Aanbieder of gebruiksverantwoordelijke?

Het juridisch kader

De AI-verordening (Verordening (EU) 2024/1689) legt verplichtingen op aan operatoren, afhankelijk van hun rol in de waardeketen. Artikel 3 definieert de belangrijkste rollen:

• Aanbieder: een persoon of instantie die een AI-systeem of een AI-model voor algemene doeleinden ontwikkelt of laat ontwikkelen en het onder eigen naam of merk in de handel brengt of in gebruik stelt, tegen betaling of gratis.
• Gebruiksverantwoordelijke: een persoon of instantie die een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve voor persoonlijke, niet-professionele activiteiten.
• Importeur: een in de EU gevestigde operator die een systeem in de handel brengt dat de naam van een buiten de EU gevestigde persoon draagt.
• Distributeur: een operator in de toeleveringsketen, anders dan de aanbieder of importeur, die een systeem op de EU-markt aanbiedt.
• Gemachtigde: een in de EU aangewezen persoon die optreedt voor een buiten de EU gevestigde aanbieder.

Bij hoogrisicosystemen draagt de aanbieder volgens artikel 16 de zwaarste last: een risicobeheersysteem, datagovernance, technische documentatie, bijhouden van logs, transparantie naar gebruiksverantwoordelijken, menselijk toezicht by design, nauwkeurigheid en robuustheid, een kwaliteitsbeheersysteem, een conformiteitsbeoordeling, de EU-conformiteitsverklaring, de CE-markering en registratie. Zie conformiteitsbeoordelingen.

De plichten van de gebruiksverantwoordelijke staan in artikel 26. Ze komen neer op: het systeem gebruiken volgens de gebruiksinstructies, menselijk toezicht toewijzen aan bekwame en opgeleide personen, zorgen dat inputgegevens onder jouw controle relevant en voldoende representatief zijn, de werking monitoren, de automatisch gegenereerde logs minstens zes maanden bewaren, werknemersvertegenwoordigers en betrokken werknemers informeren voordat je een hoogrisicosysteem op de werkplek gebruikt, en natuurlijke personen informeren dat ze aan het gebruik van een hoogrisicosysteem worden onderworpen. Bepaalde gebruiksverantwoordelijken, zoals overheidsinstanties en wie AI gebruikt voor kredietscoring of prijszetting van levens- en ziektekostenverzekeringen, moeten volgens artikel 27 een grondrechteneffectbeoordeling uitvoeren.

Wanneer een gebruiksverantwoordelijke aanbieder wordt

Artikel 25 beschouwt een gebruiksverantwoordelijke, distributeur of andere derde als aanbieder van een hoogrisicosysteem wanneer die:

• zijn naam of merk op een hoogrisicosysteem zet dat al op de markt is;
• een substantiële wijziging aanbrengt in een hoogrisicosysteem, zodat het hoogrisico blijft; of
• het beoogde doel van een systeem wijzigt, ook van een AI-systeem voor algemene doeleinden, zodat het hoogrisico wordt.

De oorspronkelijke aanbieder geldt dan niet meer als aanbieder van dat systeem, maar moet wel met de nieuwe aanbieder samenwerken. Verordening (EU) 2026/1744 werkt deze samenwerkingsplicht verder uit, onder meer voor documentatie en technische toegang, en breidt de schriftelijke overeenkomsten tussen aanbieder en leveranciers van onderdelen uit tot AI-modellen. Ze laat de oorspronkelijke aanbieder ook toe de plicht uit te sluiten, door uitdrukkelijk te bepalen dat het systeem niet tot een hoogrisicosysteem mag worden omgevormd.

In de praktijk

Een Mechels logistiek bedrijf koopt een gelicentieerde planningstool die ploegen aan chauffeurs toewijst. Ploegtoewijzing op basis van persoonlijke kenmerken of gedrag valt onder werkgelegenheid in bijlage III. Het bedrijf is gebruiksverantwoordelijke. Het moet de instructies van de leverancier volgen, opgeleide mensen voor toezicht aanwijzen, logs bewaren en de ondernemingsraad en de chauffeurs informeren.

Een Leuvense start-up neemt een taalmodel voor algemene doeleinden van een grote aanbieder en bouwt er onder eigen merk een tool mee die sollicitanten rangschikt. De start-up is aanbieder van het hoogrisicosysteem dat daaruit komt. De aanbieder van het model is dat niet, maar moet de start-up de informatie geven die de regels voor modellen voor algemene doeleinden vragen.

Een adviesbureau neemt een HR-tool van een leverancier, geeft hem een eigen naam en verkoopt hem door aan klanten. Door zijn eigen naam op het systeem te zetten wordt het aanbieder volgens artikel 25 en neemt het alle aanbiederplichten over.

Rollen gelden per systeem, en dezelfde onderneming kan aanbieder zijn van het ene systeem en gebruiksverantwoordelijke van het andere. Een register dat de rol per systeem vastlegt, voorkomt verrassingen (ons register). De plichten van gebruiksverantwoordelijken raken ook persoonsgegevens, dus ze sluiten aan bij je verwerkingsregister.

Veelgestelde vragen

Is een bedrijf dat een model fine-tunet aanbieder?

Mogelijk. Brengt het een systeem onder eigen naam in de handel of stelt het dat in gebruik, dan is het aanbieder van dat systeem. Of het ook aanbieder van het model wordt, hangt af van hoe ingrijpend de wijzigingen zijn.

Moet een bedrijf buiten de EU de verordening naleven?

Ja, als het systeem in de EU in de handel wordt gebracht of de output in de EU wordt gebruikt. Aanbieders van hoogrisicosystemen buiten de EU moeten een gemachtigde aanwijzen.

Kunnen de rollen contractueel worden verdeeld?

Met een contract kun je informatie- en samenwerkingsplichten verdelen, maar de wettelijke rol verandert er niet door. Een leverancier kan een gebruiksverantwoordelijke niet contractueel ontslaan van zijn plichten onder artikel 26.

Moet een gebruiksverantwoordelijke de aanbieder iets vragen?

Ja: de gebruiksinstructies en de informatie die je nodig hebt om je eigen verplichtingen na te komen. Leg dat vast in de aankoopovereenkomst.

Hoe dit samenhangt

Onze dienstverlening AI Act-compliance begint met het bepalen van jouw rol per systeem. De risicoclassificatie zegt of deze plichten volledig gelden, en de tijdlijn vanaf wanneer.