De AI Act voor gebruikers van AI: inventariseren, classificeren, aantoonbaar toezicht

Waarom dit moet, ook als je AI alleen gebruikt

De AI-verordening (Verordening (EU) 2024/1689, "AI Act") is de eerste brede AI-wet ter wereld en werkt in fasen: sinds februari 2025 gelden de verboden praktijken én de plicht tot AI-geletterdheid van medewerkers; vanaf augustus 2026 gaan de meeste overige verplichtingen lopen. Belangrijk misverstand: de wet raakt niet alleen AI-bóuwers. Ook wie AI gebruikt, als "gebruiksverantwoordelijke" (deployer), heeft eigen plichten, vooral bij hoog-risicosystemen.

De wet denkt in risicoklassen, en dat wordt jouw kapstok:

• Onaanvaardbaar: verboden (bv. social scoring, emotieherkenning op de werkvloer);
• Hoog risico (bijlage III): o.a. AI in werving en selectie, onderwijs, kredietbeoordeling en essentiële diensten. Strenge eisen, ook voor gebruikers;
• Beperkt risico: transparantieplicht (bv. chatbots: de gebruiker moet weten dat hij met AI praat);
• Minimaal risico: geen specifieke plichten (spamfilters, tekstsuggesties).

Let op de valkuil: het onschuldig klinkende "CV-voorselectietool" van je HR-afdeling is bijlage III-hoog-risico. Daarom begint alles bij een eerlijke inventarisatie.

Stap 1: Inventariseer élk AI-systeem dat je gebruikt

Waar: AI EU Act in het menu: het AI-systemenregister. Maak per systeem een registratie aan.

Elk AI-systeem staat geregistreerd met risicoklasse en status, van hoog-risico-recruitmenttool tot minimaal-risico-spamfilter.

Wat je invoert: naam, wat het systeem doet, de leverancier en of het in gebruik is. Vergeet de "onzichtbare" AI niet: functies ín software die je al gebruikt (CV-ranking in je ATS, fraudedetectie in je betaalprovider, AI-samenvattingen in je officepakket). Vraag je leveranciers expliciet welke AI-functies aan staan.

Zo weet je dat het goed staat: elke afdeling heeft meegekeken ("welke tools gebruiken jullie?"), ook ingebedde AI-functies staan erin, en er is geen tool in gebruik die niet in het register staat. Een register met drie eerlijke registraties is meer waard dan een leeg register naast tien schaduw-tools.

Stap 2: Classificeer het risico per systeem

Waarom: de risicoklasse bepaalt ál je verdere plichten. De klasse volgt uit de wet, niet uit je gevoel: check bijlage III voor hoog risico en artikel 5 voor de verboden praktijken.

Wat je invoert: de risicoklasse per systeem (onaanvaardbaar / hoog / beperkt / minimaal), met in de beschrijving de reden. Vuistregels: beslist of rangschikt het systeem over mensen (aannemen, beoordelen, krediet)? Vrijwel zeker hoog. Praat het met mensen (chatbot, gegenereerde content)? Minstens beperkt: transparantieplicht. Werkt het op de achtergrond zonder gevolgen voor personen? Meestal minimaal.

Zo weet je dat het goed staat: elk systeem heeft een klasse met één zin onderbouwing, er staat níets in de klasse "onaanvaardbaar" (zo wel: direct stoppen), en de hoog-risicosystemen zijn bekend bij bestuur en betrokken afdelingen.

Stap 3: Regel de plichten per klasse

Waarom: als gebruiksverantwoordelijke van een hoog-risicosysteem eist artikel 26: gebruik volgens de instructies van de leverancier, menselijk toezicht door bekwame mensen, relevante logging bewaren, en monitoring van de werking. Draait het systeem op persoonsgegevens, dan is vrijwel altijd ook een DPIA nodig; de AI Act en de AVG grijpen hier in elkaar.

Waar: per systeem in het register leg je het toezicht vast: wie beoordeelt de uitkomsten, wat is de werkinstructie ("geen afwijzing zonder menselijke blik"), en welke controles draaien er. Voor de DPIA start je vanuit Risico's & DPIA en koppel je het AI-systeem. Voor beperkt-risicosystemen volstaat transparantie: zet in de chatbot-interface dat het AI is.

Zo weet je dat het goed staat: elk hoog-risicosysteem heeft een benoemde toezichthouder mét werkinstructie, een gekoppelde actuele DPIA, en de mensen die met het systeem werken zijn aantoonbaar getraind (AI-geletterdheid, artikel 4; die plicht geldt nú al).

Stap 4: Houd het register levend

Waarom: AI-functies komen tegenwoordig binnen via software-updates. Een register van vorig jaar zegt niets over vandaag. En de conformiteit van je leveranciers (CE-markering, EU-conformiteitsverklaring voor hoog-risicosystemen vanaf augustus 2026) wil je bijhouden vanaf het moment dat die documenten bestaan.

Waar: herhaal de inventarisatie (stap 1) elk half jaar, registreer nieuwe systemen vóór ingebruikname, en leg leveranciersdocumentatie vast bij het systeem. Zet de halfjaarlijkse check als terugkerende actie in Acties; dan bewaakt Proofy de deadline.

Zo weet je dat je er bent: nieuwe AI komt alleen nog via het register in gebruik, de halfjaarlijkse check staat als actie ingepland, en bij elk hoog-risicosysteem groeit het dossier (toezicht, DPIA, leveranciersdocumentatie) mee met de wet.

Verder

• AI-systemen die persoonsgegevens verwerken raken direct je AVG-dossier; DPIA, verwerkingsregister en leveranciersafspraken komen daar samen.
• Je AI-leveranciers horen ook in je ketenbeeld; leveranciersrisico en AI-risico zijn twee kanten van dezelfde afhankelijkheid.
• Eerst breed kijken waar je staat? Start de gratis compliance-scan.

Deze gids is algemene uitleg en geen juridisch advies. AI Act = Verordening (EU) 2024/1689; genoemde data betreffen de gefaseerde inwerkingtreding en kunnen per onderdeel verschillen.