Je voorbereiden op een AI-toezichtaudit: welke documentatie je paraat hebt

Kort antwoord: Bij een toezichtaudit wordt niet zozeer je systeem getest als wel je dossier. De toezichthouder vraagt als eerste je technische documentatie, je risicobeheer, je logbestanden, je conformiteitsverklaring en je governance op. Wie die stukken paraat en actueel heeft, doorstaat de toets; wie ze achteraf moet reconstrueren, loopt vast. Bereid het dossier dus vóór de audit voor, niet erna.

Wat een toezichthouder als eerste opvraagt

Voor hoogrisico-systemen schrijft de AI Act precies voor welke documentatie beschikbaar moet zijn. In de praktijk vraagt een toezichthouder doorgaans naar:

• Technische documentatie (Bijlage IV): doel, ontwerp, dataspecificaties, getest gedrag en bekende beperkingen van het systeem.
• Risicobeheersysteem: hoe je risico's identificeert, beoordeelt en beperkt over de hele levenscyclus.
• Datagovernance: herkomst, kwaliteit en representativiteit van trainings- en testdata.
• Logbestanden: automatische registratie van gebeurtenissen om herleidbaarheid te waarborgen.
• EU-conformiteitsverklaring en CE-markering waar van toepassing.
• Menselijk toezicht en gebruiksinstructies voor de inzetter.

Documentatie is een doorlopend proces

De fout die organisaties maken, is documentatie als eenmalig project zien. De AI Act vereist dat documentatie actueel blijft: bij elke wezenlijke wijziging van het systeem moet het dossier mee. Een audit kan jaren na ingebruikname plaatsvinden, dus versiebeheer en een aantoonbare bijwerkroutine zijn cruciaal. Een dossier dat niet matcht met het systeem in productie is een rode vlag.

Verdeel de rollen aanbieder versus inzetter

Niet alle documentatie ligt bij dezelfde partij. De aanbieder maakt de technische documentatie en conformiteitsverklaring; de inzetter moet kunnen aantonen dat hij het systeem volgens de gebruiksinstructies inzet, menselijk toezicht regelt en zo nodig logs bewaart. Bij een audit wordt dit onderscheid scherp; leg in contracten vast wie welk stuk levert. Verankering hiervan hoort thuis in je governance-raamwerk.

Oefen de audit zelf

De beste voorbereiding is een interne proefaudit: laat iemand die het systeem niet bouwde, het dossier opvragen alsof hij de toezichthouder is. Ontbrekende stukken, verouderde versies en onnavolgbare keuzes komen dan aan het licht voordat het echt telt. Wat het handhavingsproces precies inhoudt, lees je apart.

Wat te doen

• Stel een dossierindex op met alle verplichte stukken en de eigenaar per stuk.
• Borg versiebeheer: documentatie volgt elke systeemwijziging.
• Controleer je logging: registreer je voldoende om besluiten te herleiden?
• Leg rollen vast met leveranciers: wie levert welk document?
• Doe een proefaudit voordat de toezichthouder belt — zie ook nationale toezichthouders.