Hoogrisico-AI in kaart: classificatie en verplichtingen in één overzicht

Het hoogrisicoregime van hoofdstuk III is het zwaartepunt van de AI-verordening: veruit de meeste verplichtingen, de conformiteitsbeoordeling en de CE-markering hangen eraan. Tegelijk is het het deel waarvan de toepassingsdatum door het Digital Omnibus-akkoord van 7 mei 2026 (zie de tijdlijn) naar verwachting verschuift naar 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I). Wat er moet gebeuren verandert niet — alleen wanneer.

Twee routes naar de classificatie hoogrisico

Route 1 — bijlage I: het AI-systeem is een veiligheidscomponent van een product dat al onder Europese productwetgeving valt (machines, medische hulpmiddelen, speelgoed, liften), of is zelf zo'n product, en moet daarvoor een conformiteitsbeoordeling door een derde ondergaan.

Route 2 — bijlage III: het systeem valt in een van de acht opgesomde toepassingsgebieden, waaronder biometrie, kritieke infrastructuur, onderwijs, werving en personeelsbeslissingen, toegang tot essentiële diensten (waaronder kredietwaardigheid en verzekeringen), rechtshandhaving, migratie en rechtsbedeling.

De filterbepaling (artikel 6, lid 3): een bijlage III-systeem is tóch niet hoogrisico als het geen significant risico voor gezondheid, veiligheid of grondrechten vormt — bijvoorbeeld omdat het een enge procedurele taak uitvoert of menselijke beoordeling alleen voorbereidt. Wie zich op het filter beroept moet die beoordeling documenteren; profilering van natuurlijke personen telt altijd als hoogrisico.

Verplichtingen van de aanbieder

De aanbieder draagt het zwaarste pakket (artikelen 8 tot en met 17): een doorlopend risicobeheersysteem; eisen aan trainings-, validatie- en testdata inclusief biasbeheersing; technische documentatie; automatische logging; transparante gebruiksinformatie aan de gebruiksverantwoordelijke; ontwerp voor doeltreffend menselijk toezicht; nauwkeurigheid, robuustheid en cyberbeveiliging; en een kwaliteitsbeheersysteem. Daarna volgen de conformiteitsbeoordeling, de EU-conformiteitsverklaring, CE-markering en registratie in de EU-databank (artikel 49).

Verplichtingen van de gebruiksverantwoordelijke

Wie een hoogrisicosysteem inzet, heeft een eigen lijst (artikel 26): gebruik volgens de gebruiksaanwijzing, toewijzing van bevoegd menselijk toezicht, relevante en representatieve inputdata, monitoring van de werking, bewaren van logs en informeren van werknemers bij inzet op de werkvloer. Overheidsorganen en aanbieders van essentiële private diensten moeten vóór ingebruikname bovendien een grondrechteneffectbeoordeling (FRIA, artikel 27) uitvoeren. Voor financiële instellingen gelden de schakelbepalingen die aansluiten op bestaande governance — zie de aparte analyse over de samenloop met DORA.

Wat het uitstel wél en niet betekent

Tot de Digital Omnibus in het Publicatieblad staat, blijft 2 augustus 2026 formeel de geldende datum; daarna wordt 2 december 2027 de planningshorizon voor bijlage III. Niet uitgesteld zijn de bepalingen die al gelden — de verboden, de geletterdheidsplicht en het GPAI-regime. De inhoud van het hoogrisicopakket wijzigt evenmin. Organisaties die de bouwstenen (register, risicobeheer, datakwaliteit, documentatie) nu inrichten, doen geen werk dat verloren gaat; ze spreiden alleen de last.