Gepubliceerd op 8 november 2025 · Laatst bijgewerkt op 14 oktober 2026
De AI-verordening (Verordening (EU) 2024/1689) kent geen algemene plicht om elk AI-systeem te laten auditen; wel moet de aanbieder van een hoog-risico-AI-systeem vóór het in de handel brengen een conformiteitsbeoordeling doorlopen en het systeem doorlopend documenteren en bewaken. Na de Digital Omnibus (Verordening (EU) 2026/1744) gelden die hoog-risicoplichten per 2 december 2027 voor systemen uit bijlage III en per 2 augustus 2028 voor AI in producten onder bijlage I; de verboden praktijken en de plicht tot AI-geletterdheid gelden al sinds 2 februari 2025.
Inhoudsopgave
Wat bedoelen we met een AI-audit?
Een AI-audit is in de praktijk een controle of een AI-systeem voldoet aan de wet en aan interne normen. De AI-verordening gebruikt het woord “audit” niet als algemene verplichting, maar kent wel concrete controle-instrumenten.
- De conformiteitsbeoordeling door de aanbieder van een hoog-risicosysteem (artikel 43), meestal via interne controle, soms door een aangemelde instantie.
- Het risicobeheersysteem, de technische documentatie en de logging die de aanbieder moet bijhouden (artikelen 9, 11 en 12).
- De monitoring na het in de handel brengen en de melding van ernstige incidenten (artikelen 72 en 73).
- De beoordeling van gevolgen voor grondrechten door bepaalde gebruikers (artikel 27).
- Toezicht door de nationale markttoezichthouder, die documenten kan opvragen en systemen kan testen.
Een vrijwillige interne of externe audit is een goed middel om aan deze plichten te voldoen. Voor een eerste overzicht verwijzen wij naar ons artikel over voorbereiding op de AI Act.
Welk risiconiveau heeft uw AI-systeem?
De verplichtingen hangen af van het risico van het systeem. De verordening onderscheidt verboden praktijken, hoog-risicosystemen, systemen met transparantieplichten en overige systemen.
Verboden praktijken
Sinds 2 februari 2025 zijn bepaalde toepassingen verboden (artikel 5). Daaronder vallen:
- manipulatieve of misleidende technieken die gedrag wezenlijk verstoren en schade veroorzaken;
- social scoring die leidt tot nadelige behandeling, door overheden én private partijen;
- emotieherkenning op de werkplek en in het onderwijs, behalve om medische of veiligheidsredenen;
- biometrische categorisering om gevoelige kenmerken zoals ras, politieke opvatting of seksuele geaardheid af te leiden;
- het ongericht scrapen van gezichtsbeelden voor databanken voor gezichtsherkenning.
Hoog-risicosystemen
Hoog-risico zijn AI-systemen die een veiligheidscomponent vormen van producten onder Europese productregels (bijlage I) en systemen in de toepassingsgebieden van bijlage III. Voorbeelden uit bijlage III zijn werving en selectie, toegang tot onderwijs, kredietwaardigheidsbeoordeling, rechtshandhaving en rechtsbedeling.
Een systeem uit bijlage III is onder voorwaarden toch geen hoog-risico als het geen significant risico vormt, bijvoorbeeld bij een beperkte voorbereidende taak (artikel 6 lid 3). De aanbieder moet die beoordeling documenteren. Gebruikt u AI bij werving, lees dan ook ons artikel over discriminatie bij AI-screening.
Transparantieplichten en AI-modellen voor algemene doeleinden
Voor chatbots, synthetische inhoud en deepfakes gelden transparantieplichten (artikel 50): gebruikers moeten weten dat zij met AI te maken hebben, en gegenereerde inhoud moet als zodanig herkenbaar zijn. Aanbieders van AI-modellen voor algemene doeleinden, zoals grote taalmodellen, hebben sinds 2 augustus 2025 eigen plichten, zoals technische documentatie en een beleid voor auteursrecht (artikel 53).
Welke plichten heeft de aanbieder van een hoog-risicosysteem?
