Ga naar de hoofdinhoud
Praxikon

Gratis template · Excel · Nederlands en Engels

EU AI Act compliance checklist: alle plichten per rol en risicoklasse (Excel-template)

Een EU AI Act compliance checklist is een overzicht van de plichten uit de AI-verordening (Verordening (EU) 2024/1689) die voor uw organisatie gelden. Per plicht staan het artikel, de rol die de plicht draagt (aanbieder of gebruiksverantwoordelijke), sinds of vanaf wanneer die geldt en welk bewijs u bewaart. Verwerkt AI persoonsgegevens, dan geldt daarnaast de AVG.

Laatst gecontroleerd tegen de wet
Redactie
, jurist privacy en AI
Versie en template-ID
2.0 · praxikon:template:ai-act-checklist
Rechtsgrond
Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744; Verordening (EU) 2016/679 (AVG); art. 27 WOR

Voor wie is dit template?

  • Compliance officer of eigenaar van AI-governanceHoudt de checklist bij en bepaalt per systeem de rol en de risicoklasse (artikel 3, 5, 6 en 25)
  • Directie van een mkb-organisatie die AI inkoopt en gebruiktGebruiksverantwoordelijke: maatregelen voor AI-geletterdheid (artikel 4), geen verboden praktijken (artikel 5) en de deepfake-melding (artikel 50 lid 4)
  • Productteam dat AI ontwikkelt of onder eigen naam aanbiedtAanbieder: AI-melding en markering van output (artikel 50 lid 1 en 2) en voor hoog-risico-AI de plichten van artikel 16, voor bijlage III vanaf 2 december 2027
  • Functionaris gegevensbescherming of privacyfunctionarisVerwerkingsverantwoordelijke onder de AVG: grondslag, DPIA en geautomatiseerde besluiten (artikel 6, 22 en 35 AVG)
  • HR en werkgevers met een ondernemingsraadWerknemers informeren bij hoog-risico-AI op de werkplek (artikel 26 lid 7) en het instemmingsrecht van de OR (artikel 27 lid 1, onder k en l WOR)
  • Overheden en uitvoeringsorganisatiesRegistratie van het gebruik in de EU-databank en een FRIA bij hoog-risico-AI uit bijlage III (artikel 26 lid 8, 49 lid 3 en 27, vanaf 2 december 2027; niet voor bijlage III punt 2)

Wat staat erin

  • Over dit template: zes stappen om het werkboek in te vullen, en velden voor organisatie, eigenaar en herzieningsdatum
  • Startvragen: zestien vragen over uw rol en uw toepassingen (Ja, Nee of Weet niet), plus drie berekende afgeleide antwoorden, zoals of een FRIA mogelijk nodig is
  • Checklist: 55 regels in twaalf onderdelen, van basis, verboden praktijken, AI-geletterdheid en transparantie tot AI-modellen voor algemene doeleinden, hoog risico, leveranciers, AVG, ondernemingsraad en governance
  • Per regel het artikel, de rol die de plicht draagt, wettelijke plicht of goede praktijk, de toepassingsdatum en het bewijs dat u bewaart
  • Twee berekende kolommen per regel: geldt dit voor u, en geldt het nu al of komt het nog
  • Mkb-basisset: 17 regels waarmee een kleine organisatie die AI inkoopt en gebruikt begint
  • Dashboard: 24 tellingen van open punten per rol en risicoklasse, elk met de volgende stap, en de boetemaxima van artikel 99
  • Tijdlijn: tien datums, van de AVG (25 mei 2018) tot en met 2 augustus 2030
  • Bij veel regels een link naar het passende gratis Praxikon-template

Zo gebruikt u het template

  1. Vervang op het blad Startvragen de voorbeeldantwoorden van de fictieve groothandel door uw eigen antwoorden. Beantwoord elke vraag voor de hele organisatie: is het antwoord Ja voor één systeem, dan is het Ja.
  2. Zoek uit wat op Weet niet blijft staan. De regels die daarbij horen, staan op Controleren tot u het weet.
  3. Kleine organisatie? Filter de Checklist op de kolom Mkb-basisset en begin daar.
  4. Geef elke regel die voor u geldt een eigenaar, een interne deadline en de vindplaats van het bewijs. Begin met de rode tellingen op het Dashboard: die gelden nu en zijn nog niet gereed.
  5. Herzie de checklist minstens eens per halfjaar, bij elke nieuwe of gewijzigde toepassing en na een wetswijziging of nieuwe richtsnoeren.

Veelgemaakte fouten

  • Denken dat inkopen geen plichten geeft. Wie AI onder eigen verantwoordelijkheid gebruikt, is gebruiksverantwoordelijke (artikel 3, punt 4) en heeft nu al plichten, zoals maatregelen voor AI-geletterdheid (artikel 4), de verboden praktijken (artikel 5) en de deepfake-melding (artikel 50 lid 4).
  • Artikel 50 als toekomstig recht behandelen. De transparantieplichten gelden sinds 2 augustus 2026. Alleen de markering van output (artikel 50 lid 2) heeft een overgangstermijn tot 2 december 2026, en die geldt alleen voor systemen die vóór 2 augustus 2026 in de handel zijn gebracht.
  • Artikel 4 lezen als een certificaatplicht. De aanbieder en de gebruiksverantwoordelijke nemen maatregelen die AI-geletterdheid ondersteunen; een vast niveau per persoon of een certificaat schrijft de verordening niet voor.
  • De rolverschuiving vergeten. Zet u uw naam of merk op een hoog-risicosysteem, wijzigt u het substantieel of zet u het in voor een doel uit bijlage III, dan krijgt u voor bijlage III vanaf 2 december 2027 de plichten van de aanbieder (artikel 25 lid 1).
  • De AVG overslaan omdat een systeem geen hoog risico is. Zodra AI persoonsgegevens verwerkt, heeft u als verwerkingsverantwoordelijke een grondslag nodig (artikel 6 AVG), vaak een DPIA (artikel 35 AVG) en gelden de grenzen van artikel 22 AVG.

