Artikel 9 van 1138%
Artikel 9: Systeem voor risicobeheer
EU Official:
AankomendBijlage III vanaf 2 dec 2027; Bijlage I vanaf 2 aug 2028
Titel III: Hoog-risico AI-systemen
Toepassingsdata
- : Eisen voor hoog-risico systemen uit Bijlage III
- : Eisen voor hoog-risico systemen gekoppeld aan Bijlage I
Artikel 9 is de basis voor risicobeheer bij hoog-risico AI. Organisaties moeten risico's niet alleen identificeren, maar ook beperken, testen, monitoren en documenteren.
Officiële tekst
||
Bron: EUR-Lex, Verordening (EU) 2024/1689. Tekst ongewijzigd overgenomen.
Download AI Act (PDF)→Officiële uitleg bij dit artikel
4- Uitvoeringsbesluit met het normalisatieverzoek aan CEN en CENELEC voor hoog-risico AI-systemenVraagt expliciet om een norm voor het risicobeheersysteem, zodat aanbieders de open norm van artikel 9 met een concrete methodiek kunnen invullen.GepubliceerdUitvoeringshandelingEuropese Commissie23 jun 2025
- NEN-ISO/IEC 42005:2025 Impactbeoordeling van AI-systemenVult het risicobeheersysteem van artikel 9 aan met een expliciete blik op effecten op individuen en groepen, wat het risicoproces breder maakt dan alleen productveiligheid.GepubliceerdNormISO/IEC JTC 1/SC 42, Nederlandse overname door NEN1 jun 2025
- NEN-EN-ISO/IEC 23894:2024 Artificiele intelligentie - Richtlijn voor risicomanagementGeeft nu al een bruikbare methodiek voor het risicobeheersysteem van artikel 9, als overbrugging zolang de Europese eisennorm prEN 18228 nog in ontwerpfase is.GepubliceerdNormISO/IEC JTC 1/SC 42, Europese overname via CEN-CENELEC, Nederlandse overname door NEN1 feb 2024
- prEN 18228 Europese ontwerpnorm voor risicomanagement onder de AI-verordeningGeeft het proces dat aanbieders moeten doorlopen om te voldoen aan de plicht uit artikel 9 om gedurende de hele levenscyclus een risicobeheersysteem in stand te houden, inclusief risicos voor grondrechten.ConceptNormCEN-CENELEC JTC 21, nationale consultatie via NEN18 mei 2026
Wat betekent dit voor u?
Aanbieder (Provider)+
U moet een doorlopend risicomanagementsysteem opzetten dat risico's identificeert, analyseert en mitigeert gedurende de hele levenscyclus. Dit is geen eenmalig assessment maar een continu proces. Documenteer alles in uw technische documentatie (Art. 11).
Deployer (Gebruiksverantwoordelijke)+
Zorg dat u het risicomanagementsysteem van uw aanbieder begrijpt en monitort. Bij afwijkingen van verwacht gedrag: meld dit aan de aanbieder. Houd een logboek bij van incidenten en afwijkingen.
MKB / Startup+
Begin klein: maak een risico-inventarisatie van uw AI-gebruik. Welke data gaat erin? Welke beslissingen komen eruit? Wat kan er misgaan? Gebruik onze FRIA Generator als startpunt.
Overheid+
Combineer uw AI-risicomanagement met bestaande frameworks zoals de IAMA (Impact Assessment Mensenrechten en Algoritmes). De AI Act-eisen sluiten aan bij wat veel overheden al doen.
Compliance checklist
- ☐Risicomanagementsysteem opgezet en gedocumenteerd
- ☐Risico-identificatie en -analyse uitgevoerd
- ☐Risicobeperkende maatregelen geïmplementeerd
- ☐Restrisico's beoordeeld en aanvaardbaar bevonden
- ☐Testprocedures uitgevoerd vóór ingebruikname
- ☐Systeem voor continue monitoring ingericht
Wil je je voortgang opslaan? Maak een account aan
Relevante overwegingen
Overweging 65Primair
Het systeem voor risicobeheer moet bestaan uit een tijdens de gehele levensduur van een AI-systeem met een hoog risico doorlopend en gepland iteratief proces. Dit proces moet gericht zijn op het vasts…
Overweging 66Primair
Op AI-systemen met een hoog risico moeten eisen van toepassing zijn met betrekking tot risicobeheer, de kwaliteit en relevantie van de gebruikte datasets, technische documentatie en registratie, trans…
Overweging 67Primair
Kwalitatief hoogwaardige data en de toegang hiertoe is van wezenlijk belang voor het bieden van structuur en het waarborgen van de prestaties van veel AI-systemen, met name wanneer technieken worden g…
Relevante tools
Gerelateerde handhaving
Nog geen handhavingsacties voor dit artikel. Volg ontwikkelingen via de Enforcement Tracker.