De aanbieder, dus de partij die het systeem ontwikkelt en onder eigen naam op de markt brengt, draagt de zwaarste plichten. Hij moet onder meer:
- een risicobeheersysteem inrichten dat de hele levenscyclus beslaat (artikel 9);
- zorgen voor kwalitatief goede en representatieve trainings-, validatie- en testdata (artikel 10);
- technische documentatie opstellen en actueel houden (artikel 11);
- automatische logging inbouwen (artikel 12);
- gebruiksinstructies verstrekken en menselijk toezicht mogelijk maken (artikelen 13 en 14);
- zorgen voor nauwkeurigheid, robuustheid en cyberbeveiliging (artikel 15);
- een kwaliteitsbeheersysteem invoeren (artikel 17);
- de conformiteitsbeoordeling doorlopen, een EU-conformiteitsverklaring opstellen en de CE-markering aanbrengen (artikelen 43, 47 en 48).
Wijzigt u een systeem ingrijpend of brengt u het onder eigen naam op de markt, dan kunt u zelf als aanbieder worden aangemerkt (artikel 25).
Welke plichten heeft de gebruiker?
De gebruiksverantwoordelijke, dus de organisatie die een hoog-risicosysteem in haar eigen werkzaamheden inzet, heeft lichtere maar concrete plichten (artikel 26). Een werkgever die een AI-tool voor sollicitanten gebruikt, valt hier bijvoorbeeld onder.
- Gebruik het systeem volgens de instructies van de aanbieder.
- Wijs bekwame personen aan voor het menselijk toezicht.
- Zorg dat de invoerdata relevant en voldoende representatief zijn, voor zover u die beheert.
- Bewaar de automatisch gegenereerde logs ten minste zes maanden.
- Informeer werknemers en hun vertegenwoordigers vóór ingebruikname op de werkplek.
- Meld ernstige incidenten en risico’s aan de aanbieder en de toezichthouder.
Overheidsorganisaties, private partijen die openbare diensten verlenen en gebruikers van AI voor kredietwaardigheid of levens- en ziektekostenverzekeringen moeten daarnaast vooraf een beoordeling van de gevolgen voor grondrechten uitvoeren (artikel 27). Verwerkt het systeem persoonsgegevens, dan is vaak ook een gegevensbeschermingseffectbeoordeling (DPIA) nodig (artikel 35 AVG).
Geldt de plicht tot AI-geletterdheid voor iedereen?
Ja, aanbieders en gebruiksverantwoordelijken moeten sinds 2 februari 2025 maatregelen nemen om te zorgen dat hun personeel voldoende AI-geletterd is (artikel 4). Dat geldt ongeacht het risiconiveau van het systeem.
De verordening schrijft geen vaste cursus voor. Leg daarom vast welke medewerkers met AI werken, welke kennis zij nodig hebben en hoe u die borgt.
Wie houdt toezicht en wat zijn de sancties?
Elke lidstaat wijst markttoezichthouders aan; in Nederland wordt de taakverdeling in nationale wetgeving vastgelegd. Naar verwachting krijgen meerdere toezichthouders een rol, waaronder de Autoriteit Persoonsgegevens, die nu al het algoritmetoezicht coördineert. Op AI-modellen voor algemene doeleinden houdt het Europese AI-bureau toezicht.
De boetes staan in artikel 99:
- tot € 35 miljoen of 7% van de wereldwijde jaaromzet bij verboden praktijken;
- tot € 15 miljoen of 3% bij schending van de meeste andere verplichtingen, waaronder die voor hoog-risicosystemen;
- tot € 7,5 miljoen of 1% bij het verstrekken van onjuiste of misleidende informatie aan toezichthouders.
Voor het mkb en start-ups geldt het laagste van beide bedragen. Naast een boete kan de toezichthouder een systeem uit de handel laten nemen.
Hoe pakt u een AI-audit aan?
Een interne AI-audit begint met een volledig overzicht van alle AI-toepassingen en eindigt met een verbeterplan met eigenaren en deadlines. Zo kunt u bij een controle laten zien wat u heeft gedaan.
- Inventariseer alle AI-systemen, ook ingekochte tools en AI-functies in bestaande software.
- Bepaal per systeem uw rol (aanbieder of gebruiksverantwoordelijke) en het risiconiveau.
