Conformiteitsbeoordelingen voor hoogrisico-AI

Het juridisch kader

Voordat een hoogrisico-AI-systeem in de EU in de handel komt of in gebruik wordt genomen, moet de aanbieder aantonen dat het systeem voldoet aan de eisen van hoofdstuk III, afdeling 2 van de AI-verordening (Verordening (EU) 2024/1689). Dat doe je met een conformiteitsbeoordeling onder artikel 43. Die verplichtingen gelden, na Verordening (EU) 2026/1744, vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen uit bijlage I.

De eisen die je moet aantonen

Het systeem moet beschikken over:

• een risicobeheersysteem dat de hele levenscyclus dekt (artikel 9);
• data- en datagovernancemaatregelen, met onderzoek naar mogelijke vertekening (artikel 10);
• technische documentatie die vóór de markttoegang is opgesteld (artikel 11 en bijlage IV);
• automatische registratie van gebeurtenissen (artikel 12);
• gebruiksinstructies en transparantie naar gebruiksverantwoordelijken (artikel 13);
• maatregelen voor doeltreffend menselijk toezicht (artikel 14);
• een passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging (artikel 15).

De aanbieder moet bovendien een kwaliteitsbeheersysteem hebben (artikel 17).

Welke beoordelingsprocedure geldt

Voor systemen uit bijlage III zijn er twee wegen. Voor de domeinen 2 tot 8 (kritieke infrastructuur, onderwijs, werkgelegenheid, essentiële diensten, rechtshandhaving, migratie, rechtsbedeling) volgt de aanbieder de procedure van interne controle van bijlage VI. Hij gaat zelf na of zijn kwaliteitsbeheersysteem en documentatie conform zijn, zonder aangemelde instantie.

Voor biometrische systemen (domein 1) mag de aanbieder de interne procedure alleen gebruiken als hij geharmoniseerde normen of gemeenschappelijke specificaties volledig heeft toegepast. Anders moet hij een aangemelde instantie betrekken volgens bijlage VII. Is het systeem een product of veiligheidscomponent onder bijlage I, dan geldt de conformiteitsbeoordeling van de sectorale wetgeving, waarin de eisen van de AI-verordening zijn opgenomen.

Zodra de verwijzingen naar geharmoniseerde normen zijn bekendgemaakt, geven die normen een vermoeden van conformiteit (artikel 40).

Na de beoordeling

Is de beoordeling klaar, dan moet de aanbieder:

• een EU-conformiteitsverklaring opstellen (artikel 47);
• de CE-markering aanbrengen (artikel 48);
• het systeem registreren in de EU-databank (artikel 49), ook systemen die de aanbieder op grond van artikel 6, lid 3 als vrijgesteld beschouwt;
• de documentatie tien jaar bewaren (artikel 18).

Na een substantiële wijziging is een nieuwe conformiteitsbeoordeling nodig (artikel 43, lid 4). De aanbieder moet het systeem ook na de markttoegang opvolgen (artikel 72) en ernstige incidenten melden aan de markttoezichtautoriteit (artikel 73).

In de praktijk

Een Kortrijkse start-up ontwikkelt software die de kredietwaardigheid van consumenten beoordeelt. Dat is een hoogrisicosysteem in bijlage III, domein 5. De start-up volgt de interne procedure van bijlage VI: ze bouwt een kwaliteitsbeheersysteem op, schrijft de technische documentatie, test haar trainingsdata op vertekening, bouwt logging en een interface voor menselijke controle in, en checkt of het systeem aan de artikelen 9 tot 15 voldoet. Een oprichter tekent de EU-conformiteitsverklaring, de CE-markering komt erop en het systeem wordt geregistreerd.

Anderhalf jaar later traint de start-up het model opnieuw met nieuwe data en voegt ze een nieuwe categorie inputgegevens toe. Dat is waarschijnlijk een substantiële wijziging en vraagt een nieuwe beoordeling. Had ze het model alleen bijgewerkt binnen de prestatiemarge die in de oorspronkelijke documentatie was voorzien, dan was dat niet zo geweest.

Koop je zo'n systeem als gebruiksverantwoordelijke, dan voer je zelf geen conformiteitsbeoordeling uit. Vraag wel de conformiteitsverklaring, het registratienummer en de gebruiksinstructies op. Zie aanbieder of gebruiksverantwoordelijke.

Ons AI Act-register volgt elke stap met bewijs. Verwerkt het systeem persoonsgegevens, dan toont een koppeling met het verwerkingsregister de datagovernance erachter.

Begin bij de documentatie en niet bij de test. De technische documentatie onder bijlage IV dwingt de aanbieder om het beoogde doel, de ontwerpkeuzes, de gebruikte data en de validatieresultaten te beschrijven, en gaten daarin zijn meestal waar een beoordeling vastloopt. Vroeg beginnen geeft je ook ruimte om je aan te passen aan geharmoniseerde normen zodra die verschijnen.

Veelgestelde vragen

Is altijd een aangemelde instantie nodig?

Nee. Voor de meeste systemen uit bijlage III beoordeelt de aanbieder zelf zijn conformiteit. Een aangemelde instantie is nodig in het hierboven beschreven geval van biometrie en onder bepaalde sectorale wetgeving.

Hoelang duurt een conformiteitsbeoordeling?

Dat hangt af van hoe ver het kwaliteitsbeheer en de documentatie van de aanbieder staan. Reken eerder op maanden dan op weken.

Kan een gebruiksverantwoordelijke op de beoordeling van de aanbieder steunen?

Voor de plichten van de aanbieder wel. De gebruiksverantwoordelijke blijft zelf verantwoordelijk voor zijn eigen plichten onder artikel 26, zoals toezicht en het informeren van betrokkenen.

Heeft een AI-model voor algemene doeleinden een conformiteitsbeoordeling nodig?

Niet als zodanig. Modellen hebben eigen verplichtingen. Een hoogrisicosysteem dat op een model is gebouwd, heeft er wel een nodig.

Hoe dit samenhangt

AI Act-compliance omvat de voorbereiding van deze beoordelingen. Welke systemen er een nodig hebben, volgt uit de risicoclassificatie, en vanaf wanneer uit de tijdlijn.