijzigd in de artikeltekst die de Europese Commissie publiceert. De tijdlijn die de Europese Commissie publiceert na de inwerkingtreding van de Digital Omnibus, Verordening (EU) 2026/1744, op 27 juli 2026, plaatst deze mijlpaal daarentegen op 2 augustus 2027 met de vermelding "Member States should have at least one AI regulatory sandbox per country operational". De geconsolideerde tekst van artikel 57 lid 1 na de Omnibus is niet op artikelniveau geverifieerd; ga voor de exacte datum uit van de geconsolideerde versie op EUR-Lex. Hoofdstuk VI, waarin artikel 57 staat, valt niet onder de uitzonderingen van artikel 113 en is dus van toepassing sinds 2 augustus 2026. Artikel 57 lid 1 bepaalt verder dat aan de verplichting ook kan worden voldaan door deel te nemen aan een bestaande testomgeving, voor zover dat een gelijkwaardig niveau van nationale dekking biedt. Artikel 57 lid 5 omschrijft de testomgeving als een gecontroleerde omgeving die innovatie bevordert en het ontwikkelen, trainen, testen en valideren van innovatieve AI-systemen voor beperkte duur vergemakkelijkt, volgens een specifiek testomgevingsplan dat tussen de aanbieder of potentiele aanbieder en de bevoegde autoriteit is overeengekomen, voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld. Zulke testomgevingen kunnen ook testen onder reele omstandigheden onder toezicht binnen de testomgeving omvatten. Artikel 57 lid 15 verplicht het AI-bureau een openbare, actuele lijst van geplande en bestaande testomgevingen bij te houden.
Article 57(1)-(17), Article 58, Article 113; as amended by Regulation (EU) 2026/1744
De veelgemaakte fout is de testomgeving lezen als uitstel of als vrijstelling. Dat is zij niet. Artikel 57 lid 11 laat de toezichts- en correctiebevoegdheden van de bevoegde autoriteit volledig in stand en geeft haar uitdrukkelijk de bevoegdheid uw test of uw deelname tijdelijk of permanent te schorsen als risico's niet effectief kunnen worden beperkt. Een testomgeving is nuttig voor precies een profiel: u bouwt zelf een AI-systeem dat vermoedelijk onder bijlage III valt, u twijfelt over de classificatie of over hoe u aan hoofdstuk III, afdeling 2, voldoet, en u wilt die twijfel wegnemen voordat u in de handel brengt. Bent u uitsluitend gebruiksverantwoordelijke die een systeem inkoopt, dan is de testomgeving niet uw route: u kunt hooguit meedoen als partner van de aanbieder op grond van artikel 58 lid 2, punt b). Tweede val: de datum van 2 augustus 2027 is een plicht van de lidstaat, niet van u. De datum in dit item is daarom 2 augustus 2026: vanaf dat moment is hoofdstuk VI van toepassing en staat de route voor u open. U kunt uw eigen voorbereiding niet aan die datum ophangen, en de datum zegt niets over de vraag of uw nationale testomgeving dan ook daadwerkelijk plaatsen heeft. Derde val: mensen verwarren de testomgeving van artikel 57 met het testen onder reele omstandigheden van artikel 60. Dat zijn twee verschillende routes met verschillende voorwaarden. Testen onder reele omstandigheden kan binnen de testomgeving (artikel 57 lid 5 en artikel 58 lid 4) of daarbuiten onder artikel 60, en de waarborgen verschillen.
Bepaal eerst uw rol: alleen aanbieders en potentiele aanbieders kunnen zelfstandig toetreden. Zoek daarna in de door het AI-bureau gepubliceerde lijst van geplande en bestaande testomgevingen (artikel 57 lid 15) welke testomgeving voor u openstaat, in uw lidstaat of gezamenlijk met andere lidstaten. Formuleer voordat u aanklopt exact welke onzekerheid u wilt oplossen, bij voorkeur toegespitst op classificatie onder artikel 6 of op een specifieke eis uit hoofdstuk III, afdeling 2. Reken op de beslistermijn van drie maanden die artikel 58 lid 2, punt a), aan de uitvoeringshandelingen voorschrijft, zet die in uw productplanning en vraag de bevoegde autoriteit vooraf schriftelijk welke termijn zij op dit moment hanteert. Leg bij toetreding schriftelijk vast wat het testomgevingsplan omvat, en vraag bij uitschrijving zowel het schriftelijk bewijs als het eindverslag op.
