EU AI Act: wat aanbieders van hoogrisico-AI vóór 2027 moeten regelen

De belangrijkste boodschap voor aanbieders is dat de zware EU-verplichtingen voor hoogrisico-AI-systemen nog niet voor alle systemen gelden. Voor zelfstandige systemen in Annex III van de AI Act is de toepassingsdatum verschoven naar 2 december 2027. Hoogrisico-AI die onderdeel is van bepaalde al gereguleerde producten, krijgt tot 2 augustus 2028. 18

Voor organisaties die zulke systemen op de EU-markt willen brengen, is uitstel vooral voorbereidingstijd. Zij moeten vóór marktintroductie kunnen aantonen dat hun product veilig, controleerbaar en verantwoord beheerd kan worden.

Wanneer is AI ‘hoog risico’?

De AI Act onderscheidt grofweg twee groepen hoogrisico-systemen:

• AI die fungeert als veiligheidscomponent van een product dat onder specifieke Europese productwetgeving valt, wanneer voor dat product een conformiteitsbeoordeling door een onafhankelijke derde nodig is.
• AI-toepassingen in de domeinen van Annex III, met inachtneming van de voorwaarden en uitzonderingen in de verordening. 15

Die classificatie is cruciaal: de status ‘hoog risico’ leidt tot aanzienlijk strengere verplichtingen gedurende de hele levenscyclus dan bij reguliere AI-tools.

Welke verplichtingen moeten aanbieders voorbereiden?

De vereiste waarborgen moeten in het ontwikkel- en releaseproces zitten. Achteraf documenten verzamelen zodra een toezichthouder ernaar vraagt, is niet voldoende.

Risicobeheer en datagovernance

Aanbieders moeten risico’s systematisch beoordelen en beperken. Ook moeten de gebruikte datasets van voldoende kwaliteit zijn om onder meer het risico op discriminerende uitkomsten te verkleinen. Het kader voor hoogrisico-AI benadrukt relevante, representatieve en zorgvuldig beheerde data voor training, validatie en testen. 115

Documentatie en traceerbaarheid

Hoogrisico-systemen moeten loggegevens bijhouden die de traceerbaarheid ondersteunen. Daarnaast is gedetailleerde technische documentatie nodig over het systeem en het beoogde gebruik. Daarmee kunnen bevoegde autoriteiten beoordelen of aan de regels is voldaan. 1

Menselijk toezicht en technische weerbaarheid

De AI Act verlangt passend menselijk toezicht, plus een hoog niveau van nauwkeurigheid, robuustheid en cyberbeveiliging. De aanbieder moet de gebruiker van het systeem — in de verordening vaak de deployer genoemd — heldere en toereikende informatie geven over het bedoelde gebruik en de beperkingen ervan. 1

Conformiteitsbeoordeling, registratie en monitoring

Vóór een hoogrisico-systeem op de markt wordt gebracht, moet de toepasselijke conformiteitsbeoordeling zijn afgerond. Waar dat verplicht is, moet het systeem worden geregistreerd. Ook zijn monitoring na marktintroductie en melding van ernstige incidenten nodig. Naleving is dus geen eenmalige productgoedkeuring, maar een doorlopend bedrijfsproces. 115

Praktische checklist voor 2027 en 2028

Organisaties die zich voorbereiden op de komende deadlines, doen er goed aan deze vragen te kunnen beantwoorden:

1. Is het systeem daadwerkelijk hoog risico? Toets de toepassing aan de categorieën in Annex I en Annex III.
2. Wie is verantwoordelijk? Wijs eigenaarschap toe voor productveiligheid, juridische naleving, documentatie en incidentrespons.
3. Zijn risico’s aantoonbaar beheerst? Leg een herhaalbaar proces voor risicobeheer vast, inclusief testen en besluiten.
4. Zijn de datacontroles verdedigbaar? Documenteer relevantie, representativiteit, kwaliteitscontroles en bekende beperkingen van datasets.
5. Is het systeem auditbaar? Bewaar logs, technische dossiers en gebruiksinstructies die doel en beperkingen helder maken.
6. Werkt menselijk toezicht ook in de praktijk? Bepaal wanneer mensen kunnen ingrijpen, uitkomsten kunnen overrulen of het systeem kunnen stilzetten.
7. Staat monitoring na introductie klaar? Richt processen in voor prestatiebewaking, corrigerende maatregelen en incidentmeldingen.

Welke boetes zijn mogelijk?

De AI Act koppelt sancties aan vaste eurobedragen én aan de wereldwijde jaaromzet. Voor verboden AI-praktijken kan de maximale boete uitkomen op € 35 miljoen of 7% van de wereldwijde jaaromzet. Voor andere overtredingen kan maximaal € 15 miljoen of 3% van de wereldwijde jaaromzet worden opgelegd. 3

Door die mogelijke bedragen is een programma voor hoogrisico-AI breder dan een juridische toets. Productteams, beveiligingsspecialisten, datawetenschappers, inkoop, compliance en operationele teams moeten samen bewijs kunnen leveren dat de vereiste waarborgen daadwerkelijk werken.

Waarom nu beginnen ondanks het uitstel?

De nieuwe data verschaffen meer voorbereidingstijd, maar veranderen niets aan de omvang van de eisen. Wie pas laat in 2027 begint, kan nog documentatiesystemen moeten bouwen, ontwikkelprocessen aanpassen, logging invoeren, toezicht testen en procedures voor monitoring en incidentmeldingen opzetten.

De meest werkbare aanpak is de AI Act te behandelen als een norm voor productgovernance: breng hoogrisico-toepassingen vroeg in kaart, verzamel bewijs tijdens de bouw van het systeem en maak veiligheid, traceerbaarheid en menselijke controle vaste onderdelen van het releaseproces. 115