Naleving van AI-wetgeving borg je door een combinatie van risicogebaseerde classificatie, aantoonbare governance en continue monitoring van AI-systemen in je organisatie. De EU AI Act legt verplichtingen op die afhangen van het risiconiveau van elk systeem, wat betekent dat je eerst moet weten wat je hebt voordat je kunt bepalen wat je moet doen. Dit artikel beantwoordt de meest gestelde vragen over AI-compliance, van de concrete verplichtingen tot de rolverdeling en de stappen die je zet om naleving structureel te verankeren.
Welke verplichtingen legt de AI Act op aan bedrijven?
De EU AI Act legt verplichtingen op die zijn afgestemd op het risiconiveau van een AI-systeem. Hoe hoger het risico, hoe zwaarder de eisen op het gebied van transparantie, documentatie, menselijk toezicht en logging. Voor hoog-risico-AI gelden de meest vergaande eisen; voor minimaal-risico-systemen zijn de verplichtingen beperkt.
Voor de meeste MKB- en midcap-organisaties zijn de volgende verplichtingen het meest relevant:
- AI-geletterdheid (Artikel 4): Aanbieders en gebruikers zijn verplicht voldoende AI-geletterdheid bij personeel te borgen. Deze verplichting geldt voor alle AI-systemen, ongeacht risiconiveau, en is van kracht sinds 2 februari 2025.
- Transparantie en documentatie: Hoog-risico-systemen vereisen technische documentatie, risicobeoordelingen en aantoonbare testresultaten voordat ze in gebruik worden genomen.
- Menselijk toezicht: Bij hoog-risico-toepassingen moet een mens in staat zijn het systeem te begrijpen, te monitoren en zo nodig in te grijpen of uit te zetten.
- Automatische logging (Artikel 12): Hoog-risico-AI moet gedurende de volledige levensduur automatisch logs bijhouden. Deze verplichting is volledig van toepassing vanaf 2 augustus 2026.
- Conformiteitsbeoordeling: Voor bepaalde hoog-risico-toepassingen is een formele beoordeling vereist voordat het systeem op de markt wordt gebracht of in gebruik wordt genomen.
Organisaties die AI inzetten als gebruiker, niet als aanbieder, dragen ook verplichtingen. Je bent als gebruiker verantwoordelijk voor het juiste gebruik van een systeem conform de instructies van de aanbieder, en voor het melden van ernstige incidenten.
Wanneer moet een organisatie voldoen aan de AI Act?
De AI Act treedt gefaseerd in werking. Verboden AI-praktijken zijn al per 2 februari 2025 van kracht. De verplichting voor AI-geletterdheid geldt eveneens vanaf die datum. De volledige verplichtingen voor hoog-risico-AI, inclusief de automatische logging uit Artikel 12, worden volledig afdwingbaar per 2 augustus 2026.
Voor organisaties die nu AI-systemen implementeren of uitbreiden, betekent dit concreet dat je niet kunt wachten tot de deadline nadert. Systemen die je in 2025 of begin 2026 in productie brengt, moeten bij de livegang al voldoen aan de logging- en governancevereisten die per augustus 2026 wettelijk verplicht worden. Wie dat niet meeneemt in het ontwerp, bouwt later technische schuld op die duur en tijdrovend is om te herstellen.
Houd ook rekening met sectorspecifieke regelgeving. In sectoren als financiële dienstverlening, zorg en HR gelden aanvullende eisen naast de AI Act, zoals de AVG voor persoonsgegevens. De AI Act werkt bovenop bestaande regelgeving, niet in plaats daarvan.
Hoe breng je AI-systemen in kaart voor compliance?
Je brengt AI-systemen in kaart door een gestructureerde inventarisatie te maken van alle systemen die AI-functionaliteit bevatten, inclusief ingekochte software en ingebedde AI in bestaande platforms. Vervolgens classificeer je elk systeem op basis van het risiconiveau dat de AI Act definieert: onaanvaardbaar, hoog, beperkt of minimaal risico.