Artikel 60: testen onder reele omstandigheden buiten een testomgeving
Wilt u een AI-systeem met een hoog risico uit bijlage III met echte mensen en echte uitkomsten testen voordat u het in de handel brengt, dan geldt een volwaardig regime: een plan, voorafgaande goedkeuring van de markttoezichtautoriteit, registratie, geinformeerde toestemming en een maximale duur.
Van toepassing wanneer u aanbieder of potentiele aanbieder bent van een AI-systeem met een hoog risico uit bijlage III en u dat systeem buiten een AI-testomgeving voor regelgeving onder reele omstandigheden wilt testen voordat u het in de handel brengt of in gebruik stelt. Bent u buiten de Unie gevestigd, dan eist artikel 60 lid 4, punt d), dat u een in de Unie gevestigde wettelijke vertegenwoordiger aanwijst; dat is een andere figuur dan de gemachtigde van artikel 22.
Artikel 60 lid 1, derde alinea, laat Unie- en nationaal recht over testen onder reele omstandigheden van systemen met een hoog risico bij producten onder de harmonisatiewetgeving van bijlage I onverlet. Artikel 60 lid 4, punt i), kent een uitzondering voor rechtshandhaving: indien het vragen om geinformeerde toestemming het testen onmogelijk zou maken, mag zonder toestemming worden getest, mits de test zelf en het resultaat geen negatieve gevolgen voor de proefpersonen hebben en hun persoonsgegevens na de test worden gewist. Voor de in bijlage III, punten 1, 6 en 7, bedoelde systemen op de gebieden rechtshandhaving, migratie, asiel en grenstoezicht verloopt de registratie via het beveiligde niet-openbare gedeelte van de EU-databank op grond van artikel 49 lid 4, punt d). Voor de in bijlage III, punt 2, bedoelde systemen geldt op grond van artikel 49 lid 5 registratie op nationaal niveau.
Artikel 60 lid 1 bepaalt dat het testen van AI-systemen met een hoog risico onder reele omstandigheden buiten AI-testomgevingen voor regelgeving mag worden uitgevoerd door aanbieders of potentiele aanbieders van in bijlage III vermelde AI-systemen met een hoog risico, in overeenstemming met dit artikel en het plan voor tests onder reele omstandigheden, onverminderd de verbodsbepalingen van artikel 5. De Commissie specificeert de precieze onderdelen van dat plan bij uitvoeringshandeling. De derde alinea van lid 1 bepaalt dat dit lid geen afbreuk doet aan Unie- of nationaal recht voor het testen onder reele omstandigheden van systemen met een hoog risico die verband houden met producten die onder de in bijlage I vermelde harmonisatiewetgeving vallen. Artikel 60 lid 2 staat toe dat aanbieders of potentiele aanbieders op elk moment voor het in de handel brengen of in gebruik nemen testen, zelf of in samenwerking met een of meer gebruiksverantwoordelijken of potentiele gebruiksverantwoordelijken. Artikel 60 lid 3 bepaalt dat dit testen geen afbreuk doet aan de ethische toetsing die op grond van Unie- of nationaal recht is vereist. Artikel 60 lid 4, punt f), begrenst de duur: niet langer dan nodig is om de doelstellingen te verwezenlijken en in geen geval langer dan zes maanden, met een mogelijke verlenging van nog eens zes maanden na voorafgaande kennisgeving aan de markttoezichtautoriteit met uitleg over de noodzaak. Artikel 60 lid 4, punt g), eist dat proefpersonen die tot kwetsbare groepen behoren vanwege leeftijd of handicap naar behoren worden beschermd. Artikel 60 lid 9 stelt uitdrukkelijk vast dat de aanbieder of potentiele aanbieder voor schade die in de loop van het testen onder reele omstandigheden wordt veroorzaakt onverkort onder het toepasselijke Unie- en nationale recht daarover valt. Hoofdstuk VI, waarin artikel 60 staat, valt niet onder de uitzonderingen van artikel 113 en is van toepassing sinds 2 augustus 2026.
