De route door compliance

Tien checks, van boven naar beneden

Elke check bepaalt of u door kunt naar de volgende. Een "nee" of "onbekend" is een stop of een open vraag. Stel bij elke stap dezelfde drie vragen: wat staat er (feit), wat volgt daaruit (analyse) en wat weet ik niet (open vraag).

1. 0

   Ontleed de casus

   Scheid feiten, claims, geluiden van belanghebbenden en open vragen. Zonder dit bouwt u op aannames.

2. 1

   Is het een AI-systeem?

   Art. 3 lid 1: leidt het systeem uit input af hoe het output genereert? Beoordeel het samengestelde systeem als geheel, niet de onderdelen los. Onbekend: zit er een extern basismodel onder?

3. 2

   Mag het?

   Art. 5, verboden praktijken. Leg vast waarom het niet verboden is, en let op kwetsbare doelgroepen en het ontwerp van chatbots.

4. 3
   Kantelpunt

   Welke risicoklasse?

   Art. 6 en bijlage III. Een systeem dat beoordeelt of mensen in aanmerking komen voor een essentiële dienst valt mogelijk onder hoog risico. De uitzondering voor voorbereidende taken geldt niet bij profilering. Een "ter controle" naar een medewerker sturen verandert de klasse niet.

5. 4

   Wie is wie?

   Gebruiksverantwoordelijke, aanbieder of beide (art. 3 en art. 25). De rol hangt af van wie het systeem onder welke naam in gebruik stelt, niet van wie het bouwde. Leg de rolverdeling vast in het contract.

6. 5

   Wat moet er dan?

   Per eis: wat is de stand en wat ontbreekt? Risicobeheer, data, documentatie, logging, transparantie, kwaliteitsbeheer, de beoordeling van gevolgen voor grondrechten (art. 27, te verifiëren voor uw situatie) en incidentmelding.

7. 6
   Zwaartepunt

   Is het menselijk toezicht echt?

   Art. 14 en 26. Begrijpt de medewerker de grenzen, ziet die waarom het voorstel zo luidt, en heeft die tijd en mandaat om af te wijken? Zo niet, dan is het afstempelen, met het risico op automatiseringsbias en op een in de praktijk geautomatiseerd besluit (AVG art. 22).

8. 7

   Wat geldt er naast de AI Act?

   AVG en DPIA, cybersecurity, en het sectorrecht. Een bekende kwetsbaarheid bij gevoelige gegevens blokkeert de ingebruikname. Deze regels gelden al nu.

9. 8

   Ethiek en bias

   Toets aan de zeven vereisten uit de ethische richtsnoeren. Kijk of uitkomsten tussen groepen, bijvoorbeeld wijken, verschillen en waarom.

10. 9

    Toets de claims

    "Het systeem is nauwkeurig" zegt niets zonder verwarringsmatrix, recall en precisie. Wie wordt gemist en wie wordt ten onrechte aangemerkt? Wie bepaalt wat de waarheid is, en was de pilot representatief?

11. 10

    Besluit en advies

    Adviseer gefaseerd: eerst de blokkerende punten oplossen, dan beperkt starten, dan monitoren. Benoem wie wat doet en vóór welke datum.

De kalender: wat geldt wanneer

De data komen uit de AI Act en uit de Digital Omnibus (Verordening 2026/1744). Ze zijn in beweging. Wij controleren de actuele stand bij elk rapport.

1. 1 augustus 2024

   De AI Act treedt in werking

2. 2 februari 2025

   Verboden praktijken en AI-geletterdheid

   Art. 5 en art. 4. Medewerkers die met AI werken, hebben voldoende kennis nodig (te verifiëren na de Omnibus).

3. 2 augustus 2025

   Regels voor algemeen-doel-modellen

   Aanbieders van basismodellen krijgen eigen verplichtingen. Vraag uw leverancier welk model eronder zit.

4. 2 december 2027 (volgens de Omnibus, te verifiëren)

   Eisen voor hoog-risicosystemen van bijlage III

   Risicobeheer, data, documentatie, logging, toezicht, nauwkeurigheid en cyberveiligheid. Voor overheidsinstanties met een eerder in gebruik gesteld systeem geldt een latere uiterste datum (art. 111, te verifiëren).

5. Nu al

   AVG, sectorrecht en grondrechten

   Deze regels wachten niet op de AI Act. Een systeem dat nu start, moet er vandaag aan voldoen.

De volgorde die werkt: classificeren, rollen vastleggen, gevolgen voor grondrechten en privacy beoordelen, beveiliging toetsen, toezicht inrichten, gefaseerd starten en monitoren.