EU AI Act.
De AI-verordening voor ondernemingen: rollen, toepassingen, geldende verplichtingen en het traject naar passend bewijs.
- Verordening (EU) 2024/1689 · Wijzigingsstand 27.07.2026
- Door Derya Altinay
- Stand: 22-10-2026
- Leestijd: 8 min.
Kort antwoord.
De EU AI Act regelt kunstmatige intelligentie op basis van toepassing, risico en rol. De AI-verordening onderscheidt onder meer aanbieders en gebruiksverantwoordelijken, verbiedt bepaalde praktijken en vereist bijzondere beschermingsmaatregelen en bewijs voor hoogrisico-AI. Transparantie, AI-geletterdheid en verplichtingen van modelaanbieders moeten afzonderlijk worden getoetst; Art. 113 bepaalt de gefaseerde toepassing.
De AI-verordening en de actuele stand.
De EU AI Act is een rechtstreeks toepasselijke EU-verordening en geen vrijwillige beveiligingsstandaard. Verordening (EU) 2024/1689 regelt verplichtingen voor AI-systemen en AI-modellen voor algemene doeleinden. Het bekende overzicht van AI Act-risicoklassen helpt bij de start; voor een concrete beslissing zijn ook de rol van de onderneming en het beoogde gebruik nodig.
Verordening (EU) 2026/1744 heeft de AI-verordening gewijzigd en geldt sinds 27 juli 2026. Art. 1 punt 40 wijzigt het tijdschema in Art. 113 AI-verordening: voor hoogrisicosystemen volgens Art. 6 lid 2 en Bijlage III gelden hoofdstuk III, afdelingen 1 tot en met 3, in beginsel vanaf 2 december 2027, voor de productroute volgens Art. 6 lid 1 en Bijlage I vanaf 2 augustus 2028. Art. 6 lid 5 is daarvan uitgezonderd.
De algemene toepassingsdatum blijft 2 augustus 2026. Verboden en AI-geletterdheid en de regels voor modellen voor algemene doeleinden hebben eigen, eerdere data; enkele nieuw toegevoegde verboden gelden pas vanaf 2 december 2026. Het uitstel van bepaalde termijnen voor hoogrisico-AI verschuift daarom niet de hele AI-verordening. Voor reeds beschikbaar gestelde systemen en modellen moeten ook de overgangsregels van Art. 111 worden getoetst.
Voor wie de EU AI Act geldt.
De EU AI Act betreft volgens Art. 2 met name aanbieders die AI-systemen op de EU-markt brengen of in gebruik stellen, en gebruiksverantwoordelijken die in de EU gevestigd zijn. Ook bepaalde actoren buiten de EU vallen eronder wanneer systeemoutputs in de EU worden gebruikt. Importeurs, distributeurs en productfabrikanten hebben eigen rollen. Zuiver persoonlijk, niet-beroepsmatig gebruik moet anders worden behandeld dan gebruik binnen een onderneming.
Een onderneming moet haar rol voor elke toepassing bepalen. Wie een externe dienst inkoopt, heeft daarmee de rol voor elke daarop gebaseerde toepassing nog niet definitief bepaald. Ook het model en het voltooide systeem zijn verschillende aanknopingspunten. Doel, beschikbaarstelling en feitelijk gebruik horen daarom bij de toetsing; een organisatiebrede classificatie op basis van alleen de modelnaam is te onnauwkeurig.
AI Act-verplichtingen hangen af van rol en gebruik.
De AI Act-verplichtingen vormen geen uniform maatregelenpakket voor elk AI-gebruik. De volgende gebieden bieden oriëntatie; de toepasselijke artikelen en data moeten voor elk systeem en elke rol worden bepaald.
Verboden en hoogrisicoclassificatie toetsen.
Art. 5 beschrijft verboden praktijken, Art. 6 de hoogrisicoclassificatie. De productroute verbindt de relatie met Bijlage I aan de vereiste beoordeling door derden; de tweede route betreft genoemde toepassingen volgens Bijlage III. Niet elke toepassing in een genoemde sector is automatisch hoog risico. Uitzonderingen vereisen een onderbouwde toetsing van de concrete functie.
AI-geletterdheid ontwikkelen.