Een werkbare aanpak verloopt in drie stappen:
- Inventariseer: Breng in kaart welke systemen AI gebruiken, ook systemen van leveranciers. Denk aan HR-tools met geautomatiseerde selectie, klantenservice-chatbots, fraudedetectie of planningssoftware met voorspellende algoritmen.
- Classificeer: Bepaal per systeem het risiconiveau op basis van het toepassingsgebied. Systemen die beslissingen nemen over mensen in kwetsbare contexten, zoals werving, kredietverlening of veiligheidskritische processen, vallen doorgaans in de hoog-risico-categorie.
- Documenteer: Leg per systeem vast: het doel, de leverancier of ontwikkelaar, het risiconiveau, de databronnen, de betrokken rollen en de geldende verplichtingen. Dit vormt de basis voor je AI-register, dat je nodig hebt voor zowel interne governance als externe verantwoording.
Een aandachtspunt dat in de praktijk vaak wordt onderschat: AI-agents die namens een gebruiker handelen, kunnen onbedoeld over toegangsgrenzen heen kijken. Een sales-agent die toegang krijgt tot HR-data is geen technische bug maar een governance-gat. Dit soort risico’s zijn alleen zichtbaar als je systemen grondig in kaart brengt, inclusief de data die ze kunnen bereiken.
Wat is het verschil tussen AI governance en AI compliance?
AI compliance is het aantonen dat je voldoet aan externe regels en wetgeving, zoals de AI Act en de AVG. AI governance is het interne systeem van beleid, rollen, processen en controlemechanismen waarmee je die naleving organiseert en borgt. Compliance is het resultaat; governance is de manier waarop je dat resultaat bereikt en behoudt.
Het onderscheid is in de praktijk belangrijk omdat compliance zonder governance fragiel is. Je kunt op een bepaald moment voldoen aan de wet, maar zonder structurele governance zakt dat weg zodra systemen veranderen, mensen vertrekken of nieuwe AI-toepassingen worden ingevoerd.
Wat valt onder AI governance?
AI governance omvat de besluitvormingsstructuur rondom AI: wie mag welke systemen goedkeuren, welke risicobeoordelingen zijn verplicht, hoe worden incidenten gemeld, en welke principes gelden voor verantwoord gebruik. Het gaat ook over toegangsbeheer, logging en het vastleggen van welke beslissingen een AI-systeem zelfstandig mag nemen versus welke altijd via een mens moeten lopen. Een gestructureerde aanpak hiervoor biedt het AI Foundationsmodel voor governance.
Wat valt onder AI compliance?
AI compliance richt zich op de aantoonbaarheid richting toezichthouders, auditors en klanten. Denk aan het bijhouden van een AI-register, het uitvoeren van conformiteitsbeoordelingen, het documenteren van technische maatregelen en het aantonen dat medewerkers voldoende AI-geletterd zijn. Compliance vraagt om bewijs; governance zorgt dat dat bewijs er is.
Wie is verantwoordelijk voor AI-naleving binnen een organisatie?
AI-naleving is geen taak van één persoon of afdeling, maar vraagt om een gedeelde verantwoordelijkheid verdeeld over meerdere rollen. De eindverantwoordelijkheid ligt bij de directie of een aangewezen AI-verantwoordelijke, maar de uitvoering raakt IT, juridische zaken, HR en de business tegelijk.
In de praktijk zijn de volgende rollen het meest betrokken bij AI-naleving:
- Compliance Officer: Vertaalt de AI Act en sectorspecifieke regels naar concrete interne controlevereisten.
- Privacy Officer of DPO: Bewaakt de AVG-verplichtingen die samenlopen met de AI Act, met name bij systemen die persoonsgegevens verwerken.
- IAM Specialist: Beheert toegangsrechten op basis van rollen en het minimale-rechtenprincipe, en zorgt voor consistente auditlogging.
