Een AI-audit uitvoeren in vijf stappen
Hoe voert u een AI-audit uit onder de EU AI Act? Inventariseer uw AI-systemen, bepaal per systeem de risicoklasse en kijk welke stukken daarbij ontbreken.
In het kort
- De AI Act kent geen algemene auditplicht voor organisaties. Met een AI-audit maakt u zelf aantoonbaar hoe u de regels naleeft.
- Een AI-audit voert u zelf uit of besteedt u uit. De conformiteitsbeoordeling bij hoog-risico AI regelt de aanbieder (Artikel 43).
- Begin bij een volledige inventaris. Wat u niet in beeld heeft, kunt u ook niet auditen.
- De gratis risicoscan geeft als vertrekpunt een eerste inschatting van de hoogste risicocategorie in uw AI-gebruik. Per systeem classificeert u in het register.
Wat is een AI-audit?
Een AI-audit is een systematische controle van alle AI-systemen binnen uw organisatie. Het doel is vast te stellen of uw AI-gebruik voldoet aan de eisen van de EU AI Act en andere relevante wet- en regelgeving.
Tijdens een AI-audit worden alle AI-systemen geïnventariseerd en op risico geclassificeerd. Daarna wordt gecontroleerd of de verplichte documentatie, processen en waarborgen aanwezig zijn. Dit omvat onder andere transparantie-eisen, menselijk toezicht, datakwaliteit en non-discriminatie. Of een systeem als hoog-risico telt, hangt af van de functie. Zie ons overzicht van hoog-risico AI-systemen.
Voor Nederlandse organisaties komt daar het toezicht bij. In het wetsvoorstel voor de Uitvoeringswet AI-verordening houdt de Autoriteit Persoonsgegevens toezicht op het grootste deel van de hoog-risico AI uit Bijlage III, naast andere toezichthouders per toepassing.
Bij hoog-risico AI schrijft de AI Act een conformiteitsbeoordeling voor, uit te voeren door de aanbieder (Artikel 16, onder f). Wanneer dat speelt, leest u in de beoordelingsplichten onder de AI Act.
De term wordt ook voor drie andere dingen gebruikt. Sommige bureaus bedoelen met een AI-audit een doorlichting van wat uw AI-tools opleveren aan tijd, kwaliteit en kosten. Dat is een bedrijfskundige vraag die los staat van de AI Act. Zoekt u AI in de accountantscontrole zelf? Dan gaat het over audit-tooling. Daarover leest u meer in de twaalf bouwstenen van de AFM. Wilt u een AI-managementsysteem laten certificeren, dan beoordeelt een externe auditor het tegen ISO/IEC 42001.
Hoe voert u een AI-audit uit?
Een AI-audit bestaat uit vijf stappen. AIComplianceHub ondersteunt stap 1 tot en met 4.
Inventarisatie
Breng alle AI-systemen in kaart die uw organisatie gebruikt of ontwikkelt. Documenteer per systeem het doel, de aanbieder, de gebruikte data en uw rol: maakt u het systeem of zet u het in?
Risicoclassificatie
Bepaal per AI-systeem welke regels gelden: een verbod (Artikel 5), de eisen voor hoog-risico AI via Bijlage I of Bijlage III (Artikel 6) of de transparantieplichten (Artikel 50). Veel systemen vallen onder geen van drieën. Eén systeem kan ook onder twee regimes tegelijk vallen. Een systeem uit Bijlage III is geen hoog-risico als het alleen een beperkte procedurele, verbeterende, patroondetecterende of voorbereidende taak uitvoert, tenzij het profileert (Artikel 6, lid 3).
Gap-analyse
Vergelijk de huidige situatie met de vereisten per risicocategorie. Identificeer ontbrekende documentatie, processen en maatregelen.
Documentatie
Stel de documenten op die voor uw rol en uw systemen gelden. Bij hoog-risico AI hoort daarbij aan wie u het menselijk toezicht opdraagt. Die personen hebben de nodige bekwaamheid, opleiding en autoriteit en krijgen de nodige ondersteuning (Artikel 26, lid 2). Voor bepaalde gebruiksverantwoordelijken van een Bijlage III-systeem komt de grondrechtenbeoordeling erbij (Artikel 27, lid 1). Een aanbieder die een Bijlage III-systeem niet als hoog-risico ziet, legt die beoordeling vast (Artikel 6, lid 4). Deze plichten gelden vanaf 2 december 2027 voor Bijlage III-systemen en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c). Een AI-beleid schrijft de AI Act niet voor. Het is wel de gangbare plek om vast te leggen welk gebruik u toestaat.
Implementatie & monitoring
Voer de benodigde maatregelen door en richt continue monitoring in. Herhaal de audit periodiek om compliant te blijven.
Welke toezichthouder ziet toe op uw AI-systemen?
