Wat is AI compliance en hoe regelt u het?
Wat moet u regelen om uw AI-gebruik aantoonbaar binnen de wet te houden? Het begint bij een lijst van de AI-systemen in uw organisatie en een risicoklasse per systeem. Daaruit volgt wat er verder nodig is onder de EU AI Act (de AI-verordening), de AVG en de regels van uw sector.
In het kort
- AI compliance is het geheel aan maatregelen waarmee u aantoont dat uw AI-gebruik voldoet aan wet en richtlijnen.
- De vijf pijlers: governance, AI-geletterdheid, risicomanagement, documentatie en monitoring.
- Hoofdkaders zijn de EU AI Act (Verordening 2024/1689) en de AVG. Sectorale regels en ISO 42001 versterken het geheel.
- Boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde omzet bij verboden AI-praktijken (Artikel 99 lid 3).
- Een werkbare aanpak begint met inventarisatie en risicoclassificatie, niet met een compliance-document van 80 pagina's.
Wat is AI compliance?
AI compliance is het geheel aan beleid, processen, documentatie en controles waarmee een organisatie aantoont dat haar AI-gebruik voldoet aan toepasselijke wetgeving en aan eigen interne richtlijnen. In Europa staat de EU AI Act centraal, maar AVG, sectorale regels en arbeidsrecht horen er net zo goed bij.
Een AI-systeem verandert: nieuwe versies, nieuwe data, nieuwe gebruiksdoelen. AI compliance is dus een doorlopend proces met governance, monitoring en een periodieke AI-audit.
Waarom AI compliance nu telt
Wet
Sinds 2 februari 2025 gelden Artikel 4 (AI-geletterdheid) en Artikel 5 (verboden praktijken) van de AI Act direct. Vanaf 2 december 2026 gelden er twee verboden bij (Artikel 5 lid 1, onder b bis en b ter). Wachten op latere deadlines is geen optie meer voor deze twee onderdelen.
Boetes
Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet bij overtreding van het verbod uit Artikel 5. Tot 15 miljoen of 3% bij overtreding van de plichten die Artikel 99 lid 4 opsomt, zoals die van aanbieders (Art. 16), gebruiksverantwoordelijken (Art. 26) en de transparantieplichten van Artikel 50. Een AI Act-boete kan naast een AVG-boete komen. Bij de hoogte weegt de toezichthouder mee welke boetes voor hetzelfde handelen al op grond van ander recht zijn opgelegd (Artikel 99 lid 7, onder c). Voor het MKB geldt telkens het laagste van de twee bedragen (Artikel 99 lid 6). Voor kleine midcapondernemingen geldt dat sinds de Digital Omnibus ook, behalve bij verboden AI-praktijken (Artikel 99 lid 6 bis). De Nederlandse boeteregeling volgt met de Uitvoeringswet AI-verordening. Het kabinet plant de indiening daarvan in het tweede kwartaal van 2027.
Toezicht
De Autoriteit Persoonsgegevens publiceert regelmatig onderzoeken naar AI in HR, onderwijs en de publieke sector. Lees het RAN-6 rapport voor recente bevindingen.
Reputatie
Een falende AI-toepassing in HR, finance of klantcommunicatie haalt veel sneller het nieuws dan een datalek. Compliance is mede risicobeheer voor uw merk.
Klanten en B2B-eisen
Inkopers vragen steeds vaker om AI-due-diligence: hoe gaat u om met AI, welk beleid, welke controles?
De vijf pijlers van AI compliance
Governance
Heldere rolverdeling, een AI-beleid en besluitvorming over wat wel en niet mag. Lees meer in AI Governance of AI-beleid opstellen.
AI-geletterdheid
Verplicht onder Artikel 4 lid 1 sinds 2 februari 2025: maatregelen die de AI-geletterdheid ondersteunen van uw personeel en van anderen die namens u met AI werken. Een training is daarvoor de gangbare vorm. Welke maatregel u kiest, laat de wet aan u. Zie AI-geletterdheid.
Risicomanagement
AI-inventaris, risicoclassificatie en passende beheersmaatregelen per systeem. Verwerkt een systeem persoonsgegevens, dan komt de AVG erbij: de vraag of een DPIA nodig is hoort op dezelfde regel als de AI Act-classificatie (Artikel 35 AVG). Zie AI-risicoanalyse en AI-inventaris.
Documentatie
Voor hoog-risico systemen: technische documentatie en een conformiteitsbeoordeling als u aanbieder bent (Artikel 11 en 43), en een FRIA als Artikel 27 dat van u als gebruiksverantwoordelijke vraagt. Transparantie-informatie waar Artikel 50 geldt. Zie AI Act documentatie.
Monitoring en incidentmanagement
Logging, periodieke evaluatie van prestatie en bias, incident-meldprocedures en post-market monitoring.
AI compliance en gerelateerde kaders
De AI Act staat centraal. De andere kaders dekken elk een eigen deel.
EU AI Act
De wettelijke hoofdverplichting in Europa. Risicogebaseerde aanpak, vier risiconiveaus en gefaseerde deadlines van 2025 tot en met 2028 (Artikel 113), met langere overgangstermijnen voor bestaande systemen (Artikel 111). Zie EU AI Act-gids.
