AI Act-stappenplan: van inventarisatie tot naleving

Kort antwoord: AI Act-naleving is geen losse actie maar een traject in stappen: weten wélke AI je hebt, je rol en risicoklasse bepalen, de bijbehorende verplichtingen invullen en dat alles aantoonbaar bijhouden. Begin met een inventarisatie; daar hangt al het andere aan vast.

Stap 1 — Inventariseer je AI-systemen

Je kunt niets classificeren wat je niet ziet. Maak een register van alle AI-systemen die je ontwikkelt, inkoopt of inzet, inclusief functionaliteit, leverancier, gebruikte data en bedrijfsproces. Vergeet "verborgen" AI niet: functies in standaardsoftware, ingebouwde modellen en chatbots.

Stap 2 — Bepaal je rol

De AI Act legt verplichtingen op naar rol. Je bent aanbieder als je een systeem ontwikkelt of onder je eigen naam op de markt brengt, en gebruiksverantwoordelijke als je het binnen je organisatie inzet. Wie een bestaand systeem ingrijpend wijzigt of er zijn naam op zet, kan alsnog aanbieder worden. Rol bepaalt plicht.

Stap 3 — Classificeer het risico

Plaats elk systeem in de risicopiramide: verboden, hoog risico, beperkt risico (transparantie) of minimaal risico. De zwaarste verplichtingen gelden voor hoogrisicotoepassingen — zie het overzicht van hoogrisico-verplichtingen. De meeste systemen vallen lager uit, maar je moet de afweging kunnen onderbouwen.

Stap 4 — Vul de verplichtingen in

Per risicoklasse hoort een pakket maatregelen: risicobeheer, datakwaliteit, technische documentatie, logging, menselijk toezicht en transparantie naar gebruikers. Bij beperkt risico volstaat vaak een transparantievermelding ("u praat met AI"). Stem het zwaartepunt af op de werkelijke risicoklasse — niet zwaarder dan nodig.

Stap 5 — Borg governance en doorlopend toezicht

Naleving is geen eenmalig project. Leg rollen, besluitvorming en monitoring vast in een AI-governance-raamwerk. Houd rekening met de tijdlijn van verplichtingen: regels treden gefaseerd in werking, dus prioriteer op deadline én risico.

Wat te doen

• Stel een AI-register op en wijs een eigenaar aan.
• Bepaal per systeem je rol (aanbieder/gebruiksverantwoordelijke) en risicoklasse.
• Werk de verplichtingen per klasse uit; documenteer de afwegingen.
• Plan op deadline: zie de AI Act-readiness in 90 dagen voor een concrete startsprint.
• Voorkom valkuilen met de meestgemaakte AI Act-fouten.

Een stappenplan maakt een groot kader behapbaar: eerst zicht, dan rol en risico, dan maatregelen — en blijvend toezicht.