De documentatie die de AI Act van u vraagt
Welke documentatie de AI Act van u vraagt, hangt af van uw rol en van wat uw AI-systemen doen. Van AI-beleid tot risicobeoordeling: ontdek welke documenten u nodig heeft en welke AIComplianceHub voor u opstelt.
In het kort
- Welke documenten u nodig heeft, hangt af van uw rol en van de classificatie van het systeem.
- Gebruiksverantwoordelijke: bewijs van AI-geletterdheid (Art. 4), bij hoog-risico AI ook menselijk toezicht (Art. 26).
- Aanbieder van hoog-risico AI: technische documentatie volgens Bijlage IV plus een risicobeheersysteem (Art. 9).
- De registratieplicht van Artikel 49 gaat over de EU-databank, niet over uw interne register.
Welke documenten heeft u nodig?
De AI Act regelt kunstmatige intelligentie per systeem en per rol, dus de documentatie verschilt sterk per organisatie. Bij elk document hieronder ziet u of de wet het voorschrijft of dat het een praktische keuze is.
Basisdocumentatie voor elke organisatie
Van deze documenten raakt alleen AI-geletterdheid een plicht die voor elke organisatie met AI geldt (Artikel 4). Transparantie wordt een plicht zodra u een AI-toepassing uit Artikel 50 aanbiedt of inzet. AI-beleid en een intern AI-register schrijft de wet niet voor. Ze zijn wel de praktische manier om uw compliance aantoonbaar te maken voor klanten, toezichthouders en auditors.
AI-geletterdheidsmaatregelen
Artikel 4 vraagt maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen bij uw personeel en bij anderen die namens u met AI werken. U houdt daarbij rekening met hun kennis, ervaring en opleiding, met de gebruikscontext en met de mensen op wie het systeem wordt toegepast. Een bepaald kennisniveau per medewerker hoeft u niet te garanderen. Het artikel schrijft geen documentatie voor; trainingsregistraties en certificaten leggen vast wat u heeft gedaan. Net als de verboden uit Artikel 5 geldt deze plicht voor elke organisatie die AI inzet of aanbiedt.
Meer over AI-geletterdheid →Transparantienotices
Wie een chatbot aanbiedt, zorgt dat mensen weten dat ze met AI praten (Art. 50 lid 1). Zet u emotieherkenning of biometrische categorisering in, dan informeert u wie eraan wordt blootgesteld (lid 3). Deepfakes maakt u bekend als AI-gegenereerd. Dat geldt ook voor AI-tekst die het publiek informeert over aangelegenheden van algemeen belang, tenzij een mens die tekst heeft getoetst en u er redactionele verantwoordelijkheid voor draagt (lid 4). Voor andere AI-content geldt geen algemene labelplicht.
Meer over de transparantieplicht →AI-beleid
Een intern beleidsdocument dat vastlegt hoe uw organisatie omgaat met AI: welk gebruik is toegestaan, welke regels gelden en wie verantwoordelijk is. Geen wettelijke plicht, wel de snelste manier om uw compliance aantoonbaar te organiseren.
Meer over AI-beleid →AI-register
Een overzicht van alle AI-systemen die uw organisatie gebruikt. De EU-databank van Artikel 49 is iets anders: daarin registreren aanbieders hun Bijlage III-systemen. Gebruiksverantwoordelijken doen dat alleen als zij een overheidsinstantie of Unie-instelling zijn, of namens hen optreden (Art. 49, lid 1 tot en met 3). Een intern register is geen wettelijke plicht, maar wel de basis voor AI-geletterdheid, inkoop en incidentrespons.
Meer over het AI-register →Extra documentatie voor hoog-risico AI
De zwaarte van deze documenten verschilt sterk tussen aanbieders (provider) en gebruiksverantwoordelijken (deployer). Een aanbieder zet een volledig risicobeheersysteem op. Een gebruiksverantwoordelijke voert bij specifieke Bijlage III-toepassingen een grondrechten-effectbeoordeling uit (Artikel 27). Deze plichten gelden voor Bijlage III-systemen vanaf 2 december 2027 en voor AI in een product uit Bijlage I, afdeling A, vanaf 2 augustus 2028 (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c). Is een systeem al vóór die datum in de handel gebracht of in gebruik gesteld, dan gelden deze plichten pas na een aanzienlijke wijziging in het ontwerp. Is het bedoeld voor gebruik door overheidsinstanties, dan moet het uiterlijk op 2 augustus 2030 voldoen, ook zonder wijziging (Artikel 111, lid 2).
Risicobeheersysteem (Art. 9)
Doorlopend proces voor aanbieders: risico-identificatie, mitigerende maatregelen, testen, monitoring na ingebruikname. Geen eenmalig document, maar een systeem dat meegaat met de levenscyclus van het AI-systeem.
