Post-market monitoring (artikel 72) na ingebruikname

Kort antwoord: Artikel 72 van de AI Act verplicht aanbieders van hoog-risico-AI om na de marktintroductie een post-market monitoringsysteem te onderhouden. Daarmee verzamelen en analyseren zij gedurende de hele levensduur systematisch gegevens over hoe het systeem in de praktijk presteert. Die signalen voeden het risicobeheer terug en kunnen aanleiding zijn voor corrigerende maatregelen. Conformiteit is dus geen eindpunt bij ingebruikname.

Waarom monitoring ná de markt

Een AI-systeem gedraagt zich in de praktijk anders dan in de testomgeving. Gebruikspatronen verschuiven, data verandert, en risico's die vooraf niet zichtbaar waren, kunnen alsnog opduiken. Artikel 72 sluit die lus: de aanbieder moet actief blijven kijken of het systeem nog presteert zoals bedoeld en of de risico-inschattingen nog kloppen. Zo blijft de conformiteitsbeoordeling van vóór de markt verbonden met de werkelijkheid erna.

Wat het monitoringsysteem doet

Het post-market monitoringsysteem moet, in verhouding tot de aard en risico's van het systeem:

• Relevante gegevens verzamelen over de prestaties van het hoog-risicosysteem gedurende de levensduur.
• Die gegevens documenteren en analyseren, ook gegevens die gebruiksverantwoordelijken aanleveren.
• De voortdurende naleving van de eisen uit de AI Act evalueren op basis van wat in de praktijk gebeurt.

De aanbieder legt dit vast in een monitoringplan dat onderdeel is van de technische documentatie (bijlage IV). De Commissie voorziet in een sjabloon voor zo'n plan.

Terugkoppeling naar risicobeheer

Post-market monitoring staat niet op zichzelf. De bevindingen voeden rechtstreeks het risicobeheersysteem (artikel 9): nieuwe of veranderde risico's die uit de praktijk blijken, moeten opnieuw worden ingeschat en zo nodig beperkt. Waar het misgaat, kan dat leiden tot een update, een waarschuwing aan gebruikers, of in het uiterste geval terugroeping.

Verhouding tot incidentmelding

Monitoring is breder dan incidentmelding, maar hangt ermee samen. De AI Act kent een aparte verplichting om ernstige incidenten te melden aan de toezichthouder. Het monitoringsysteem is de structuur waarmee je zulke incidenten en bredere prestatieproblemen überhaupt opmerkt. Zie ook het overzicht van hoog-risicoverplichtingen.

Wat te doen

• Stel een monitoringplan op voordat het systeem live gaat, niet erna.
• Verzamel gestructureerd prestatiegegevens, inclusief signalen van gebruiksverantwoordelijken.
• Analyseer periodiek of het systeem nog presteert en compliant is zoals bedoeld.
• Koppel bevindingen terug naar risicobeheer en documentatie.
• Bereid corrigerende maatregelen voor: update, waarschuwing of terugroeping.

Een hoog-risicosysteem zonder monitoring is een blinde vlek die pas zichtbaar wordt als er al schade is.