Art. 4 vereist in de gewijzigde versie maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen. Voorkennis, ervaring, taken en gebruikscontext moeten worden meegenomen. Aanbieders en gebruiksverantwoordelijken hoeven geen bepaald individueel competentieniveau te garanderen. Een algemeen cursuscertificaat vervangt daarom noch de selectie van geschikte maatregelen, noch het inhoudelijk bekijken van de gebruikte systemen.
Hoogrisico-AI veilig en navolgbaar inrichten.
De hoogrisico-eisen in Art. 9 tot en met 15 betreffen onder meer risicomanagement, gegevens, documentatie, registraties, informatie, menselijk toezicht, nauwkeurigheid, robuustheid en cyberbeveiliging. Aanbiedersverplichtingen en kwaliteitsmanagement volgens Art. 17 organiseren dit werk. Welke voorschriften wanneer gelden, volgt uit het concrete regime en het toepassingstijdschema.
Verantwoordelijkheid nemen bij het gebruik.
Verplichtingen van gebruiksverantwoordelijken volgens Art. 26 verschillen van de taken van aanbieders. Bij toepasselijke hoogrisicoregels horen met name gebruik volgens instructies, passend menselijk toezicht en monitoring van het gebruik. Toezicht vereist bekwame personen die daadwerkelijk kunnen ingrijpen; alleen het aanwijzen van een verantwoordelijke instantie bewijst nog geen doeltreffende interventie in de werkprocessen.
Transparantie gericht uitvoeren.
Art. 50 bevat bijzondere informatie- en markeringsplichten voor bepaalde systemen en outputs. Daaronder vallen bijvoorbeeld herkenbaar contact met AI en de omgang met bepaalde kunstmatig gegenereerde inhoud. Wie moet informeren of markeren, hangt af van de bepaling en de rol. Daaruit volgt geen algemene regel voor elk document dat intern met AI is bewerkt.
Modelverplichtingen afzonderlijk bekijken.
Hoofdstuk V bevat eigen verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden, in het Engels General-Purpose AI of GPAI. Aanvullende eisen gelden voor modellen met systeemrisico. Het gebruik van zo’n model maakt een onderneming niet automatisch tot modelaanbieder; tegelijkertijd verduidelijkt de modeldocumentatie nog niet alle verplichtingen voor het daarop gebouwde systeem.
De implementatie begint bij de toepassing.
Doel en gebruik vastleggen.
Beschrijf als praktische eerste stap welke taak een AI-systeem uitvoert, wie het gebruikt en welke personen of beslissingen de outputs raken.
Rol en toepassingsgebied bepalen.
Leg vast welke actorrol uw organisatie vervult en welke toetsing van de EU-relatie en mogelijke uitzonderingen deze beslissing onderbouwt.
Classificatie inhoudelijk toetsen.
Toets verboden, hoogrisicoroutes en transparantievraagstukken met de inhoudelijk, technisch en juridisch verantwoordelijken en documenteer de onderbouwing.
Verplichtingen en data bepalen.
Koppel concrete verantwoordelijken en de toepasselijke ingangsdatum aan de relevante voorschriften, inclusief afzonderlijke overgangsregels.
Bewijsvoering en gebruik verbinden.
Plan vereiste documenten, onderzoeken en toezicht zo dat deze het feitelijke gebruik van het systeem en het toepasselijke bewijstraject weergeven.
Wijzigingen opnieuw beoordelen.
Beoordeel als praktische aanbeveling de beslissingen opnieuw bij wijzigingen in doel, functionaliteit, gebruiksomgeving of verantwoordelijkheden en leg de nieuwe stand vast.
De bewijsvoering volgt de betreffende procedure.
De AI-verordening voorziet niet in de aanschaf van één uniform certificaat voor alle ondernemingen. Voor hoogrisico-AI bepaalt Art. 43 de toepasselijke conformiteitsbeoordelingsprocedure. Afhankelijk van het systeem zijn interne controle of betrokkenheid van een aangemelde instantie voorzien; productvoorschriften kunnen de procedure mede bepalen. Documentatie, waar van toepassing een EU-conformiteitsverklaring, CE-markering en registratie moeten telkens in het passende wettelijke verband worden bekeken.