In het wetsvoorstel voor de Uitvoeringswet AI-verordening is het toezicht verdeeld over meerdere toezichthouders. Welke voor u geldt, hangt af van wat uw AI-systeem doet. Voor werving, onderwijs en de meeste andere toepassingen uit Bijlage III is dat in het voorstel de AP. In het voorstel voert de RDI de taak van centraal contactpunt uit, in mandaat van de minister van Economische Zaken en Klimaat (Artikel 70, lid 2 van de verordening; artikel 2.3 van het wetsvoorstel).
AP + RDI
Coördinerend AI-toezicht (UAIV)AP: verboden AI, transparantie en het grootste deel van Bijlage III, zoals werving en triage
IGJ
Medische hulpmiddelenAI in medische hulpmiddelen en in-vitrodiagnostica (Bijlage I)
DNB + AFM
Financiële instellingenKredietbeoordeling plus risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (Bijlage III, punt 5, onder b en c)
ILT
Infrastructuur en vervoerKritieke infrastructuur, afhankelijk van het domein naast de RDI (Bijlage III, punt 2), plus pleziervaartuigen en kabelbanen (Bijlage I)
NVWA
ConsumentenproductenSpeelgoed, gastoestellen en beschermingsmiddelen voor consumenten (Bijlage I)
NLA
Professionele productenLiften, drukapparatuur en explosieveilig materieel (Bijlage I)
Bron: concept-Uitvoeringswet AI-verordening (UAIV), gepubliceerd voor internetconsultatie 20 april 2026 (consultatie tot 1 juni 2026). Voor de procureur-generaal bij de Hoge Raad en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State geldt een aparte rol bij AI in de rechtspraak.
Bereid uw AI-audit voor met AIComplianceHub
Met AIComplianceHub bereidt u de AI-audit zelf voor, zonder duur adviestraject. Op het platform kunt u:
AI-systemen inventariseren
Centraal register van al uw AI-systemen met automatische risicoclassificatie.
Documentatie genereren
AI-beleid, risicobeoordelingen en transparantieverklaringen.
Auditdossier exporteren
Eén ZIP met uw AI-register, de verplichtingen per systeem, uw documenten, de trainingsstatus en de audit trail van twaalf maanden. Vanaf Core.
Team trainen
E-learning modules over de AI Act met certificaat voor uw medewerkers.
Veelgestelde vragen over AI-audits
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Een AI-audit is een systematische controle van het AI-gebruik binnen uw organisatie. Hierbij wordt beoordeeld of uw AI-systemen voldoen aan de eisen van de EU AI Act, waaronder risicoclassificatie, transparantie, menselijk toezicht en documentatie.
In Nederland stelt het kabinet voor dat de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) samen een coördinerende rol krijgen. Dat staat in de concept-Uitvoeringswet AI-verordening, die nog niet is aangenomen (UAIV, internetconsultatie liep tot 1 juni 2026). Welke toezichthouder uw systeem controleert, hangt in het voorstel vooral af van wat het systeem doet. Het wetsvoorstel wijst de AP aan voor verboden AI, de transparantieplicht en het grootste deel van de hoog-risico AI uit Bijlage III, zoals werving en triage. Zet een financiële instelling AI in voor kredietbeoordeling of voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (Bijlage III, punt 5, onder b en c), dan worden in het voorstel AFM en DNB bevoegd. Buiten de financiële sector is dat de AP. Voor AI in producten blijven de bestaande producttoezichthouders bevoegd, zoals de IGJ voor medische hulpmiddelen.
Nee, niet als algemene plicht. De AI Act verplicht organisaties niet om al hun AI-systemen te classificeren of te auditen. Wel gelden plichten per rol en per systeem: maatregelen voor AI-geletterdheid voor elke aanbieder en gebruiksverantwoordelijke (Artikel 4) en de transparantieplichten uit Artikel 50 voor bepaalde AI-systemen. Voor hoog-risico AI komen daar de plichten van de aanbieder (Artikel 16) en de gebruiksverantwoordelijke (Artikel 26) bij, vanaf 2 december 2027 voor Bijlage III en vanaf 2 augustus 2028 voor AI in een product uit Bijlage I, afdeling A (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c). Een aanbieder die vindt dat zijn Bijlage III-systeem geen hoog risico inhoudt, legt die beoordeling vast voordat hij het systeem in de handel brengt of in gebruik stelt. Die plicht geldt vanaf 2 december 2027 (Artikel 6, lid 4). Een audit is de praktische manier om na te gaan welke plichten voor u gelden en of u ze naleeft.
Iedereen mag dat: uw eigen organisatie, een adviesbureau of een certificerende instelling. Een vrijwillige AI-audit is wettelijk geen conformiteitsbeoordeling. Die regelt bij hoog-risico AI de aanbieder (Artikel 16, onder f). Voor de meeste systemen uit Bijlage III doet hij dat zelf, via de interne controle van Bijlage VI (Artikel 43, lid 2). Soms is een aangemelde instantie nodig (Artikel 43, lid 1 en 3). De Commissie maakt de lijst van aangemelde instanties openbaar (Artikel 35, lid 2).
