Provider vs deployer

De AI Act maakt een fundamenteel onderscheid tussen aanbieders (providers) en gebruiksverantwoordelijken (deployers). De aanbieder ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam of merk in de handel of in gebruik, betaald of gratis (artikel 3 punt 3). De gebruiksverantwoordelijke gebruikt een AI-systeem onder eigen verantwoordelijkheid, behalve bij persoonlijk, niet-beroepsmatig gebruik (artikel 3 punt 4). Dit onderscheid bepaalt welke plichten voor u gelden.

De AI Act verdeelt de plichten voor AI-systemen met een hoog risico over de hele keten, van ontwikkeling tot gebruik. De aanbieder draagt de zwaarste plichten (artikel 16). Zit hij buiten de EU, dan wijst hij vóór het op de markt brengen schriftelijk een gemachtigde in de EU aan (artikel 22). De importeur brengt het systeem van een aanbieder van buiten de EU op de Europese markt en controleert vooraf de conformiteitsbeoordeling, de technische documentatie, de CE-markering, de EU-conformiteitsverklaring met gebruiksaanwijzing en de gemachtigde (artikel 23). De distributeur maakt het systeem verder beschikbaar en controleert de CE-markering, de conformiteitsverklaring en de gebruiksaanwijzing (artikel 24). Importeur en distributeur brengen een systeem dat niet conform is pas op de markt als het in orde is gebracht. De gebruiksverantwoordelijke gebruikt het systeem en heeft de plichten van artikel 26. Een importeur, distributeur of gebruiksverantwoordelijke kan zelf aanbieder worden via artikel 25 lid 1.

Vraag 1: heeft u het AI-systeem zelf ontwikkeld of laten ontwikkelen? Zo nee, dan bent u waarschijnlijk gebruiksverantwoordelijke. Zo ja, ga naar vraag 2. Vraag 2: brengt u het onder eigen naam of merk in de handel? Zo ja, dan bent u aanbieder. Zo nee, ga naar vraag 3. Vraag 3: neemt u het alleen intern in gebruik? Ook dan bent u aanbieder, want ook in gebruik nemen voor eigen gebruik telt (artikel 3 punt 3 en punt 11). Let op: koopt u een hoog-risicosysteem in en zet u er uw eigen naam of merk op, of wijzigt u het wezenlijk, dan kunt u daarvan aanbieder worden (artikel 25 lid 1).

Als aanbieder van een AI-systeem met een hoog risico heeft u uitgebreide plichten (artikel 16). U richt een risicobeheersysteem in dat de hele levenscyclus meeloopt, stelt vóór het in de handel brengen technische documentatie op, laat de conformiteitsbeoordeling uitvoeren, brengt de CE-markering aan en registreert het systeem in de EU-databank waar artikel 49 dat vraagt. Na het in de handel brengen monitort u het systeem en meldt u ernstige incidenten.

Als gebruiksverantwoordelijke van een AI-systeem met een hoog risico heeft u minder plichten dan een aanbieder, maar ze zijn niet minder belangrijk. U gebruikt het systeem volgens de gebruiksaanwijzing, draagt het menselijk toezicht op aan bekwame mensen, bewaakt de inputdata voor zover u die beheert, monitort de werking en bewaart de logs ten minste zes maanden. Ziet u een risico, dan informeert u de aanbieder of distributeur en de markttoezichtautoriteit en schort u het gebruik op; een ernstig incident meldt u onmiddellijk, eerst aan de aanbieder (artikel 26 lid 5). Publieke organisaties en enkele andere gebruiksverantwoordelijken voeren daarnaast een FRIA uit (artikel 27). De volledige lijst per lid, met checklist, staat op de pagina over artikel 26.

Soms is uw rol niet meteen duidelijk. Koopt u een hoog-risicosysteem in en zet u er uw eigen naam of merk op, wijzigt u het wezenlijk, of wijzigt u het beoogde doel van een AI-systeem zodat het hoog risico wordt, dan wordt u daarvan aanbieder (artikel 25 lid 1); gebruikt u het systeem zelf, dan bent u daarnaast gebruiksverantwoordelijke. Bouwt u een eigen toepassing op een AI-model voor algemene doeleinden en brengt u die onder eigen naam in de handel of in gebruik, dan bent u aanbieder van die toepassing. Importeurs en distributeurs hebben eigen plichten in de artikelen 23 en 24.

De Digital Omnibus on AI is Verordening (EU) 2026/1744 en geldt sinds 27 juli 2026. Voor aanbieders en gebruiksverantwoordelijken verschuift vooral de planning: de hoog-risicoplichten gelden vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen uit bijlage I. De registratie in de EU-databank voor systemen die via artikel 6 lid 3 geen hoog risico zijn, blijft bestaan, maar met minder gegevens. Artikel 4 verplicht aanbieders en gebruiksverantwoordelijken nu om maatregelen te nemen die AI-geletterdheid ondersteunen. De rolverdeling zelf, met de definities van artikel 3 en de routes van artikel 25, is niet veranderd.