Wat moet hoog-risico AI-systemen concreet doen onder de AI Act?

onderwijs

Logging bij aanmelding en toetsing: wat de hogeschool zelf in handen houdt

Een hogeschool gebruikt een ingekocht AI-systeem dat de aanmelding van studenten rangschikt en daarnaast signalen afgeeft bij digitale toetsing. De logs staan in de omgeving van de leverancier, die ze op verzoek aanlevert. Het onderwijsteam vraagt zich af of de school daarmee klaar is of dat er een eigen bewaarplicht overblijft.

Herkomst: Artikel 12 lid 1 vereist dat een AI-systeem met een hoog risico technisch zo is vormgegeven dat gebeurtenissen gedurende de levenscyclus automatisch worden geregistreerd, en lid 2 verbindt die registratie aan een niveau van traceerbaarheid dat passend is voor het beoogde doel van het systeem. Artikel 26 lid 6 bepaalt dat gebruiksverantwoordelijken de automatisch gegenereerde logs bewaren voor zover die logs onder hun controle vallen, gedurende een periode die passend is voor het beoogde doel of ten minste zes maanden, tenzij toepasselijk Unierecht of nationaal recht anders bepaalt, meer in het bijzonder het Unierecht over de bescherming van persoonsgegevens. Artikel 19 lid 1 legt een overeenkomstige bewaarplicht op aan aanbieders voor de door hun systemen gegenereerde logs die onder hun controle vallen, eveneens voor ten minste zes maanden.

Onze lezing is dat het hosten van de logs door de leverancier de school niet zonder meer buiten artikel 26 lid 6 plaatst: bepalend is of de logs onder haar controle vallen. De verordening definieert dat begrip niet, en in onze lezing is de serverlocatie op zichzelf niet doorslaggevend; het gaat om de vraag of u feitelijk en contractueel over die logs kunt beschikken, en die vraag moet u per inkoop beantwoorden. Spreek daarom bij inkoop af dat de hogeschool de logs kan opvragen, exporteren en gedurende de gekozen termijn zelf kan bewaren, en leg vast welke gebeurtenissen rond aanmelding en toetsing daaronder vallen. Betrek daarbij meteen de gegevensbescherming, want dezelfde bepaling laat toe dat ander Unierecht of nationaal recht de bewaartermijn juist begrenst.

Redactioneel voorbeeld. De regel hierboven staat in de verordening. De situatie is door ons geschreven om te laten zien hoe die regel in deze sector uitpakt, en is niet ontleend aan een uitgewerkt geval uit officiële richtsnoeren.

Artikel 12 lid 1 en 2, artikel 19 lid 1 en artikel 26 lid 6

industrie en productie

Logging op de productielijn: welke logs bewaart de fabrikant en welke de fabriek

Een fabrikant levert een AI-systeem dat als veiligheidscomponent meedraait in de machines van een productielijn en tegelijk de kwaliteitscontrole aanstuurt. De fabriek die de lijn draait, bewaart alleen de meldingen die in de lokale besturing zichtbaar zijn; de rest van de registratie loopt naar de omgeving van de leverancier. De vraag is wie welke logs moet bewaren wanneer achteraf moet worden gereconstrueerd waarom de lijn is stilgelegd.

Herkomst: Artikel 12 lid 1 bepaalt dat AI-systemen met een hoog risico dusdanig technisch zijn vormgegeven dat gebeurtenissen gedurende de levenscyclus van het systeem automatisch worden geregistreerd. Volgens lid 2 maken die loggingfuncties het mogelijk gebeurtenissen te registreren die relevant zijn voor de identificatie van situaties die ertoe kunnen leiden dat het systeem een risico vormt in de zin van artikel 79 lid 1 of dat er een substantiële wijziging optreedt, voor de facilitering van de monitoring na het in de handel brengen bedoeld in artikel 72, en voor de monitoring van de werking van de in artikel 26 lid 5 bedoelde AI-systemen met een hoog risico. Artikel 19 lid 1 verplicht aanbieders die automatisch gegenereerde logs te bewaren voor zover zij onder hun controle vallen, gedurende een periode die passend is voor het beoogde doel van het systeem, van ten minste zes maanden, tenzij toepasselijk Unierecht of nationaal recht anders bepaalt. Artikel 26 lid 6 legt een overeenkomstige bewaarplicht op aan gebruiksverantwoordelijken voor de logs die onder hun controle vallen, met dezelfde ondergrens van zes maanden.