Article 60(1)-(4), Article 60(9), Article 113
Veel organisaties noemen wat zij doen een pilot en gaan ervan uit dat zij daarmee buiten de verordening blijven. Artikel 60 laat zien dat dat niet opgaat zodra u een systeem uit bijlage III onder reele omstandigheden test met echte mensen en echte uitkomsten. Dan geldt een volwaardig regime: een plan, voorafgaande goedkeuring, registratie met een Uniebreed uniek identificatienummer, geinformeerde toestemming, en een harde klok van zes maanden met een verlenging van maximaal zes maanden. De zwaarste eis in de praktijk is artikel 60 lid 4, punt k): de voorspellingen, aanbevelingen of beslissingen van het systeem moeten daadwerkelijk kunnen worden teruggedraaid en genegeerd. Test u een selectie-, scoring- of triagesysteem waarvan de uitkomst rechtstreeks in de werkstroom doorwerkt zonder dat iemand die kan terugdraaien, dan voldoet uw opzet niet, hoe zorgvuldig uw toestemmingsformulier ook is. Let ook op de timing, want die is commercieel interessant. Hoofdstuk VI geldt sinds 2 augustus 2026, terwijl de kernverplichtingen voor zelfstandige bijlage III-systemen pas op 2 december 2027 van toepassing worden. De testroute staat dus al open voordat de eisen zelf bijten, en dat is precies het venster om uw ontwerp te valideren in plaats van het achteraf te moeten herbouwen. Tot slot: artikel 60 lid 3 laat ethische toetsing die op grond van ander recht is vereist volledig staan, en artikel 60 lid 9 stelt uitdrukkelijk vast dat u voor schade die tijdens het testen wordt veroorzaakt onverkort onder het toepasselijke recht valt.
Inventariseer welke lopende of geplande proeven feitelijk testen onder reele omstandigheden zijn: echte gebruikers, echte data, uitkomsten die in de werkstroom doorwerken. Toets die eerst op artikel 60 lid 4, punt k): kunt u de uitkomst daadwerkelijk terugdraaien en negeren? Zo niet, herontwerp de proef voordat u iets indient. Kies vervolgens bewust tussen twee routes: testen binnen een testomgeving onder toezicht op grond van artikel 57 lid 5 en artikel 58 lid 4, of buiten een testomgeving onder artikel 60. Plan de zes maanden realistisch en beslis vooraf op welk moment u een verlenging aanvraagt, want die vereist voorafgaande kennisgeving met onderbouwing. Controleer of voor uw domein een ethische toetsing verplicht is en start die parallel, want artikel 60 lid 3 stelt u daar niet van vrij.
Systematische bewaking van hoog-risico AI in de praktijk, na marktintroductie.
De aanbieder heeft een hoog-risico systeem op de markt; gebruiksverantwoordelijken leveren via monitoring en signalen de praktijkdata.
Het plan mag proportioneel zijn aan de aard van het systeem en aansluiten bij bestaande sectorale monitoringregimes.
Artikel 72 verplicht aanbieders tot een post-market monitoringsysteem met een plan dat deel uitmaakt van de technische documentatie, om relevante praktijkdata te verzamelen en de blijvende naleving van afdeling 2 te evalueren.
Compliance stopt niet bij livegang: dit artikel maakt van naleving een doorlopende toestand. Voor gebruiksverantwoordelijken is dit ook de basis om afwijkingen bij de leverancier af te dwingen.
Ontwerp de monitoring samen met de logging van Artikel 12: dezelfde datastromen voeden beide plichten.
Artikel 73: melding van ernstige incidenten
De meldplicht bij ernstige incidenten met hoog-risico AI, met strakke termijnen.
Een ernstig incident doet zich voor met een hoog-risico systeem: overlijden of ernstige schade aan gezondheid, ernstige en onomkeerbare verstoring van kritieke infrastructuur, schending van grondrechtenbeschermende verplichtingen of ernstige schade aan eigendom of milieu.
Voor systemen onder sectorale meldregimes met gelijkwaardige plichten kan de melding via dat regime lopen om dubbele meldingen te voorkomen.