- Data Governance Lead: Borgt dat AI-systemen werken met betrouwbare, eenduidige en traceerbare data.
- IT-manager of CISO: Draagt verantwoordelijkheid voor de technische implementatie van beveiligings- en loggingvereisten.
Voor veel MKB- en midcap-organisaties is de uitdaging niet het ontbreken van goede wil, maar het ontbreken van mensen met de juiste combinatie van juridische, technische en organisatorische kennis. De AI Act vraagt om een samenspel van disciplines dat in de meeste organisaties niet vanzelf aanwezig is.
Welke stappen zet je om AI-naleving structureel te borgen?
Je borgt AI-naleving structureel door governance in te bedden in je processen, niet te behandelen als een eenmalig project. Dat betekent: een AI-register bijhouden, rollen en verantwoordelijkheden formaliseren, logging inrichten voordat systemen live gaan, en periodiek toetsen of bestaande systemen nog voldoen aan actuele eisen.
Een concrete aanpak bestaat uit de volgende stappen:
- Stel een AI-register in: Documenteer alle AI-systemen met hun risiconiveau, databronnen, verantwoordelijken en van toepassing zijnde regelgeving. Dit register is het vertrekpunt voor alle verdere compliance-activiteiten.
- Definieer governance-kaders per systeem: Leg vast welke beslissingen een systeem zelfstandig mag nemen, welke bronnen het mag gebruiken en welke acties altijd menselijke goedkeuring vereisen. Doe dit voordat een systeem productie raakt, niet erna.
- Richt logging en herleidbaarheid in: Zorg dat je per AI-systeem kunt aantonen welke agent welke actie heeft uitgevoerd, op basis van welke data, voor welke gebruiker. Dit is niet alleen een intern controlemiddel maar per 2 augustus 2026 een wettelijke verplichting voor hoog-risico-AI.
- Investeer in AI-geletterdheid: Medewerkers die met AI-systemen werken, moeten begrijpen wat het systeem doet, wat de grenzen zijn en wanneer ze moeten ingrijpen. Dit is een wettelijke verplichting onder Artikel 4 en een praktische noodzaak voor verantwoord gebruik.
- Plan periodieke toetsing: Wetgeving verandert, systemen worden bijgewerkt en risicoklassificaties kunnen verschuiven. Bouw een vaste reviewcyclus in om te toetsen of je governance en documentatie nog actueel zijn.
De waardehypothese achter structurele AI-naleving is helder: het probleem is niet de boete bij non-compliance, maar het verlies van controle over systemen die namens je organisatie beslissingen nemen. Succes ziet eruit als een organisatie die op elk moment kan aantonen wat haar AI-systemen doen, waarom, en wie daarvoor verantwoordelijk is.
Hoe wij helpen met AI-naleving en governance
Veel organisaties weten wat de AI Act van hen vraagt, maar worstelen met de vraag hoe ze dat vertalen naar concrete stappen zonder de regie kwijt te raken. Wij verbinden je aan specialty partners die precies die combinatie van kennis meebrengen die AI-naleving vraagt: juridisch, technisch en organisatorisch.
Afhankelijk van waar je organisatie staat, kunnen we je ondersteunen met:
- Een AI-inventarisatie en risicoklassificatie op basis van de AI Act
- Het inrichten van logging, toegangsbeheer en audit trails die voldoen aan Artikel 12
- Het opstellen van governance-kaders en een AI-register
- AI-geletterdheidsinterventies voor medewerkers en management
- Begeleiding bij het vertalen van de AI Act naar sectorspecifieke controls
Voor de beveiligings- en compliance-kant van AI werken we nauw samen met SecurityConnected, ons netwerk van professionals die organisaties helpen cyberrisico’s te beheersen, data te beschermen en systemen weerbaar te maken. Neem contact op en ontdek welke stap het meeste oplevert voor jouw organisatie.