Wij lezen artikel 19 en artikel 26 lid 6 zo dat de fabrikant, die hier als aanbieder optreedt, en de fabriek als gebruiksverantwoordelijke ieder een eigen bewaarplicht houden voor de logs die onder hun controle vallen. De verordening omschrijft niet wanneer logs onder uw controle vallen, en de plek waar de registratie technisch landt is in onze lezing niet vanzelf beslissend; die open vraag moet u per systeem beantwoorden. Voor een productielijn betekent dat in onze lezing dat u vastlegt welke gebeurtenissen in de machinebesturing blijven en welke naar de leverancier gaan, en dat u toegang tot dat tweede deel contractueel regelt voordat u het nodig heeft. Regelt u dat niet, dan loopt u het risico dat u een stilstand of een afkeuring in de kwaliteitscontrole achteraf niet meer kunt herleiden tot het gedrag van het systeem.

Redactioneel voorbeeld. De regel hierboven staat in de verordening. De situatie is door ons geschreven om te laten zien hoe die regel in deze sector uitpakt, en is niet ontleend aan een uitgewerkt geval uit officiële richtsnoeren.

Artikel 12 lid 1 en 2, artikel 19 lid 1 en artikel 26 lid 6

werkvloer en personeel

Logging bij taakverdeling op de werkvloer: bewijs over het systeem of dossier over de werknemer

Een werkgever zet een AI-systeem in dat op de werkvloer taken toewijst aan medewerkers en het functioneren samenvat ten behoeve van het beoordelingsgesprek. Personeelszaken wil weten welke registratie van die uitkomsten bewaard moet blijven wanneer een werknemer maanden later bezwaar maakt tegen een besluit over promotie.

Herkomst: Artikel 12 lid 1 vereist dat AI-systemen met een hoog risico dusdanig technisch zijn vormgegeven dat gebeurtenissen gedurende de levenscyclus automatisch worden geregistreerd. Lid 2, punt c, noemt als een van de doelen van die loggingfuncties de monitoring van de werking van systemen als bedoeld in artikel 26 lid 5, en dat lid verplicht gebruiksverantwoordelijken de werking te monitoren op basis van de gebruiksaanwijzing en in voorkomend geval de aanbieder in kennis te stellen overeenkomstig artikel 72. Artikel 26 lid 6 verplicht gebruiksverantwoordelijken de automatisch gegenereerde logs te bewaren voor zover die onder hun controle vallen, gedurende een periode die passend is voor het beoogde doel of ten minste zes maanden, tenzij toepasselijk Unierecht of nationaal recht anders bepaalt. Artikel 19 lid 1 bevat een overeenkomstige bewaarplicht voor aanbieders, met dezelfde ondergrens van zes maanden.

Wij lezen artikel 12 lid 2 zo dat de loggingfuncties er in de eerste plaats zijn om risico's, substantiële wijzigingen en de werking van het systeem te kunnen volgen, en niet om individuele medewerkers scherper te beoordelen. Of die doelomschrijving ook begrenst waarvoor de bewaarde logs later mogen worden gebruikt, zegt artikel 12 niet: die grens moet u in onze lezing uit het gegevensbeschermingsrecht halen, waarnaar artikel 26 lid 6 zelf verwijst. Voor personeelszaken volgt daaruit een praktische lijn: bewaar wat nodig is om een uitkomst te kunnen herleiden en het toezicht van artikel 26 lid 5 waar te maken, en leg vooraf schriftelijk vast of dezelfde bestanden wel of niet als prestatieregistratie mogen dienen. Houd er daarbij rekening mee dat de ondergrens van zes maanden korter kan zijn dan de termijn waarbinnen een werknemer bezwaar maakt tegen een besluit over promotie; die bewijspositie regelt de verordening niet.