Artikel 73 verplicht aanbieders ernstige incidenten te melden bij de markttoezichthouder: onmiddellijk na het vaststellen van het causale verband en uiterlijk binnen 15 dagen, verkort tot 10 dagen bij overlijden en tot 2 dagen bij wijdverbreide inbreuk of ernstige verstoring van kritieke infrastructuur. Gebruiksverantwoordelijken informeren de aanbieder onverwijld.
De termijnen zijn te kort om het proces tijdens het incident te ontwerpen: wie pas bij het eerste incident bedenkt wie er meldt, haalt 15 dagen niet, laat staan 2. Dit is het AVG-datalek-draaiboek, maar dan voor AI.
Sluit het AI-incidentproces aan op het bestaande datalek- en securityproces en voeg de AI-specifieke definities en termijnen toe.
Een doorlopend, gedocumenteerd risicobeheersysteem over de hele levenscyclus van een hoog-risico AI-systeem.
Het systeem is hoog-risico via Artikel 6 en de aanbieder brengt het op de markt of in gebruik.
Risico’s die alleen bij misbruik buiten elk redelijkerwijs te voorzien gebruik optreden vallen buiten de verplichte scope.
Artikel 9 vereist een risicobeheersysteem als doorlopend en iteratief proces over de hele levenscyclus, met identificatie, analyse, evaluatie en mitigatie van risico’s voor gezondheid, veiligheid en grondrechten, en testen om de meest passende maatregelen te bepalen.
Dit is geen eenmalige risicoanalyse maar een levend proces: de meeste organisaties hebben wel een assessment, maar geen cyclus die bij elke wijziging opnieuw draait. De cyclus is wat een toezichthouder zal opvragen.
Start het risicobeheerdossier nu voor systemen die richting 2 december 2027 hoog-risico worden: ontwerp- en inkoopkeuzes van vandaag bepalen de restrisico’s van morgen.
Artikel 43-49: conformiteitsbeoordeling, CE en registratie
De route van beoordeling naar CE-markering en registratie in de EU-databank vóór marktintroductie van hoog-risico AI.
De aanbieder brengt een hoog-risico systeem op de markt; publieke gebruiksverantwoordelijken registreren ook hun gebruik.
Voor de meeste Bijlage III-systemen volstaat interne controle (Bijlage VI); een aangemelde instantie is vereist voor bepaalde biometrie en waar geharmoniseerde normen ontbreken.
Artikel 43 regelt de conformiteitsbeoordeling, Artikel 47 de EU-conformiteitsverklaring, Artikel 48 de CE-markering en Artikel 49 de registratie in de EU-databank vóór marktintroductie of ingebruikname, inclusief registratie van de Artikel 6 lid 3-beoordeling.
Voor inkopers is dit de eenvoudigste leverancierscheck die er bestaat: vraag naar de conformiteitsverklaring en het registratienummer. Geen verklaring betekent dat het systeem er per 2 december 2027 niet mag zijn.
Plan de conformiteitsroute terug vanaf 2 december 2027: normkeuze, beoordeling, verklaring en registratie kosten samen maanden, geen weken.
Artikel 22-25: waardeketen en gemachtigde
Rolverschuivingen in de AI-waardeketen en de verplichte gemachtigde voor aanbieders buiten de EU.
Een hoog-risico systeem wordt geleverd, gewijzigd, van naam voorzien of van buiten de EU op de Uniemarkt gebracht.
Wie uitsluitend als distributeur of importeur optreedt zonder de triggers van Artikel 25 blijft in die lichtere rol, met eigen controleplichten.
Artikel 25 bepaalt dat een distributeur, importeur, gebruiksverantwoordelijke of derde als aanbieder geldt wanneer die zijn naam op een hoog-risico systeem zet, het wezenlijk wijzigt of het beoogde doel zodanig verandert dat het hoog-risico wordt; Artikel 22 verplicht aanbieders uit derde landen tot een schriftelijk gemachtigde in de Unie.
De gevaarlijkste rolwissel is de onbedoelde: een eigen laag bovenop een ingekocht model, een eigen merknaam op een tool, en u draagt opeens de volledige aanbiedersplichten. Dit hoort als vaste vraag in elk AI-project.
Neem de rolvraag op in het AI-register en in projectgates, en leg contractueel vast wie bij wijzigingen welke informatie en medewerking levert.