AI Act-register en beoordelingen

Wat het doet

AI Act-compliance begint met een simpele vraag: welke AI-systemen heb je, en wat vraagt de verordening voor elk ervan? In dit register staat het antwoord op één plek, niet meer in losse spreadsheets en mails. Het draait op dezelfde registermotor als ons verwerkingsregister en andere compliance-registers, dus je kunt een AI-systeem koppelen aan de persoonsgegevens die het gebruikt.

Het ondersteunt onze dienst AI Act-compliance. Het register ordent en legt uit; een advocaat kijkt elke classificatie en conclusie na voor ze meetelt.

Functies

Inventaris en classificatie van AI-systemen

Elk AI-systeem komt erin met doel, leverancier, gebruikers, gegevens en eigenaar. Het register loopt met je door de classificatie: verboden praktijk, hoogrisico (inclusief de uitzondering voor bepaalde systemen uit bijlage III, waarvoor je een gedocumenteerde beoordeling nodig hebt), systeem met transparantieverplichtingen, of iets anders. Bij elke conclusie staan de artikelen waarop ze steunt, zodat je de redenering kunt checken. Zie risicoclassificatie uitgelegd.

Input: een korte beschrijving van het systeem, de leverancier en het beoogde doel, van jou of van ons tijdens een intakesessie. Output: een classificatie met de artikelen erachter. Controle: de advocaat kijkt de redenering na, zeker bij een uitzondering voor een systeem uit bijlage III, want die moet je documenteren.

Verplichtingen per rol

Hetzelfde systeem brengt andere plichten mee als je aanbieder bent dan als je gebruiksverantwoordelijke bent, en je rol kan veranderen. Het register legt je rol vast en toont wat daaruit volgt: gebruik, toezicht en informatie voor een gebruiksverantwoordelijke; documentatie en conformiteit voor een aanbieder. Zie aanbieder of gebruiksverantwoordelijke.

Input: de rol en de classificatie. Output: een lijst van plichten voor die rol. Controle: de advocaat bevestigt dat de rol klopt, want een andere naam, een ander doel of een ingrijpende wijziging kan de rol veranderen.

Opvolging van conformiteitsbeoordelingen

Voor hoogrisicosystemen die je aanbiedt, volgt het register de stappen naar conformiteit: technische documentatie, kwaliteitsbeheer, de beoordelingsprocedure, de EU-conformiteitsverklaring en de registratie. Elke stap heeft een status en bijbehorend bewijs. Zie conformiteitsbeoordelingen voor hoogrisico-AI.

Input: documenten en bewijs die jij of je leverancier uploadt. Output: een status per stap en een overzicht van wat nog ontbreekt. Controle: de advocaat bekijkt het bewijs voor een stap als afgerond geldt.

AI-modellen voor algemene doeleinden

Modellen die voor veel dingen inzetbaar zijn, noteren we apart, met de info die telt voor de verplichtingen van aanbieders die sinds augustus 2025 gelden en voor de aanbieders en gebruiksverantwoordelijken die erop voortbouwen.

Grondrechteneffectbeoordeling

Is een systeem hoogrisico, dan start het register de beoordeling onder artikel 27, als die voor jou geldt. Jij en je advocaat vullen ze samen in via het klantenportaal, en ze kan voortbouwen op een bestaande gegevensbeschermingseffectbeoordeling.

Input: de classificatie van het systeem. Output: een ontwerpbeoordeling, vooraf ingevuld met de gegevens van het systeem. Controle: jij en de advocaat vullen aan en keuren goed.

AI Act-tijdlijn

Een tijdlijn toont welke verplichtingen voor jouw systemen gelden en vanaf wanneer, inclusief het uitstel dat in 2026 is aangenomen. Zie wat wanneer geldt.

Incidentregistratie

Ernstige incidenten en storingen noteren we met datum, beschrijving, beoordeling en opvolging, zodat jij en je advocaat kunnen beslissen of je het bij de autoriteit moet melden.

Een dossier van begin tot einde

Een Leuvens softwarebedrijf voegt een functie voor automatische cv-rangschikking toe aan zijn HR-product. We zetten de functie in het register. De classificatie toont een gebruik voor werkgelegenheid in bijlage III met profilering, dus de functie is hoogrisico en het bedrijf is aanbieder. Het register toont de plichten van de aanbieder en de data, en opent de grondrechtenbeoordeling. Het bedrijf uploadt zijn documentatie stap voor stap. Zes maanden later meldt een klant een raar rangschikkingsresultaat; dat wordt als incident genoteerd en met de advocaat beoordeeld. Op elk moment beslist de advocaat, en het register bewaart het spoor.

Wat je mag verwachten

Je krijgt het register als levend document: inventaris, classificaties met hun rechtsgrond, plichten per systeem, beoordelingen en bewijs. Exporteer het als rapport voor een klant, auditor of bestuur. In het klantenportaal zie je de AI Act-weergave, pas je items aan en upload je bewijs. De advocaat kijkt na en keurt goed.

Waar we het inzetten

We gebruiken het bij elke opdracht AI Act-compliance, van een eerste inventaris tot het opvolgen van nieuwe tools. De tegenhangers voor gegevensbescherming zijn het verwerkingsregister en de compliance-registers en de DPIA. Vertrouwelijke inhoud wordt op onze eigen hardware afgeschermd voordat een cloud-AI het ziet; kan die check niet draaien, dan gaat er niets weg. Ons platform wordt in de EU gehost.