Hij legt uw AI-gebruik naast een normenkader en rapporteert per systeem wat ontbreekt. Dat kader kan de AI Act zelf zijn. Wilt u een AI-managementsysteem laten certificeren, dan is het ISO/IEC 42001. Een auditor vraagt om uw AI-register, de risicoclassificatie per systeem en de documenten die bij uw rol horen. Bij hoog-risico AI kijkt hij ook naar de logs (Artikel 12, Artikel 19 en Artikel 26, lid 6) en naar wie het menselijk toezicht uitvoert (Artikel 26, lid 2). Die rol kan uw eigen auditafdeling vervullen, een adviesbureau of de auditor van een certificerende instelling.
Een audit-trail is de reeks logs die laat zien wat een AI-systeem wanneer deed. Een hoog-risico AI-systeem moet zo zijn ontworpen dat het gebeurtenissen automatisch registreert (Artikel 12, lid 1). De aanbieder en de gebruiksverantwoordelijke bewaren de logs die onder hun eigen controle vallen ten minste zes maanden, tenzij ander recht zoals de AVG iets anders bepaalt (Artikel 19 lid 1 en Artikel 26 lid 6). Die plichten gelden voor Bijlage III-systemen vanaf 2 december 2027 en voor AI in een product uit Bijlage I, afdeling A, vanaf 2 augustus 2028 (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c). Bij een AI-audit zijn die logs het startpunt om na te gaan hoe het systeem werkte.
Een vaste auditfrequentie staat niet in de wet. Bij hoog-risico AI loopt het werk wel door na de eerste controle: de gebruiksverantwoordelijke monitort de werking doorlopend (Artikel 26, lid 5) en werkt een grondrechtenbeoordeling bij als die niet meer klopt (Artikel 27, lid 2). Een substantiële wijziging vraagt een nieuwe conformiteitsbeoordeling (Artikel 43, lid 4). Jaarlijks een audit en een extra ronde bij grote wijzigingen is een praktisch ritme. AIComplianceHub biedt een governance-module met kwartaalcheck die u hieraan herinnert.
Een externe AI-audit is maatwerk. De prijs hangt af van het aantal systemen en van de vraag of er hoog-risico AI tussen zit. Met AIComplianceHub bereidt u de audit zelf voor: risicoclassificatie, documentatie en een compliance score die laat zien waar u staat. Vanaf 99 euro per maand, exclusief btw.
Een audit overslaan is zelf geen overtreding. De boete hangt af van welke verplichting u schendt. Voor een overtreding van een verbod uit Artikel 5 is het maximum 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, als dat hoger is (Artikel 99, lid 3). Voor de plichten van aanbieders en gebruiksverantwoordelijken van hoog-risico AI (Artikel 16 en 26) en voor de transparantieplichten uit Artikel 50 is dat tot 15 miljoen euro of 3 procent (Artikel 99, lid 4). Voor MKB-bedrijven, inclusief start-ups, geldt het laagste van de twee bedragen (Artikel 99, lid 6). Voor kleine midcapondernemingen geldt dat bij de boetes uit lid 4 en lid 5 (Artikel 99, lid 6 bis). Daarnaast riskeert u reputatieschade en het vertrouwen van klanten.
Een AI-audit is een interne of externe controle of uw AI-gebruik op orde is. Een conformiteitsbeoordeling (Artikel 43) is een formele procedure die de aanbieder van een hoog-risico AI-systeem laat uitvoeren voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld (Artikel 16, onder f). Meestal doet de aanbieder dat zelf via interne controle (Artikel 43, lid 2). Een aangemelde instantie komt in beeld bij biometrie (Bijlage III, punt 1) als de aanbieder de geharmoniseerde normen voor de Artikelen 8 tot en met 15 niet of maar gedeeltelijk heeft toegepast, of als die normen er nog niet zijn (Artikel 43, lid 1). Datzelfde geldt voor AI in producten uit Bijlage I, afdeling A, als de productwetgeving een keuring door een derde partij voorschrijft. Staat die wetgeving een keuring zonder derde partij toe voor wie geharmoniseerde normen toepast, dan geldt die route voor het AI-systeem alleen als de fabrikant ook voor alle eisen uit de Artikelen 8 tot en met 15 geharmoniseerde normen of gemeenschappelijke specificaties heeft toegepast (Artikel 43, lid 3). Organisaties die AI alleen inzetten, hebben eigen plichten uit Artikel 26.
Start uw AI-audit vandaag
Ontdek met de gratis risicoscan waar uw organisatie staat, of probeer het volledige platform.