De AI Act voor de developer: provider-plichten en documentatie

Kort antwoord: Bouw, train of fine-tune je een AI-systeem, dan ben je onder de AI Act waarschijnlijk aanbieder — de rol met de meeste verplichtingen. Voor hoogrisico-AI betekent dit risicomanagement, datakwaliteit, technische documentatie, logging, transparantie en menselijk toezicht. Het goede nieuws: vrijwel alles is engineering die je vroeg in het ontwerp meeneemt in plaats van achteraf erbij plakt.

Wanneer ben je aanbieder?

Je bent aanbieder als je een AI-systeem ontwikkelt en onder eigen naam of merk in de markt zet. Let op: ook een ingrijpende aanpassing of fine-tuning van een bestaand model kan je tot aanbieder maken. Die rol bepaalt welke verplichtingen op jou rusten — zie ook de AI Act voor de inkoper voor het verschil met de gebruiksverantwoordelijke.

De kernverplichtingen voor hoogrisico-AI

• Risicomanagementsysteem. Een doorlopend proces dat risico's identificeert, evalueert en beperkt over de hele levenscyclus.
• Data en datagovernance. Trainings-, validatie- en testdata moeten relevant, representatief en zo foutloos mogelijk zijn, met aandacht voor bias.
• Technische documentatie. Vastleggen hoe het systeem is ontworpen, getraind en getest — voldoende voor toezichthouders om conformiteit te beoordelen.
• Logging. Automatische registratie van gebeurtenissen gedurende de werking, voor traceerbaarheid.
• Transparantie. Een gebruiksaanwijzing die de gebruiksverantwoordelijke in staat stelt het systeem correct in te zetten.
• Menselijk toezicht en robuustheid. By design ontworpen, niet als latere toevoeging — voor robuustheid en beveiliging werk samen met de CISO.

Het volledige plaatje staat in het overzicht hoogrisico-verplichtingen.

Documentatie is geen bijzaak

Veel teams onderschatten de technische documentatie. Onder de AI Act is het bewijsmateriaal: zonder sluitende documentatie kun je conformiteit niet aantonen en kan een systeem niet rechtmatig op de markt. Behandel documentatie als onderdeel van de definition of done, niet als sluitstuk.

Bouw compliance in je proces

Verweef AI Act-eisen in je ontwikkelproces: een risicocheck in de designfase, datakwaliteitscontroles in de pipeline, logging als standaardcomponent en documentatie die meegroeit met de code. Veranker dit in het bredere governance-raamwerk en stem met de DPO af waar persoonsgegevens in het spel zijn.

Wat te doen

• Bepaal je rol (aanbieder of niet) vroeg in het project.
• Richt een risicomanagementproces in dat de hele levenscyclus dekt.
• Borg datagovernance: herkomst, representativiteit en bias-controle.
• Maak technische documentatie onderdeel van de definition of done.
• Bouw logging en menselijk toezicht by design in.
• Investeer in AI-geletterdheid binnen het team.

Voor de developer is de AI Act vooral een kwaliteitskader. De systemen die eraan voldoen, zijn ook de systemen die je later kunt vertrouwen, uitleggen en onderhouden.