Lees hoe u de risicoanalyse opzet →Grondrechten-effectbeoordeling (FRIA, Art. 27)
Voor gebruiksverantwoordelijken die een hoog-risicosysteem uit Bijlage III inzetten en een publiekrechtelijk orgaan zijn of als particuliere entiteit openbare diensten verlenen. Ook wie zo'n systeem gebruikt voor de kredietwaardigheid van natuurlijke personen of voor de risicobeoordeling en prijsstelling van hun levens- en ziektekostenverzekeringen valt eronder (Bijlage III, punt 5, onder b en c). Zij beoordelen vóór het eerste gebruik de impact op de grondrechten van betrokkenen, inclusief mitigerende maatregelen. Systemen voor kritieke infrastructuur (Bijlage III, punt 2) en Bijlage I-systemen vallen buiten deze plicht (Artikel 27, lid 1).
Lees hoe een FRIA werkt →Data governance documentatie
Documentatie over de trainings-, validatie- en testdata: herkomst, kwaliteit, representativiteit, bias-analyse en maatregelen voor datakwaliteit.
Lees wat Artikel 10 over data vraagt →Technische documentatie (Art. 11, Bijlage IV)
De aanbieder stelt deze documentatie op voordat het systeem in de handel komt of in gebruik wordt gesteld. Daarna houdt hij haar actueel (Artikel 11, lid 1). Ze moet aantonen dat het systeem voldoet aan de eisen van hoofdstuk III, afdeling 2. Bijlage IV noemt wat er minimaal in staat, onder meer het beoogde doel en de werking, de ontwikkelmethode en het ontwerp, de prestaties en beperkingen, het risicobeheersysteem en het plan voor monitoring na het in de handel brengen. MKB-bedrijven (inclusief start-ups) en kleine midcapondernemingen mogen die elementen vereenvoudigd aanleveren. Wie daarvoor kiest, gebruikt het formulier dat de Commissie hiervoor opstelt.
Lees wat Bijlage IV vraagt →Conformiteitsbeoordeling
Beoordeling die aantoont dat het hoog-risicosysteem voldoet aan de eisen van hoofdstuk III, afdeling 2 (Artikel 43). De aanbieder zorgt dat die is uitgevoerd vóór het systeem in de handel komt of in gebruik wordt gesteld.
Lees welke route voor u geldt →Procedures menselijk toezicht
Aanbieders richten menselijk toezicht in op systeemniveau (Art. 14). Gebruiksverantwoordelijken wijzen het toezicht toe aan mensen met de nodige bekwaamheid, opleiding en autoriteit (Art. 26, lid 2) en vertalen het naar hun werkprocessen: wie houdt toezicht, hoe kan worden ingegrepen, welke escalatieprocedures gelden.
Logboeken (Art. 26)
Gebruiksverantwoordelijken van hoog-risico AI bewaren de logs die het systeem automatisch genereert, voor zover die onder hun controle vallen. De termijn past bij het beoogde doel en is ten minste zes maanden, tenzij ander Unie- of nationaal recht iets anders bepaalt (Artikel 26, lid 6). Het AI-systeem zelf produceert deze logs (Artikel 12).
Welke documentatie hoort bij uw rol?
| Document | Deployer | Provider |
|---|---|---|
| AI-geletterdheidsmaatregelenArt. 4, geen documentatieplicht | Verplicht | Verplicht |
| Transparantie bij chatbot of deepfakeArt. 50, bij gebruik | Bij inzet | Bij inzet |
| AI-beleidGeen wettelijke plicht | Best practice | Best practice |
| Intern AI-registerGeen wettelijke plicht | Best practice | Best practice |
| Registratie EU-databankArt. 49, Bijlage III; gebruiksverantwoordelijke alleen als overheidsinstantie of namens haar | Bij inzet | Verplicht |
| Risicobeheersysteem (Art. 9)Art. 9, alleen hoog-risico | — | Verplicht |
| Grondrechten-effectbeoordeling (FRIA, Art. 27)Art. 27, alleen specifieke Bijlage III-toepassingen | Bij inzet | — |
| Data governanceArt. 10, alleen hoog-risico | — | Verplicht |
| Technische documentatieArt. 11 + Bijlage IV, alleen hoog-risico | — | Verplicht |
| ConformiteitsbeoordelingArt. 43, alleen hoog-risico | — | Verplicht |
| Menselijk toezicht proceduresArt. 14 + 26, alleen hoog-risico | Bij inzet | Verplicht |
| Logboeken AI-systeemArt. 12, 19 + 26, alleen hoog-risico | Bij inzet | Verplicht |
Verplicht = rechtstreeks door AI Act voorgeschreven. Bij inzet = alleen als u dit soort AI gebruikt. Best practice = geen wettelijke plicht, wel de stukken waarmee u laat zien hoe u met AI omgaat.
Niet zeker of u deployer of provider bent? Doe de gratis rol-check.
AIComplianceHub genereert uw documentatie
Een deel van deze documenten stelt AIComplianceHub voor u op, op basis van uw antwoorden in de risicoscan.
