Je classificeert AI-toepassingen naar risiconiveau door ze te toetsen aan de vier risicocategorieën uit de EU AI Act: onaanvaardbaar risico, hoog risico, beperkt risico en minimaal risico. De categorie hangt af van het toepassingsgebied, de mate van autonomie, de impact op mensen en de context waarin het systeem wordt ingezet. Dit artikel beantwoordt de meest gestelde vragen over dit classificatieproces, zodat je als organisatie goed voorbereid bent.
Welke risicocategorieën onderscheidt de EU AI Act?
De EU AI Act onderscheidt vier risicocategorieën voor AI-systemen: onaanvaardbaar risico, hoog risico, beperkt risico en minimaal risico. Deze indeling bepaalt welke verplichtingen voor jouw organisatie gelden. Hoe hoger het risico, hoe zwaarder de eisen rondom transparantie, documentatie en menselijk toezicht.
- Onaanvaardbaar risico: AI-toepassingen die fundamentele rechten schenden, zijn verboden. Denk aan sociale scoringsystemen door overheden, realtime biometrische surveillance in openbare ruimten en manipulatieve AI die gebruikers onbewust beïnvloedt.
- Hoog risico: Toepassingen met aanzienlijke impact op veiligheid of grondrechten. Dit omvat onder andere AI in kritieke infrastructuur, medische hulpmiddelen, kredietbeoordeling, werving en selectie, en wetshandhaving.
- Beperkt risico: Systemen waarbij transparantievereisten gelden. Chatbots en deepfake-technologie vallen hier doorgaans onder. Gebruikers moeten weten dat ze met een AI-systeem communiceren.
- Minimaal risico: De grootste categorie. Spamfilters, aanbevelingsalgoritmen voor content en AI-ondersteunde productiviteitstools vallen hier veelal onder. Verplichtingen zijn hier beperkt, maar governance blijft verstandig.
De indeling is niet altijd zwart-wit. Dezelfde technologie kan in de ene context minimaal risico vormen en in een andere context als hoog risico worden geclassificeerd. Context en toepassing zijn daarmee net zo bepalend als de technologie zelf.
Hoe bepaal je in welke categorie een specifieke AI-toepassing valt?
Je bepaalt de risicocategorie van een AI-toepassing door drie factoren te beoordelen: het toepassingsgebied (staat het op de lijst van hoog-risico toepassingen in Bijlage III van de EU AI Act?), de impact op betrokkenen (welke gevolgen heeft een fout voor mensen?) en de mate van autonomie (neemt het systeem zelfstandig beslissingen met directe gevolgen?).
Een praktische aanpak is om per toepassing een reeks vragen te doorlopen. Wordt het systeem ingezet voor beslissingen over mensen, zoals selectie, beoordeling of toegang tot diensten? Heeft het systeem invloed op veiligheid, gezondheid of fundamentele rechten? Is er menselijk toezicht ingebouwd, of handelt het systeem grotendeels autonoom? Hoe hoger de score op deze vragen, hoe groter de kans dat de toepassing in de hoog-risico categorie valt.
Bijlage III van de EU AI Act geeft een concrete lijst van hoog-risico toepassingen. Controleer bij elke nieuwe AI-toepassing eerst of deze lijst van toepassing is, voordat je verder gaat met een bredere risicoanalyse. Raadpleeg voor de juridische interpretatie van deze lijst altijd je eigen juridisch adviseur.
Wat zijn de verplichtingen per risiconiveau voor organisaties?
De verplichtingen per risiconiveau lopen sterk uiteen. Voor hoog-risico AI-systemen gelden de zwaarste eisen: een conformiteitsbeoordeling, technische documentatie, logging van beslissingen, menselijk toezicht, en registratie in de EU-database voor hoog-risico systemen. Voor beperkt-risico systemen gelden vooral transparantievereisten. Voor minimaal-risico systemen zijn geen wettelijke verplichtingen vastgelegd, al is intern beleid verstandig.
Verplichtingen voor hoog-risico toepassingen
Als je een hoog-risico AI-systeem inzet of ontwikkelt, moet je kunnen aantonen dat het systeem voldoet aan eisen rondom datakwaliteit, technische documentatie, robuustheid en nauwkeurigheid. Je moet ook een systeem voor menselijk toezicht inrichten en de werking van het systeem continu monitoren. Logbestanden moeten gedurende een bepaalde periode bewaard worden.
Verplichtingen voor beperkt- en minimaal-risico toepassingen
Voor beperkt-risico systemen, zoals chatbots, geldt dat gebruikers altijd geïnformeerd moeten worden dat ze met een AI-systeem communiceren. Voor minimaal-risico systemen legt de EU AI Act geen harde verplichtingen op, maar het is verstandig om ook hier een intern beleid te voeren. Denk aan gedragsregels voor gebruik, een overzicht van welke systemen actief zijn en periodieke evaluaties van de werking.
Welke AI-toepassingen vallen het vaakst in de hoog-risico categorie?
AI-toepassingen vallen het vaakst in de hoog-risico categorie wanneer ze worden ingezet voor beslissingen over mensen in gevoelige domeinen. De meest voorkomende voorbeelden zijn systemen voor werving en selectie, kredietbeoordeling, prestatiebeoordeling van medewerkers, toegang tot sociale voorzieningen en AI in medische of veiligheidskritische omgevingen.