Redactioneel voorbeeld. De regel hierboven staat in de verordening. De situatie is door ons geschreven om te laten zien hoe die regel in deze sector uitpakt, en is niet ontleend aan een uitgewerkt geval uit officiële richtsnoeren.

Artikel 12 lid 1 en lid 2, punt c, artikel 19 lid 1 en artikel 26 lid 5 en 6

retail en consument

Webshop bouwt zelf een kredietcheck voor consumenten: wat het dossier moet bevatten

Een keten in de non-food retail laat klanten in de webshop achteraf betalen en beoordeelt bij het afrekenen zelf of een consument daarvoor in aanmerking komt. Het team bouwt dat beoordelingssysteem in eigen huis, boven op een voorgetraind model van een leverancier. De vraag is wat er vastligt voordat de functie live gaat, en wie dat moet vastleggen.

Herkomst: Artikel 11 lid 1 bepaalt dat de technische documentatie van een AI-systeem met een hoog risico wordt opgesteld voordat dat systeem in de handel wordt gebracht of in gebruik wordt gesteld, en wordt geactualiseerd. Die documentatie moet aantonen dat het systeem in overeenstemming is met de eisen van deze afdeling en nationale bevoegde autoriteiten en aangemelde instanties op heldere en begrijpelijke wijze in staat stellen die overeenstemming te beoordelen; zij omvat ten minste de in bijlage IV uiteengezette elementen. Bijlage IV somt die elementen op voor zover zij van toepassing zijn op het betreffende AI-systeem en vraagt onder meer om de uitgevoerde methoden en stappen voor de ontwikkeling, met inbegrip van, indien relevant, het gebruik van door derden geleverde vooraf getrainde systemen of hulpmiddelen en hoe die zijn gebruikt, geïntegreerd of aangepast door de aanbieder, om de gebruikte validatie- en testprocedures, en om een beschrijving van relevante wijzigingen die de aanbieder gedurende de levenscyclus aan het systeem aanbrengt. Kmo's, met inbegrip van start-ups, kunnen die elementen op vereenvoudigde wijze verstrekken; kiezen zij daarvoor, dan gebruiken zij het vereenvoudigde formulier dat de Commissie daartoe opstelt.

Artikel 11 legt de documentatieplicht bij de aanbieder, dus de vraag die in dit geval eerst open ligt is wie dat hier is. Als de beoordeling van kredietwaardigheid van consumenten in uw situatie hoog risico oplevert, dan pleit er in onze lezing veel voor dat een webshop die het systeem zelf samenstelt en onder eigen naam in gebruik stelt niet langer alleen gebruiksverantwoordelijke is maar aan de aanbiederskant terechtkomt, met de documentatieplicht die daarbij hoort. Artikel 11 zelf beslecht die rolverdeling niet, dus toets dat aan de definities en aan artikel 25 voordat u ervan uitgaat dat het dossier bij uw leverancier ligt. Het lastigste deel in retail is in onze lezing niet de eerste versie van het dossier maar het tempo daarna, omdat een webshop vaak per release aanpast terwijl het dossier blijft staan bij de stand van ingebruikname. Regel daarom bij de inkoop van het voorgetrainde model dat u de informatie over herkomst, training en tests krijgt die bijlage IV van u vraagt, en beleg per release wie het dossier bijwerkt.

Redactioneel voorbeeld. De regel hierboven staat in de verordening. De situatie is door ons geschreven om te laten zien hoe die regel in deze sector uitpakt, en is niet ontleend aan een uitgewerkt geval uit officiële richtsnoeren.