Doe de risicoscan
Beantwoord vragen over uw AI-gebruik. U krijgt direct een indicatie van het risiconiveau en van uw rol onder de AI Act.
Start risicoscan →Documenten worden gegenereerd
Op basis van uw antwoorden stelt AIComplianceHub onder meer uw AI-beleid, risicobeoordeling, transparantieverklaring, FRIA en procedure voor menselijk toezicht op.
Downloaden en implementeren
Download uw documenten en implementeer ze in uw organisatie. Wij houden u op de hoogte van updates en wijzigingen.
Maak een account →Veelgestelde vragen over AI Act documentatie
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Voor elke organisatie die AI inzet, gelden sinds 2 februari 2025 Artikel 4 (AI-geletterdheid) en de acht oorspronkelijke verboden uit Artikel 5. Geen van beide schrijft documentatie voor; wat u over Artikel 4 vastlegt, is het bewijs dat bij een inspanningsverplichting hoort. Voor hoog-risico AI komen er plichten bij die per rol verschillen. Voor Bijlage III-systemen gelden ze vanaf 2 december 2027, voor AI in een product uit Bijlage I, afdeling A, vanaf 2 augustus 2028 (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c). Aanbieders zetten een risicobeheersysteem op, stellen technische documentatie en data governance op en zorgen dat de conformiteitsbeoordeling is uitgevoerd. Gebruiksverantwoordelijken (deployers) bewaren de logs die het systeem automatisch genereert, voor zover die onder hun controle vallen, richten menselijk toezicht in en voeren voor bepaalde categorieën een grondrechten-effectbeoordeling uit (FRIA, Artikel 27). AI-beleid en intern AI-register zijn geen wettelijke plicht, maar de snelste manier om uw compliance aantoonbaar te maken.
Nee, niet voor iedereen. Aanbieders van de hoog-risicosystemen uit Bijlage III registreren zichzelf en hun systeem in de EU-databank (Artikel 49, lid 1); voor kritieke infrastructuur gebeurt dat op nationaal niveau (lid 5). Een aanbieder die een Bijlage III-systeem via Artikel 6, lid 3 buiten hoog-risico plaatst, registreert het ook (lid 2). Gebruiksverantwoordelijken registreren alleen als zij een overheidsinstantie of een instelling, orgaan of instantie van de Unie zijn, of namens hen optreden (lid 3). Gebruiksverantwoordelijken van hoog-risico AI bewaren de logs die onder hun controle vallen ten minste zes maanden (Artikel 26, lid 6). Voor Bijlage III-systemen gelden deze plichten vanaf 2 december 2027, de logplicht bij AI in een product uit Bijlage I, afdeling A, vanaf 2 augustus 2028 (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c). Een intern register is geen wettelijke verplichting, wel een praktische keuze: het helpt bij inkoop, incidentrespons en het aantoonbaar maken van uw AI-geletterdheid.
Ja, voor een groot deel. In het platform stelt AIComplianceHub onder meer uw AI-beleid, risicobeoordeling, transparantieverklaring, FRIA en procedure voor menselijk toezicht op. Met een gratis account kunt u één AI-beleid laten opstellen; de andere documenten horen bij een betaald pakket. Technische documentatie volgens Bijlage IV, het systeem voor kwaliteitsbeheer (Artikel 17) en de EU-conformiteitsverklaring (Artikel 47) stelt een aanbieder van hoog-risico AI zelf op. U kunt de documenten aanpassen en downloaden als Word-bestand.
De AI Act noemt geen vaste termijn. Wij adviseren een review bij elke nieuwe AI-toepassing, bij een significante wijziging van een bestaand systeem en minimaal eens per jaar. Na een incident of klacht raden wij een directe review aan. Voor hoog-risico AI is monitoring een doorlopende plicht: voor de gebruiksverantwoordelijke via Artikel 26, lid 5, voor de aanbieder via Artikel 72. Die plicht geldt voor Bijlage III-systemen vanaf 2 december 2027, voor AI in een product uit Bijlage I, afdeling A, vanaf 2 augustus 2028 (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c).
Tien jaar na het in de handel brengen of in gebruik stellen, als u aanbieder bent van een hoog-risico AI-systeem. Die termijn geldt onder meer voor de technische documentatie, de documentatie over het systeem voor kwaliteitsbeheer en de EU-conformiteitsverklaring (Artikel 18, lid 1). Automatisch gegenereerde logs onder uw controle bewaart u minstens zes maanden, tenzij ander recht anders bepaalt. Die plicht hebben de aanbieder (Artikel 19, lid 1) en de gebruiksverantwoordelijke (Artikel 26, lid 6). Voor Bijlage III geldt dit vanaf 2 december 2027, voor AI in een product uit Bijlage I, afdeling A, vanaf 2 augustus 2028.
Start met uw AI Act documentatie
Begin met de gratis risicoscan en ontdek welke documentatie u nodig heeft. AIComplianceHub stelt de documenten van AI-beleid tot FRIA automatisch voor u op.