Voor middelgrote en grote organisaties zijn dit de toepassingen die in de praktijk het meest voorkomen:
- Geautomatiseerde screening van sollicitanten of het rangschikken van cv’s
- Systemen die kredietwaardigheid of betalingsrisico beoordelen
- AI die medewerkers monitort op productiviteit of gedrag
- Voorspellende modellen in HR voor verloop of ziekteverzuim
- AI-ondersteunde beslissingen in kritieke bedrijfsprocessen, zoals logistiek of productveiligheid
Het is een veelgemaakte vergissing om te denken dat alleen technologiebedrijven met hoog-risico AI te maken hebben. Elke organisatie die AI inzet voor beslissingen met directe gevolgen voor mensen loopt dit risico, ongeacht de sector.
Hoe zet je een intern classificatieproces op voor AI-toepassingen?
Je zet een intern classificatieproces op door een vaste beoordelingsstructuur te koppelen aan het moment waarop een nieuwe AI-toepassing wordt overwogen of aangeschaft. Het proces omvat een inventarisatie van alle AI-systemen, een gestandaardiseerde risicovragenlijst, een classificatiebeslissing met bijbehorende maatregelen, en een register van actieve AI-toepassingen.
Een werkbaar classificatieproces bevat minimaal de volgende stappen:
- Maak een volledig overzicht van alle AI-systemen die je organisatie gebruikt of overweegt, inclusief tools van leveranciers die AI-functionaliteit bevatten.
- Stel voor elke toepassing vast: wat doet het systeem, wie worden erdoor geraakt en welke beslissingen ondersteunt of neemt het?
- Toets de toepassing aan de categorieën uit de EU AI Act, met bijzondere aandacht voor Bijlage III.
- Ken een risicocategorie toe en documenteer de onderbouwing van die keuze.
- Koppel aan elke categorie een set maatregelen: wie is verantwoordelijk, welke documentatie is vereist en hoe is menselijk toezicht geregeld?
- Sla alles op in een centraal AI-register en plan periodieke herbeoordelingen in.
Dit proces werkt het beste als het eigenaarschap duidelijk belegd is. Wijs een verantwoordelijke aan, zoals een AI-coördinator of risicomanager, die het overzicht behoudt en het classificatieproces actueel houdt.
Wanneer is een externe AI-risicobeoordeling verplicht of verstandig?
Een externe AI-risicobeoordeling is verplicht wanneer een hoog-risico AI-systeem een conformiteitsbeoordeling vereist die niet intern kan worden uitgevoerd, of wanneer de EU AI Act een onafhankelijke audit voorschrijft voor specifieke toepassingsgebieden. Buiten de wettelijke verplichting is een externe beoordeling verstandig zodra de complexiteit of impact van een toepassing de interne expertise overstijgt.
In de praktijk zijn er drie situaties waarin je een externe beoordeling serieus moet overwegen, ook als dit niet wettelijk verplicht is:
- Je organisatie zet voor het eerst een hoog-risico AI-systeem in en heeft nog geen gevestigde governance-structuur voor AI.
- Een AI-toepassing raakt aan meerdere risicogebieden tegelijk, zoals AVG, EU AI Act en sectorspecifieke regelgeving.
- De interne capaciteit om de werking, beperkingen en risico’s van een systeem te beoordelen ontbreekt, waardoor de classificatie niet voldoende onderbouwd kan worden.
Een externe beoordeling biedt ook waarde als je leveranciers of partners wilt toetsen op hun AI-gebruik. Vraag bij twijfel altijd je juridisch adviseur om te bepalen of een formele conformiteitsbeoordeling door een aangemelde instantie vereist is voor jouw specifieke situatie.
Hoe wij helpen met governance AI
Governance AI is een onderwerp waarbij de praktische uitvoering net zo zwaar telt als de kennis van de regelgeving. Veel organisaties weten wat er van hen verwacht wordt, maar lopen vast op de vraag hoe ze het classificatieproces concreet inrichten, wie daarvoor verantwoordelijk is en hoe ze het actueel houden.
Wij brengen je in contact met specialty partners die dit vraagstuk van twee kanten kennen: de compliance-kant en de operationele kant. Dat zijn professionals die:
- je helpen een inventarisatie te maken van alle AI-toepassingen binnen je organisatie
- een classificatieproces opzetten dat aansluit bij je bestaande governance-structuur
- een AI-register inrichten dat voldoet aan de documentatievereisten van de EU AI Act
- je team begeleiden bij het opbouwen van de interne kennis en verantwoordelijkheid die dit vraagt via het AI Foundationsmodel voor organisaties
We starten altijd bij jouw vraagstuk: welk probleem wil je oplossen, voor wie binnen de organisatie, en hoe ziet een werkbaar resultaat eruit? Vanuit die vraag selecteren we de partner die het beste aansluit op jouw situatie en schaal. Wil je weten welke aanpak bij jouw organisatie past? Ontdek welke oplossing bij jou past en we plannen een kennismaking in.