Een certificaat van een aangemelde instantie moet worden onderscheiden van een vrijwillig managementsysteemcertificaat. Art. 44 lid 2 beperkt de daar geregelde geldigheid tot maximaal vijf jaar voor systemen volgens Bijlage I en vier jaar voor systemen volgens Bijlage III; de vermelde periode met de procedurevoorwaarden is bepalend. Deze grenzen zijn geen algemene looptijd voor alle AI Act-bewijsstukken. Ook de verplichtingen tijdens het gebruik blijven van belang.
Andere frameworks ondersteunen verschillende taken.
Bij AI-producten kunnen ook de afzonderlijk te toetsen productverplichtingen van de Cyber Resilience Act relevant zijn.
ISO 42001 structureert een AI-managementsysteem, terwijl het NIST AI RMF een vrijwillig kader voor AI-risico’s biedt. Beide kunnen de organisatie van het werk ondersteunen, maar bewijzen geen automatische conformiteit met de EU AI Act. De AVG blijft zelfstandig gelden bij verwerking van persoonsgegevens; een AI Act-classificatie vervangt geen privacyrechtelijke toetsing.
In Secani.
Secani bevat een redactionele ondernemingscatalogus voor de EU AI Act met rol- en profielgegevens, implementatieaanwijzingen en bewijsvoorbeelden. Aanbieders, gebruiksverantwoordelijken en andere rollen worden afzonderlijk vastgelegd. Het hulpmiddel ondersteunt gestructureerde behandeling; het vervangt noch inhoudelijke classificatie, noch een wettelijk vereiste beoordelingsprocedure. De catalogus is geen conformiteitsbewijs van een autoriteit.
Volgende stap.
Kies een concrete AI-toepassing die in gebruik is of wordt gepland en breng de inhoudelijk en technisch verantwoordelijken samen met de juridische toetsing. Het eerste resultaat moet een onderbouwde beslissing zijn over rol, gebruik en relevante verplichtingen. Daaruit ontstaat een uitvoerbaar bewijsplan; een ongecontroleerde lijst van alle verordeningsartikelen helpt daarvoor minder.
Bronnen.
- Europese Commissie: Cyber Resilience Act
- AI-verordening: geconsolideerde versie van 27 juli 2026
- Verordening (EU) 2026/1744: Digital Omnibus on AI, met name Art. 1 punten 5 en 40
- Europese Commissie: AI Act en toepassingstijdschema
- Officiële AI Act Service Desk: Art. 2, toepassingsgebied
- Officiële AI Act Service Desk: Art. 4, AI-geletterdheid
- Officiële AI Act Service Desk: Art. 6, hoogrisicoclassificatie
- Officiële AI Act Service Desk: Art. 17, kwaliteitsmanagement
- Officiële AI Act Service Desk: Art. 26, verplichtingen van gebruiksverantwoordelijken
- Officiële AI Act Service Desk: Art. 43, conformiteitsbeoordeling
- Officiële AI Act Service Desk: Art. 44, certificaten
- Officiële AI Act Service Desk: Art. 50, transparantieverplichtingen
- Officiële AI Act Service Desk: Art. 113, toepassing
Veelgestelde vragen.
Nee. Art. 6 koppelt de classificatie aan bepaalde productconfiguraties of genoemde toepassingen met hun voorwaarden en uitzonderingen. Alleen het gebruik van een krachtig model bepaalt de classificatie niet.
Nee. De rol hangt af van beschikbaarstelling, eigen toepassing en mogelijke wijzigingen. Het contract met een model- of dienstaanbieder verduidelijkt niet automatisch de verantwoordelijkheid voor het voltooide systeem.
Nee. Een AI-managementsysteem kan verantwoordelijkheden en procedures ordenen, terwijl de wettelijke verplichtingen voor het betreffende gebruik afzonderlijk moeten worden getoetst. Een managementsysteemcertificaat is geen algemeen bewijs voor alle eisen van de EU AI Act.
Nee. Het vereiste bewijs volgt uit rol, systeem en toepasselijke voorschriften. Art. 43 onderscheidt meerdere conformiteitsbeoordelingsprocedures; niet elke procedure voorziet in betrokkenheid van een externe instantie.
AI-verantwoordelijkheid concreet oppakken.
Verbind in Secani eisen, verantwoordelijkheden en bewijsmateriaal voor uw getoetste toepassingen.
Deze pagina duidt de AI-verordening op algemeen niveau. De geldende rechtshandelingen en de toetsing van de concrete toepassing zijn bepalend.