De documentatie van een AI-systeem moet minimaal het doel van het systeem, de gebruikte data en trainingsmethoden, de risicoklasse, de prestatiemaatstaven, de beveiligingsmaatregelen en de menselijke toezichtsstructuur beschrijven. Welke onderdelen verplicht zijn, hangt af van de risicoklasse die de EU AI Act aan jouw systeem toekent. Dit artikel beantwoordt de meest gestelde vragen over AI-documentatie, zodat je weet waar je aan toe bent.
Welke documentatie is wettelijk verplicht onder de EU AI Act?
Onder de EU AI Act zijn aanbieders van hoog-risico AI-systemen verplicht volledige technische documentatie op te stellen en bij te houden, een systeem voor kwaliteitsbeheer in te richten, en automatische logging te activeren gedurende de gehele levensduur van het systeem. Artikel 12 van Verordening 2024/1689 maakt deze logging een harde wettelijke verplichting, volledig van toepassing vanaf 2 augustus 2026.
Concreet betekent dit dat je voor hoog-risico systemen de volgende documentatie moet kunnen overleggen:
- Een beschrijving van het doel en de beoogde gebruikscontext van het systeem
- De architectuur, trainingsdata en gebruikte methoden
- De prestatie- en nauwkeurigheidsmaatstaven, inclusief de beperkingen
- De risicobeheersmaatregelen en hoe menselijk toezicht is geborgd
- Automatische logs van beslissingen, gebruikte databronnen en uitgevoerde acties
- Een conformiteitsverklaring (CE-markering voor hoog-risico systemen)
Voor AI-systemen met een lager risico zijn de verplichtingen beperkter, maar transparantie richting gebruikers blijft altijd vereist. Raadpleeg je eigen juridisch adviseur om te bepalen in welke risicoklasse jouw systeem valt en welke specifieke verplichtingen daaruit voortvloeien.
Wat moet er in de technische documentatie van een AI-systeem staan?
De technische documentatie van een AI-systeem beschrijft hoe het systeem is gebouwd, waarvoor het bedoeld is, hoe het presteert en hoe risico’s worden beheerst. Het gaat om een levend document dat alle keuzes vastlegt die nodig zijn om het systeem te begrijpen, te auditen en te verbeteren.
Een complete technische documentatie bevat in elk geval de volgende onderdelen:
Systeemdoel en gebruikscontext
Beschrijf voor welk probleem het systeem is gebouwd, wie de eindgebruikers zijn en in welke omgeving het systeem draait. Dit is ook de plek om de waardehypothese vast te leggen: welk probleem los je op, voor wie, hoe vaak doet het probleem zich voor en wat ziet succes eruit? Zonder dit anker verliest documentatie snel haar relevantie.
Data, architectuur en prestaties
Leg vast welke databronnen zijn gebruikt voor training en validatie, hoe de data is schoongemaakt en beheerd, en welke modelarchitectuur is gekozen. Voeg de prestatiemaatstaven toe die je hebt gemeten, inclusief de omstandigheden waaronder het systeem minder goed presteert. Een semantische laag of business glossary hoort hier ook bij: definieer eenduidig wat begrippen als “klant” of “omzet” betekenen, zodat het systeem en je rapportages dezelfde definities hanteren.
Vergeet de toegangsstructuur niet. Leg vast welke agent toegang heeft tot welke databronnen, welke beslissingen het systeem zelfstandig mag nemen en welke zaken altijd via een mens verlopen. Een sales-agent die onbedoeld toegang krijgt tot HR-data is geen technische bug, maar een governance-gat. Consistente logging van welke agent welke data heeft geraadpleegd maakt dit controleerbaar en aantoonbaar.
Hoe verschilt AI-documentatie van reguliere IT-projectdocumentatie?
AI-documentatie verschilt van reguliere IT-projectdocumentatie doordat een AI-systeem gedrag vertoont dat niet volledig voorspelbaar is uit de code alleen. Waar traditionele IT-documentatie beschrijft wat een systeem doet, moet AI-documentatie ook beschrijven waarom het systeem bepaalde uitkomsten produceert, welke data daarvoor verantwoordelijk is en hoe je dat kunt controleren.
Bij reguliere IT-projecten documenteer je functionele eisen, technische architectuur en testresultaten. Dat is ook bij AI nodig, maar er komen drie extra dimensies bij:
- Databeheer en datakwaliteit: de kwaliteit van de output hangt direct af van de kwaliteit van de invoer. Slechte data leidt altijd tot onbetrouwbare uitkomsten, ongeacht hoe goed het model verder is ingericht.
- Herleidbaarheid van beslissingen: bij AI moet je kunnen reconstrueren welke invoer tot welke uitkomst heeft geleid. Dit vraagt om gestructureerde logging die verder gaat dan een standaard applicatielog.
