Een overzicht van je AI-systemen, een voorbereide risico-indeling en heldere afspraken over verantwoordelijkheid.
Vertrouwd door toonaangevende organisaties
De AI Act, ook wel de AI-verordening, stelt eisen aan organisaties die AI ontwikkelen of gebruiken. Welke eisen voor jou gelden, hangt af van je rol en van het risico van elke toepassing. Data Science Lab helpt je AI-systemen te inventariseren, de risico-indeling voor te bereiden en governance in te richten; de juridische duiding blijft bij je jurist of compliance-afdeling.
Vraag in een middelgrote organisatie welke AI er draait en elke afdeling geeft een ander antwoord. IT noemt het voorspelmodel van het datateam, communicatie schrijft met Microsoft Copilot en HR test een tool die sollicitaties voorsorteert, zelf ingekocht en nooit langs IT gegaan. Een volledig overzicht ontbreekt, dus weet niemand welke regels gelden.
Juist die HR-tool vraagt aandacht. Systemen die sollicitaties analyseren en filteren staan in bijlage III en gelden in beginsel als hoog risico. Zet je een algemeen AI-systeem zelf voor zo'n doel in, dan kun je volgens artikel 25 zelfs als aanbieder gelden, met de zwaarste plichten.
Daarnaast circuleren verouderde tijdlijnen. Een overzicht uit 2024 of 2025 noemt nog 2 augustus 2026 voor hoog risico uit bijlage III en 2 augustus 2027 voor AI in producten. Sinds de Digitale omnibus inzake AI gelden die voor de meeste systemen later, terwijl andere plichten al lopen.
Sinds 2 februari 2025 zijn onder meer social scoring, schadelijke manipulatie en emotieherkenning op de werkplek en in het onderwijs verboden, op enkele uitzonderingen na. Vanaf 2 december 2026 geldt ook een verbod op AI die zonder toestemming intieme beelden van echte personen maakt.
Bijlage III noemt onder meer werving en selectie, onderwijs, kredietwaardigheid, toegang tot uitkeringen en kritieke infrastructuur. Daarvoor gelden vanaf 2 december 2027 eisen aan risicobeheer, data, logging, documentatie en menselijk toezicht; voor AI in producten uit bijlage I vanaf 2 augustus 2028.
Sinds 2 augustus 2026 moet een chatbot laten weten dat iemand met AI praat. Aanbieders van generatieve AI markeren de output machineleesbaar, voor bestaande systemen uiterlijk 2 december 2026. Wie met AI deepfakes maakt, meldt dat de inhoud kunstmatig is.
De meeste toepassingen, zoals een spamfilter, vallen in deze groep: daarvoor stelt de verordening geen specifieke eisen. AI-geletterdheid van de mensen die ermee werken, geldt wel voor elk AI-systeem dat je aanbiedt of gebruikt.
De aanbieder ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt of in gebruik. De gebruiksverantwoordelijke gebruikt het onder eigen verantwoordelijkheid. Bouw je een systeem en gebruik je het zelf, dan ben je beide.
Voor aanbieders van modellen zoals de taalmodellen achter ChatGPT gelden sinds 2 augustus 2025 eisen aan onder meer documentatie en auteursrecht. Integreer je zo'n model in een eigen toepassing, dan moet de modelaanbieder je informatie geven over mogelijkheden en beperkingen.
We helpen je met een eerste overzicht en de vragen die je jurist moet beantwoorden.
Met IT, inkoop en de afdelingen maken we een overzicht van zelfgebouwde, ingekochte en losse AI-toepassingen, inclusief AI-functies in software die je al hebt.
Per toepassing leggen we vast of je aanbieder, gebruiksverantwoordelijke of beide bent, en waar een nieuw gebruiksdoel je rol verandert.
We zetten per systeem de feiten klaar: doel, betrokken personen, gebruikte data en het mogelijke gebied uit bijlage III. Je jurist of compliance-afdeling neemt de beslissing.
We beleggen eigenaarschap en menselijk toezicht en koppelen het overzicht aan inkoop, het verwerkingsregister en de DPIA, zodat nieuwe toepassingen niet buiten beeld raken.
Wie met AI werkt, krijgt kennis die past bij rol en risico. Hoe we dat aanpakken, lees je bij AI-geletterdheid training.
Overzicht en indeling blijven actueel bij nieuwe systemen, gewijzigde doelen en nieuwe richtsnoeren van de Europese Commissie of de toezichthouder.
Je hebt een eigenaar nodig die het overzicht bijhoudt, vaak uit compliance, privacy of informatiemanagement, en toegang tot contracten, het verwerkingsregister en bestaande DPIA's. Het werk sluit aan op AI governance en data governance: dezelfde vragen over eigenaarschap en kwaliteit, nu per AI-systeem. Voor gemeenten is de Responsible AI-workshop voor gemeenten een goede eerste stap, omdat kaders en afspraken daar centraal staan.