Gerelateerde blogposts
Kruisverwijzingen
Bijlagen
Veelgestelde vragen
Wat houdt het risicomanagementsysteem voor AI in?+
Artikel 9 vereist een doorlopend, iteratief risicomanagementsysteem dat risico's identificeert, analyseert, evalueert en mitigeert gedurende de hele levenscyclus van het AI-systeem.
Is een risicobeoordeling eenmalig of doorlopend?+
Het risicomanagement moet doorlopend zijn. Het is geen eenmalige check maar een continu proces dat regelmatig wordt bijgewerkt, vooral bij significante wijzigingen aan het AI-systeem.
Moet ik als MKB ook voldoen aan artikel 9 van de AI Act?+
Artikel 9 van de AI Act maakt geen algemene uitzondering voor het MKB. Wel voorziet de AI Act in ondersteunende maatregelen en eventueel verlichte verplichtingen voor kleine en middelgrote ondernemingen, afhankelijk van hun rol in de AI-waardeketen.
Hoe verhoudt artikel 9 van de AI Act zich tot de AVG/GDPR?+
Artikel 9 van de AI Act werkt aanvullend op de AVG. Waar de AVG persoonsgegevens beschermt, richt de AI Act zich op de veiligheid en betrouwbaarheid van AI-systemen. Organisaties moeten aan beide regelgevingen voldoen wanneer hun AI-systeem persoonsgegevens verwerkt.
Wat zijn de deadlines voor artikel 9 van de AI Act?+
De AI Act kent een gefaseerde invoering. Verboden AI-praktijken gelden vanaf februari 2025, verplichtingen voor hoog-risico AI-systemen vanaf augustus 2026, en overige bepalingen worden geleidelijk van kracht. De specifieke deadline voor artikel 9 hangt af van de categorie van de verplichting.
Geldt artikel 9 van de AI Act ook voor AI-systemen die ik inkoop?+
Ja, artikel 9 van de AI Act kan ook relevant zijn wanneer u AI-systemen inkoopt. Als gebruiksverantwoordelijke (deployer) heeft u eigen verplichtingen onder de AI Act, ongeacht of u het systeem zelf heeft ontwikkeld of ingekocht bij een aanbieder.
Wat is het verschil tussen provider en deployer bij artikel 9 van de AI Act?+
Bij artikel 9 van de AI Act is de provider (aanbieder) degene die het AI-systeem ontwikkelt of op de markt brengt, terwijl de deployer (gebruiksverantwoordelijke) degene is die het systeem onder eigen verantwoordelijkheid inzet. Beide rollen hebben verschillende verplichtingen.
Welke documentatie vereist artikel 9 van de AI Act?+
Artikel 9 van de AI Act vereist dat relevante documentatie wordt bijgehouden als onderdeel van het compliance-proces. Dit kan technische documentatie, gebruiksaanwijzingen, logs of conformiteitsverklaringen omvatten, afhankelijk van de classificatie van het AI-systeem.
Hoe vaak moet het risicomanagementsysteem worden bijgewerkt?+
Het risicomanagementsysteem moet een continu, iteratief proces zijn gedurende de gehele levenscyclus van het AI-systeem. Het moet worden bijgewerkt wanneer er wezenlijke wijzigingen aan het systeem worden aangebracht, bij nieuwe inzichten over risico's, of wanneer post-market monitoring nieuwe informatie oplevert.
Wat is het verschil tussen een DPIA (AVG) en het risicomanagementsysteem van artikel 9?+
Een DPIA onder de AVG richt zich op risico's voor privacy en gegevensbescherming. Het risicomanagementsysteem van artikel 9 is breder en omvat risico's voor gezondheid, veiligheid en alle grondrechten. Beide assessments zijn complementair en kunnen gedeeltelijk overlappen, maar vervangen elkaar niet.
Moet ik restrisico's expliciet documenteren?+
Ja, artikel 9 vereist dat restrisico's die na het nemen van risicobeperkende maatregelen overblijven, expliciet worden geïdentificeerd en gedocumenteerd. Deze restrisico's moeten als aanvaardbaar worden beoordeeld en worden gecommuniceerd aan de gebruiksverantwoordelijke via de gebruiksinstructies.
Kan ik het risicomanagementsysteem van de AI Act combineren met ISO 31000 of ISO 23894?+
Ja, bestaande risicobeheerkaders zoals ISO 31000 (risicomanagement) en ISO/IEC 23894 (AI risicomanagement) kunnen als basis dienen. U moet wel zorgen dat alle specifieke vereisten van artikel 9 worden afgedekt, waaronder de focus op grondrechten en de verplichting tot testen met representatieve data.