- Mens-in-de-loop structuur: documenteer expliciet waar menselijk oordeel vereist is en hoe escalatie werkt. Dit is een governance-eis, geen optionele toevoeging.
Veel organisaties ontdekken pas laat dat hun bestaande IT-documentatiestandaarden niet toereikend zijn voor AI. Begin daarom vroeg met het aanpassen van je templates en zorg dat compliance, privacy en security al tijdens het ontwerp aansluiten.
Wie is verantwoordelijk voor het bijhouden van AI-documentatie?
De verantwoordelijkheid voor AI-documentatie ligt niet bij één persoon, maar vraagt om een gedeeld eigenaarschap tussen meerdere rollen. De aanbieder van het AI-systeem is wettelijk eindverantwoordelijk, maar in de praktijk zijn meerdere disciplines nodig om de documentatie volledig en actueel te houden.
De rollen die je in elk geval moet beleggen:
- Data Governance Lead: bewaakt de kwaliteit, consistentie en beheer van de data die het systeem gebruikt
- Privacy Officer of DPO: borgt naleving van de AVG en bewaakt de juridische kaders rondom dataverwerking
- IAM Specialist: beheert toegangsrechten, rolgebaseerde identiteiten en auditlogging
- Compliance Officer: vertaalt de EU AI Act en sectorspecifieke regels naar concrete beheersmaatregelen
- AI Strategy Lead of Product Manager AI: houdt het doel van het systeem scherp en bewaakt de aansluiting op de waardehypothese
Zonder heldere rolverdeling raakt documentatie snel verouderd of onvolledig. Wijs daarom voor elk onderdeel van de documentatie een eigenaar aan die verantwoordelijk is voor de juistheid en de tijdigheid van updates.
Hoe houd je AI-documentatie actueel na de livegang?
AI-documentatie actueel houden na de livegang vraagt om een vast ritme van reviews, gekoppeld aan de momenten waarop het systeem of de omgeving verandert. Documentatie die bij de livegang klopt maar daarna niet wordt bijgehouden, verliest snel haar waarde en voldoet niet meer aan de wettelijke eisen.
Praktische maatregelen om documentatie levend te houden:
- Koppel documentatie-updates aan vaste mijlpalen: elke modelupdate, elke wijziging in databronnen en elke aanpassing van toegangsrechten triggert een documentatiereview
- Bouw logging in als standaard onderdeel van de architectuur, zodat beslissingen en acties automatisch worden vastgelegd zonder handmatige tussenkomst
- Plan periodieke audits in, minimaal jaarlijks, waarbij je controleert of de vastgelegde werking nog overeenkomt met de werkelijke werking
- Gebruik versiebeheer voor je documentatie, zodat je altijd kunt reconstrueren hoe het systeem op een bepaald moment was ingericht
- Zorg dat medewerkers die met het systeem werken voldoende AI-geletterd zijn. EU AI Act Artikel 4 verplicht aanbieders en gebruikers om dit actief te borgen voor alle AI-systemen, ongeacht risiconiveau
Documentatie is geen eenmalige exercitie bij de oplevering. Het is een doorlopend beheerproces dat hoort bij het eigenaarschap van een AI-systeem.
Hoe wij helpen met AI-governance en documentatie
Veel organisaties weten wat er op papier moet staan, maar worstelen met de vraag wie het bijhoudt, hoe het aansluit op bestaande IT-structuren en hoe ze de governance praktisch inrichten zonder dat het een papieren tijger wordt. Precies daar helpen wij bij.
Via ons netwerk van zorgvuldig geselecteerde specialty partners koppelen we je aan de juiste expertise voor jouw situatie:
- Data Governance Leads en IAM Specialisten die je logging- en toegangsstructuur inrichten
- Compliance Officers en Privacy Officers die de EU AI Act en AVG vertalen naar werkbare beheersmaatregelen
- AI Strategy Leads en Product Managers die de waardehypothese scherp houden en documentatie verbinden aan het doel van het systeem via het AI Foundationsmodel voor strategische AI-governance
- Security specialisten via SecurityConnected die de beveiligingsaspecten van je AI-documentatie meenemen
We werken transparant, zonder hoge marges van tussenpartijen, en richten ons op een match die past bij jouw organisatie en je bestaande structuren. Wil je weten hoe je AI-documentatie concreet inricht voor jouw situatie? Neem contact op met GroupConnected en we kijken samen wat je nodig hebt.
Bekijk onze oplossingen voor AI-governance en ontdek hoe we jouw organisatie kunnen ondersteunen bij het inrichten van AI-documentatie die voldoet aan de wettelijke eisen.