AI Act-compliance

De vraag

Bijna elk bedrijf gebruikt tegenwoordig AI: een chatbot op de website, een screeningtool bij werving, een scoringmodel, een generatieve tool in marketing of een AI-functie in het product dat je verkoopt. De AI-verordening (Verordening (EU) 2024/1689, de "AI Act") speelt bij al die toepassingen een rol. De vragen die daaruit volgen zijn praktisch. Valt dit systeem eronder? Zijn we aanbieder of alleen gebruiksverantwoordelijke? Is het een hoogrisicosysteem? Wat moeten we doen, en wanneer?

Ook de deadlines schuiven. De Europese Commissie stelde in november 2025 voor om de hoogrisicoverplichtingen uit te stellen, en dat uitstel is intussen aangenomen. Veel bedrijven weten niet goed welke verplichtingen nu gelden en welke zijn opgeschoven. Ons overzicht wat wanneer geldt zet het op een rij per oktober 2026.

Meestal komen klanten bij ons in een van deze situaties. Een klant of investeerder vraagt in een vragenlijst naar bewijs van AI Act-paraatheid. Een productteam wil een AI-functie toevoegen en wil weten wat dat betekent. HR is een screeningtool gaan gebruiken. Of het management wil gewoon weten waar het bedrijf staat voordat de verplichtingen ingaan.

Onze aanpak

We beginnen met een inventaris. Samen maken we een lijst van de AI-systemen die je ontwikkelt, aankoopt of gebruikt, ook de tools die teams op eigen houtje hebben ingevoerd. Per systeem noteren we het doel, de leverancier, de betrokken gegevens en wie intern verantwoordelijk is.

Daarna delen we alles in. Voor elk systeem checken we of het een verboden praktijk is, een hoogrisicosysteem, een systeem met transparantieverplichtingen of een systeem zonder specifieke verplichtingen (risicoclassificatie uitgelegd). We bepalen ook jouw rol. De verplichtingen van een aanbieder en een gebruiksverantwoordelijke verschillen sterk, en een gebruiksverantwoordelijke kan aanbieder worden door een systeem aan te passen of onder eigen naam te laten draaien.

Dat zetten we in het register en de beoordelingen voor de AI Act op ons platform. Daar staat elke classificatie met de artikelen waarop ze steunt en het bewijsmateriaal. Jij ziet en bewerkt hetzelfde register in het klantenportaal. Verwerkt een systeem persoonsgegevens, dan koppelen we het aan je verwerkingsregister en waar nodig aan een gegevensbeschermingseffectbeoordeling. De AI-verordening en de GDPR gelden namelijk naast elkaar (waar de kaders overlappen).

In de praktijk loopt het in drie stappen. Eerst een kennismakingssessie met de mensen die de tools kennen: IT, HR, marketing en product. Dan stelt onze advocaat de classificatie en de rol per systeem op, met het register als bewaarplek voor redenering en bewijs. Tot slot lopen we de resultaten samen door, verbeter jij wat wij verkeerd zagen, en beslist de advocaat over de definitieve classificatie en keurt die goed. Is iets onduidelijk, bijvoorbeeld of een tool echt personen profileert, dan vragen we de leverancier eerst om documentatie voordat we een conclusie trekken.

Een advocaat kijkt elke classificatie en elke conclusie na voordat ze definitief is. Het register ondersteunt die controle, het vervangt ze niet.

Wat je mag verwachten

Je krijgt een onderbouwd standpunt dat je kunt laten zien aan een klant, een auditor of een toezichthouder:

• een inventaris van AI-systemen met risicoklasse, rol en verantwoordelijke;
• een gemotiveerde classificatie per systeem, met een schriftelijke beoordeling als je je beroept op een uitzondering voor een systeem uit bijlage III;
• een overzicht van de verplichtingen per systeem en per rol, met de data die gelden, inclusief de conformiteitsbeoordeling voor hoogrisicosystemen die je aanbiedt;
• een plan voor AI-geletterdheid in je organisatie;
• een evenredig AI-governancekader: beleid, rollen, goedkeuring van nieuwe tools en aanpak bij incidenten;
• voor hoogrisicogebruik een grondrechteneffectbeoordeling waar artikel 27 er een vraagt, en advies over specifieke domeinen zoals AI bij werving en selectie.

Een korte casus: een Gents logistiek bedrijf gebruikt een tool van een derde die ploegen voor chauffeurs voorstelt, een chatbot op de website en een generatieve tool voor marketingteksten. Na de intake classificeren we de ploegentool als hoogrisicosysteem op het vlak van werkgelegenheid, met het bedrijf als gebruiksverantwoordelijke. Dat betekent toezicht, logs en informatie voor de ondernemingsraad. Bij de chatbot hoort een melding dat gebruikers met een AI-systeem praten. De marketingtool vraagt alleen de geletterdheidsmaatregelen. Het bedrijf houdt drie items, drie conclusies en een korte actielijst met data over.

Koop je AI alleen in bij leveranciers? Dan lezen we ook de contractbepalingen door die de verantwoordelijkheden onder de AI-verordening verdelen, en vragen we de leverancier om de documentatie die jij als gebruiksverantwoordelijke nodig hebt.

Voor het grote plaatje is ons praktisch overzicht van de AI-verordening een goed vertrekpunt.

Volgende stap

Weet je niet zeker welke van je systemen onder de verordening vallen? Een korte kennismaking is genoeg om te bepalen of je een volledige inventaris nodig hebt of alleen een paar gerichte antwoorden.

Plan een gesprek en vertel ons welke AI-tools je gebruikt of bouwt.