- Toets of er een verboden praktijk is en stop die direct.
- Vergelijk voor hoog-risicosystemen de bestaande documentatie met de eisen uit de artikelen 9 tot en met 15 en 26.
- Controleer contracten met leveranciers op informatieplichten, logs en aansprakelijkheid.
- Leg de uitkomsten, maatregelen en verantwoordelijken schriftelijk vast en herhaal de audit periodiek.
Meer over contractuele afspraken leest u in ons artikel over AI-contracten en aansprakelijkheid.
Waar let u op als aanbieder?
Als aanbieder bent u verantwoordelijk voor de conformiteit van het systeem. Begin tijdig, want de documentatie moet al bij de ontwikkeling worden opgebouwd.
- Leg vast waarom een systeem wel of niet hoog-risico is.
- Bouw het risicobeheer- en kwaliteitssysteem in uw ontwikkelproces in.
- Bereid de technische documentatie en de conformiteitsverklaring voor.
- Richt een procedure in voor monitoring en incidentmeldingen.
Waar let u op als gebruiker?
Als gebruiker steunt u grotendeels op de informatie van de aanbieder. Zorg dat u die krijgt en ernaar handelt.
- Vraag de leverancier om de gebruiksinstructies, de conformiteitsverklaring en informatie over beperkingen.
- Regel menselijk toezicht en leg vast wie dat uitvoert.
- Bewaar logs en informeer werknemers vóór invoering.
- Toets of een beoordeling voor grondrechten of een DPIA nodig is.
Wat kunnen wij voor u doen bij AI-compliance en audits?
Wij helpen organisaties die AI ontwikkelen of inzetten. Onze ICT-recht advocaat kan onder meer:
- beoordelen welke rol en welk risiconiveau op uw AI-systemen van toepassing zijn;
- een juridische AI-audit of gap-analyse uitvoeren tegen de AI-verordening en de AVG;
- contracten met AI-leveranciers en afnemers opstellen of beoordelen;
- beleid voor AI-geletterdheid en menselijk toezicht opstellen;
- u bijstaan bij vragen of handhaving van een toezichthouder, inclusief bezwaar en beroep.
Samengevat
- De AI-verordening kent geen algemene auditplicht, wel conformiteitsbeoordeling en doorlopende documentatie voor hoog-risicosystemen.
- Verboden praktijken en AI-geletterdheid gelden sinds 2 februari 2025; plichten voor AI-modellen voor algemene doeleinden sinds 2 augustus 2025.
- De hoog-risicoplichten uit bijlage III gelden na de Digital Omnibus per 2 december 2027, die voor producten uit bijlage I per 2 augustus 2028.
- Aanbieders dragen de zwaarste plichten; gebruikers moeten onder meer toezicht regelen en logs bewaren.
- Boetes lopen op tot € 35 miljoen of 7% van de wereldwijde omzet.
Veelgestelde vragen
Moet een externe auditor mijn AI-systeem goedkeuren?
Meestal niet. Voor de meeste hoog-risicosystemen volstaat een conformiteitsbeoordeling via interne controle; een aangemelde instantie is vooral nodig bij bepaalde biometrische systemen en producten onder Europese productregels.
Geldt de AI-verordening ook als ik alleen ChatGPT of Copilot gebruik?
Ja, in elk geval de plicht tot AI-geletterdheid. Zet u zo’n tool in voor een hoog-risicotoepassing, zoals het beoordelen van sollicitanten, dan kunnen ook de plichten voor gebruiksverantwoordelijken gelden.
Is een grondrechtenbeoordeling altijd verplicht?
Nee, alleen voor overheidsorganisaties, private partijen die openbare diensten verlenen en gebruikers van AI voor kredietwaardigheid of bepaalde verzekeringen (artikel 27).
Wat is het verschil tussen een DPIA en een conformiteitsbeoordeling?
Een DPIA (artikel 35 AVG) gaat over risico’s voor persoonsgegevens en is een plicht van de verwerkingsverantwoordelijke. De conformiteitsbeoordeling gaat over het AI-systeem als product en is een plicht van de aanbieder.
Lees ook: de AI-verordening: volledige gids.
