Hoe navigeer je de AI-verordening: Terug naar de Basis

19-08-2025 Werkt jouw organisatie met AI-systemen of vergelijkbare technologieën? Dan heb je waarschijnlijk te maken met diverse nalevingsverplichtingen onder de AI-verordening (AI Act). Deze verplichtingen verschillen afhankelijk van de rol en het risiconiveau waarin jouw AI-systeem valt.

Deze blog richt zich voornamelijk op de eerste stap richting AI-naleving: het definiëren van jouw systeem. AI wordt vaak gebruikt als verzamelnaam voor verschillende niveaus van automatisering, maar niet elke vorm van automatisering valt onder de AI-definitie van de AI-verordening. Na het definiëren van het systeem, introduceert deze blog de volgende stappen: risico-classificatie, rolbepaling en nalevingsverplichtingen.

Stap 1: Het definiëren van jouw systeem

Artikel 3(1) van de AI-verordening bevat zeven elementen die op enig moment in de levenscyclus van een AI-systeem aanwezig moeten zijn om als AI-systeem in de verordening te worden beschouwd. Het gaat daarbij om de volgende elementen:

• Een machine gebaseerd systeem: verwijst naar de hardware en software van het AI-systeem (bijv. opslagapparaten, geheugen, besturingssysteem, computercode, enz.).
• Dat is ontworpen met verschillende niveaus van autonomie: houdt in dat het systeem onafhankelijk kan handelen zonder menselijke tussenkomst (bijv. zelfrijdende auto's, verkeersregelsystemen, robots).
• En dat na het inzetten ervan aanpassingsvermogen kan vertonen: verwijst naar zelflerende mogelijkheden (bijv. slimme apparaten of chatbots die gebruik maken van gebruikersfeedback).
• En dat handelt met expliciete of impliciete doelstellingen: waarbij 'impliciet' betekent dat doelen niet expliciet zijn vastgelegd, en 'expliciet' verwijst naar rechtstreeks geprogrammeerde doelen (bijv. sociale media-aanbevelingen (impliciet) of taalvertalingen (expliciet)).
• Dat afleidt op basis van de input die het ontvangt: gebruikt verschillende inferentietechnieken zoals machine learning (spamfilters, vooraf getrainde taalmodellen, beeldherkenning) of logica- en kennisgebaseerde technieken (sorteren, matchen, zoeken).
• Om uitkomsten te genereren zoals voorspellingen, inhoudsaanbevelingen of beslissingen: bijvoorbeeld het inschatten van onbekende waarden, het creëren van nieuwe inhoud, suggesties of volledig geautomatiseerde conclusies.
• Die fysieke of virtuele omgevingen kunnen beïnvloeden: het AI-systeem moet actief zijn en impact hebben op zijn omgeving, fysiek of digitaal (bijv. een robotarm of digitale interfaces).

Bij het bepalen of iets een AI-systeem is in de zin van de AI-verordening, kijkt men naar twee fasen: de pre-inzetfase (ontwikkeling) en de post-inzetfase (gebruik). Sommige onderdelen van de definitie hoeven alleen aanwezig te zijn tijdens de ontwikkelingsfase, terwijl andere pas tijdens het gebruik zichtbaar worden. Dit maakt een periodieke evaluatie van het AI-systeem als geheel noodzakelijk.

Stap 2: Risico-classificatie

De tweede stap richting naleving van de AI-verordening is te bepalen binnen welke risicoclassificatie jouw AI-systeem valt. De verordening kent een classificatie van verboden (bijv. kredietscoring), hoog risico (bijv. bepaalde sectoren of toepassingen), laag risico (bijv. sommige chatbots) of minimaal risico (bijv. bepaalde spamfilters). Om AI-systemen correct te classificeren, moeten organisaties hun systemen en het gebruik ervan goed begrijpen.

Stap 3: Roldeterminatie

De derde stap is het vaststellen van jouw rol ten opzichte van het AI-systeem, aangezien dit bepaalt welke verplichtingen van gelden. Je moet vaststellen of je optreedt als aanbieder, gebruiker, importeur, distributeur of fabrikant. Houd er rekening mee dat je rol in de loop van de tijd kan veranderen. Zo kan een bedrijf dat een AI-systeem inkoopt (gebruiker) de aanbieder worden als het systeem onder de eigen merknaam op de markt wordt gebracht. De AI-verordening staat toe dat importeurs, distributeurs en fabrikanten in bepaalde gevallen als aanbieder worden beschouwd.

Stap 4: Nalevingsverplichtingen

Nadat je hebt vastgesteld dat je systeem een AI-systeem is, tot welke risicoklasse het behoort en welke rol je vervult, volgt de vierde stap: de nalevingsverplichtingen. De AI-verordening is complex, omdat verschillende verplichtingen gelden voor verschillende risiconiveaus en verschillende rollen. De meeste verplichtingen gelden voor aanbieders van AI-systemen met een hoog risico. Deze zijn terug te vinden in sectie 2 van de verordening en lopen uiteen van eenvoudige documentatieverplichtingen tot uitgebreide kwaliteitsbeheersystemen en toezicht na ingebruikname.

Conclusie

Deze blog beschrijft vier essentiële stappen op weg naar naleving van de AI-verordening. Er zijn echter meer stappen binnen het compliance proces, zoals implementatie, monitoring en evaluatie.