Monitoring en beheer na livegang zijn voor ons geen nieuw terrein. Bij het LUMC werken we aan AI-toepassingen die na livegang goed blijven presteren, veilig beheerd worden en verbeterd kunnen worden. Die discipline heb je ook nodig om bij te houden wat een systeem doet en wie erop toeziet.
We geven geen juridisch advies. We verzamelen de feiten, bereiden de indeling voor en richten governance in; of een systeem onder een uitzondering valt en welke plicht precies geldt, beslist je jurist of compliance-afdeling. Onze aanpak voor Responsible AI gaat daarnaast over keuzes die verder gaan dan de wet.
Iedere organisatie kan een AI-pilot starten. De uitdaging zit in de stap daarna. AI onderdeel maken van de organisatie. Dat is waar Data Science Lab het verschil maakt.
Lees meer over ons
10+
8,7
200+
De AI Act, officieel Verordening (EU) 2024/1689 of AI-verordening, is de Europese wet voor het ontwikkelen en gebruiken van AI-systemen. Hoe groter het risico, hoe strenger de regels: van verboden praktijken via eisen voor hoog risico en transparantieplichten tot toepassingen zonder specifieke eisen. De verordening geldt rechtstreeks in alle lidstaten.
De AI Act trad op 1 augustus 2024 in werking en gaat stap voor stap gelden. Sinds 2 februari 2025 gelden de verboden praktijken en AI-geletterdheid, sinds 2 augustus 2025 de regels voor modellen voor algemene doeleinden en sinds 2 augustus 2026 de transparantieplichten en het toezicht. Hoog-risicosystemen uit bijlage III volgen op 2 december 2027, AI in producten uit bijlage I op 2 augustus 2028.
Deels. De Digitale omnibus inzake AI, Verordening (EU) 2026/1744, is aangenomen en geldt sinds 27 juli 2026. Die schoof de hoog-risicoregels op en voegde verboden toe die vanaf 2 december 2026 gelden. Verboden praktijken en de regels voor algemene modellen zijn niet uitgesteld; alleen bestaande generatieve systemen hebben tot 2 december 2026 om hun output te markeren. Het aparte omnibusvoorstel dat onder meer de AVG wijzigt, is in oktober 2026 nog niet aangenomen.
Dat is nog niet definitief geregeld. Het wetsvoorstel Uitvoeringswet AI-verordening, in april 2026 in consultatie gebracht, gaat uit van tien markttoezichthouders. De Autoriteit Persoonsgegevens zou toezicht krijgen op verboden AI, transparantie en een groot deel van de hoog-risicotoepassingen, en samen met de RDI coördineren. In oktober 2026 meldt de AP dat zij beoogd toezichthouder is, maar nog niet aangewezen.
De AVG blijft gelden; de AI Act laat de privacywetgeving uitdrukkelijk onverlet. Gebruik je een hoog-risicosysteem en is een DPIA nodig, dan gebruik je daarvoor de informatie van de aanbieder. Overheden, publieke dienstverleners en gebruikers van systemen voor kredietwaardigheid of voor risico en premie bij levens- en ziektekostenverzekeringen doen vanaf december 2027 ook een grondrechtenbeoordeling, die naar de DPIA mag verwijzen. Een DPIA van je leverancier vervangt de jouwe niet, benadrukte de AP bij gemeenten.
Zonder overzicht weet je niet welke plichten gelden. In haar handreiking over AI-geletterdheid noemt de AP een inventarisatie van alle AI-systemen als eerste stap, met het AVG-verwerkingsregister als vertrekpunt. De verordening kent daarnaast een EU-databank: aanbieders registreren hoog-risicosystemen uit bijlage III en overheidsorganisaties hun gebruik ervan. Een aanbieder die vindt dat een systeem uit bijlage III toch geen hoog risico heeft, legt dat vast en registreert het ook.
Gebruik je alleen AI-functies in standaardsoftware en geen toepassingen uit bijlage III, dan is een uitgebreid traject meestal te zwaar. Een kort overzicht, gebruiksafspraken en aandacht voor AI-geletterdheid zijn dan een redelijk begin. Gaat je vraag puur over juridische kwesties zoals aansprakelijkheid of contracten, dan ben je bij een jurist beter op je plek.
E-mail info@datasciencelab.nl
Telefoon +31 (0)20 3636 724
We beginnen met een overzicht van je AI-systemen en de vragen die je jurist moet beantwoorden. Zo weet je waar je staat en wat als eerste aandacht vraagt.
Bericht verstuurd
Bedankt voor je bericht. We nemen zo snel mogelijk contact met je op.