Wanneer heeft u een jurist nodig?

  • Uw rol of risicoklasse staat niet vast. Een startvraag blijft op Weet niet staan, u past een systeem aan of zet het in voor een doel uit bijlage III, of u wilt als aanbieder de uitzondering van artikel 6 lid 3 gebruiken. Van die keuze hangt af of u de plichten van de aanbieder (artikel 16) draagt of die van de gebruiksverantwoordelijke (artikel 26).
  • U gebruikt hoog-risico-AI bij besluiten over mensen. Bijvoorbeeld bij werving, kredietbeoordeling of toegang tot voorzieningen. Als gebruiksverantwoordelijke heeft u vanaf 2 december 2027 de plichten van artikel 26 en mogelijk een FRIA (artikel 27). Als verwerkingsverantwoordelijke geldt de AVG nu al, vaak met een DPIA (artikel 35 AVG) en de grenzen van artikel 22 AVG.
  • Een toepassing raakt een verbod of de transparantieplicht. Een functie komt in de buurt van artikel 5, zoals emotieherkenning bij medewerkers, of u maakt of verspreidt met AI een deepfake (beeld, audio of video die ten onrechte echt lijkt, artikel 3 punt 60), of publiceert met AI gemaakte tekst om het publiek te informeren over zaken van algemeen belang. De verboden gelden voor aanbieder en gebruiksverantwoordelijke; de plicht van artikel 50 lid 4 draagt u als gebruiksverantwoordelijke, sinds 2 augustus 2026.

Veelgestelde vragen

Welke plichten uit de AI Act gelden nu al?

Stand 6 oktober 2026: de verboden praktijken (artikel 5) en de plicht om maatregelen voor AI-geletterdheid te nemen (artikel 4) gelden sinds 2 februari 2025. De plichten voor aanbieders van AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2025, de transparantieplichten van artikel 50 sinds 2 augustus 2026. De nieuwe verboden van artikel 5 lid 1, onder b bis en b ter, gelden vanaf 2 december 2026.

Wanneer gelden de plichten voor hoog-risico-AI?

Voor systemen uit bijlage III vanaf 2 december 2027, voor systemen die via bijlage I hoog risico zijn vanaf 2 augustus 2028. Die datums volgen uit Verordening (EU) 2026/1744, die sinds 27 juli 2026 geldt. Systemen die al vóór die datum in de handel of in gebruik zijn, vallen er alleen onder als hun ontwerp daarna aanzienlijk wijzigt; systemen voor gebruik door overheidsinstanties moeten uiterlijk op 2 augustus 2030 voldoen (artikel 111 lid 2).

Wij kopen AI alleen in. Welke rol hebben wij?

Meestal bent u dan gebruiksverantwoordelijke (artikel 3, punt 4). Zet u uw naam of merk op een hoog-risicosysteem, wijzigt u het substantieel of zet u het in voor een doel uit bijlage III, dan kunt u de plichten van de aanbieder krijgen (artikel 25 lid 1). De startvragen helpen u dat na te gaan.

Welke boetes zijn er, en wie houdt toezicht?

De verordening noemt maxima die lidstaten in hun sanctieregels moeten vastleggen: tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor een verboden praktijk, tot 15 miljoen euro of 3% voor andere plichten en tot 7,5 miljoen euro of 1% voor onjuiste informatie (artikel 99). Voor een kmo geldt het laagste van bedrag of percentage; voor een kleine midcaponderneming alleen bij de leden 4 en 5. Op 6 oktober 2026 had Nederland nog geen markttoezichtautoriteit voor de AI-verordening aangewezen en was er nog geen uitvoeringswet.

Ben ik klaar met de AI Act als de checklist is ingevuld?

Nee. De checklist laat zien welke plichten u heeft opgepakt en waar uw bewijs ligt. Een status Gereed betekent dat u de maatregel heeft genomen, niet dat een toezichthouder die heeft beoordeeld. Herzie de checklist minstens eens per halfjaar.

Mag ik het werkboek aanpassen en binnen mijn organisatie delen?

Ja. U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Gebruik en bronvermelding

U mag dit template vrij gebruiken, aanpassen en delen, ook binnen uw organisatie, op voorwaarde dat de vermelding 'Bron: Praxikon' met de link naar dit template blijft staan.

Zo verwijst u naar dit template: Bron: Praxikon, EU AI Act compliance checklist: alle plichten per rol en risicoklasse (Excel-template), versie 2.0, stand 6 oktober 2026, https://www.praxikon.com/nl/templates/eu-ai-act-compliance-checklist

Dit template is een hulpmiddel en geen juridisch advies voor uw situatie. Het geeft de stand van de wet weer per 6 oktober 2026. Wetgeving, richtsnoeren en toezichtspraktijk kunnen daarna veranderen. Het gebruik van dit template is geen garantie op naleving: de toepassing in uw organisatie blijft uw eigen verantwoordelijkheid.

Praxikon is een handelsnaam van Embed AI · KvK 90283597