Artikel 11, lid 1 en bijlage IV

AI Act-eisen integreren in bestaande risico- en kwaliteitssystemen

Volgens de concept-richtsnoeren van 19 mei 2026, die uitdrukkelijk als concept voor stakeholderfeedback zijn gepubliceerd en geen bindende werking hebben, voorziet de AI Act in mechanismen om de nalevingslast voor marktdeelnemers te beperken. De concept-richtsnoeren noemen artikel 8 lid 2 AI Act over het samenspel met de sectorale wetgeving, artikel 9 lid 10 AI Act over risicobeheer en artikel 17 lid 3 AI Act over kwaliteitsbeheer, die marktdeelnemers toestaan om, waar nodig en passend, een beoordeling van AI-specifieke risico's toe te voegen aan reeds bestaande risico- en kwaliteitsmanagementsystemen. Artikel 40 AI Act vereist daarnaast dat geharmoniseerde normen onder de AI Act consistent zijn met normen die zijn ontwikkeld onder de harmonisatiewetgeving van Bijlage I. De concept-richtsnoeren stellen dat deze mechanismen marktdeelnemers in staat stellen om binnen een enkel nalevingskader te voldoen aan zowel de AI Act als de harmonisatiewetgeving, waarmee dubbel werk wordt vermeden terwijl een hoog beschermingsniveau voor gezondheid, veiligheid en grondrechten behouden blijft.

Concept-richtsnoeren Annex I, punten (61) en (62)

ISO/IEC 5259-reeks: datakwaliteit voor analytics en machine learning

De ISO/IEC 5259-reeks (Artificial intelligence: Data quality for analytics and machine learning) bestaat uit vijf delen: deel 1 (overzicht, terminologie en voorbeelden), deel 2 (maatstaven voor datakwaliteit), deel 3 (eisen en richtlijnen voor datakwaliteitsmanagement) en deel 4 (procesraamwerk voor datakwaliteit), alle gepubliceerd in 2024, plus deel 5 (governanceraamwerk voor datakwaliteit), gepubliceerd in februari 2025. CEN-CENELEC heeft delen overgenomen als Europese norm, waaronder EN ISO/IEC 5259-4:2025 en EN ISO/IEC 5259-3:2025. Geen enkel deel is met referentie in het Publicatieblad bekendgemaakt; er is dus geen vermoeden van conformiteit onder artikel 40. De deliverable die dat voor artikel 10 beoogt is prEN 18284.

prEN 18284: kwaliteit en governance van datasets in AI

prEN 18284 (Artificial intelligence: Quality and governance of datasets in AI) is de JTC 21-deliverable onder M/613 voor artikel 10 AI-verordening, dat eisen stelt aan trainings-, validatie- en testdatasets van hoog-risico AI-systemen. De deliverable bevond zich naar de stand van juni 2026 in het drafting-stadium. De norm is nog niet als EN gepubliceerd en is niet met referentie in het Publicatieblad bekendgemaakt.

EN 18286:2026: kwaliteitsmanagementsysteem voor AI Act-doeleinden

EN 18286:2026 (Artificial intelligence: Quality management system for EU AI Act regulatory purposes) is opgesteld door CEN/CLC/JTC 21 onder standaardisatieverzoek M/613 en is op 12 juli 2026 door CEN-CENELEC goedgekeurd. Het is de eerste JTC 21-deliverable die het publicatiestadium bereikt. Volgens een gepubliceerde dekkingsverklaring bij de norm, die nog niet door een tweede onafhankelijke bron is bevestigd, ziet de norm op artikel 17 lid 1 punten a tot en met m en op artikel 11 lid 1 eerste zin, en uitdrukkelijk niet op artikel 17 leden 2 tot en met 4 en artikel 72. De norm is op dit moment NIET met referentie in het Publicatieblad bekendgemaakt. Het vermoeden van conformiteit van artikel 40 treedt pas in na die bekendmaking.

EN ISO/IEC 42001: managementsysteem voor kunstmatige intelligentie

ISO/IEC 42001:2023 is de eerste certificeerbare internationale norm voor een AI-managementsysteem, gepubliceerd op 18 december 2023 en opgebouwd volgens de plan-do-check-act-cyclus. De tekst is ongewijzigd overgenomen als EN ISO/IEC 42001:2026, goedgekeurd door CEN op 13 maart 2026, met nationale invoering door de aangesloten normalisatie-instituten. Deze adoptie is geen deliverable onder standaardisatieverzoek M/613: de norm is niet met referentie in het Publicatieblad bekendgemaakt en geeft dus geen vermoeden van conformiteit onder artikel 40. Voor artikel 17 is EN 18286:2026 de aangewezen deliverable onder M/613; ook die norm is niet met referentie in het Publicatieblad bekendgemaakt.