AVG / GDPR
Verplicht zodra persoonsgegevens betrokken zijn. Veel AI-systemen vallen onder beide. Lees AI Act en AVG: het verschil.
ISO/IEC 42001
Internationale norm voor een AI-managementsysteem. Geen wet, wel een erkend kader. Zie ISO 42001.
NIST AI RMF
Amerikaanse risicoraamwerk, vrijwillig maar invloedrijk. Past goed naast AI Act voor technische teams.
Sectorale regels
MDR/IVDR (zorg), Solvency II (verzekeren), DORA (finance), arbeidsrecht (HR). Sectoren hebben extra verplichtingen bovenop de AI Act.
Hoe begint u met AI compliance?
Inventariseer al uw AI-systemen
Inclusief AI-functies in bestaande software die u over het hoofd ziet. Onze gratis risicoscan levert dit overzicht.
Classificeer per systeem
Verboden, hoog, beperkt of minimaal risico. Samen met uw rol, aanbieder of gebruiksverantwoordelijke, bepaalt dat wat er moet gebeuren.
Bevorder de AI-geletterdheid van uw mensen
Overal in de organisatie. Artikel 4 vraagt maatregelen, rekening houdend met kennis, ervaring, opleiding en gebruikscontext. Leg vast wat u doet, zodat u het later kunt laten zien.
Stel beleid en governance op
Wie mag welke AI gebruiken, voor welk doel, met welk toezicht? Vastleggen in een AI-beleid.
Documenteer hoog-risico systemen
Als aanbieder: technische documentatie (Artikel 11) en een conformiteitsbeoordeling (Artikel 43). Als gebruiksverantwoordelijke: de plichten van Artikel 26 en waar nodig een FRIA (Artikel 27). Voor systemen uit Bijlage III gelden deze eisen vanaf 2 december 2027. Zie hoog-risico AI.
Richt monitoring in
Logging, periodieke review, incidentmeldingen.
Een uitgebreide checklist staat op de AI Act checklist.
Spreadsheet of platform?
Een AI-managementsysteem in spreadsheets en gedeelde mappen werkt op kleine schaal. Zodra u meer dan een handvol AI-systemen heeft, of zodra een toezichthouder vraagt om aantoonbaarheid, loopt die aanpak vast. Een dedicated platform combineert AI-register, risicoanalyse, documentgeneratie en e-learning op een plek.
Onze eigen oplossing is AIComplianceHub, AI compliance software in het Nederlands. Het platform brengt alle vijf pijlers samen in één werkstroom en wordt bijgewerkt wanneer de regelgeving verandert. De plannen staan bij de prijzen.
AI compliance per sector
De AI Act geldt overal, maar de invulling verschilt per branche. Hieronder de sectoren waar hoog-risico AI-toepassingen het vaakst voorkomen.
Zorg
MDR/IVDR plus AI Act voor medische AI
Financiële dienstverlening
Kredietbeoordeling, levens- en ziektekostenverzekering, DNB/AFM-toezicht
HR en werving
CV-screening en discriminatie-risico
Onderwijs
Toelating, beoordeling en proctoring (Bijlage III punt 3)
Overheid
Algoritmeregister en FRIA
Alle sectoren →Veelgestelde vragen over AI compliance
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
AI compliance is het geheel van maatregelen waarmee een organisatie aantoont dat haar AI-gebruik voldoet aan wet- en regelgeving en aan eigen interne richtlijnen. In de EU draait het primair om de AI Act, maar AVG, sectorregels (zoals MDR voor medische AI) en arbeidsrechtelijke kaders zijn even belangrijk.
Sinds 2 februari 2025 zijn de eerste AI Act-verplichtingen van kracht: AI-geletterdheid (Art. 4) en het verbod op acht AI-praktijken (Art. 5). Vanaf 2 december 2026 komen daar twee verboden bij (Artikel 5 lid 1, onder b bis en b ter). Wie een verboden praktijk toepast, riskeert tot 35 miljoen euro of 7% van de wereldwijde jaaromzet (Artikel 99 lid 3); voor het MKB geldt het laagste van de twee (lid 6). Daarnaast zien we toezichthouders zoals de Autoriteit Persoonsgegevens al actief onderzoek doen naar HR-AI en algoritmes in de publieke sector.
GDPR en AVG gaan over persoonsgegevens: wie welke gegevens over een persoon mag verwerken. AI compliance gaat over het AI-systeem zelf, dus hoe het is gebouwd, getest, gedocumenteerd en gemonitord. De twee overlappen veel, vooral bij geautomatiseerde besluitvorming (Art. 22 AVG). Toch vervangt de een de ander nooit: een AI-systeem kan aan de AVG voldoen en tegelijk in strijd zijn met de AI Act.
ISO/IEC 42001:2023 is een internationale norm voor een AI-managementsysteem. Het is geen wet, maar wel een erkend kader dat helpt bij het structureren van AI compliance. Een organisatie met ISO 42001 voldoet niet automatisch aan de AI Act, maar heeft wel een sterke governance-basis.
Typisch: een eindverantwoordelijke (vaak directie of CTO), een AI-officer of compliance-officer (een organisatiekeuze: de AI Act verplicht zo'n functie niet), de FG/DPO voor het AVG-vlak, een security-officer en operationele eigenaren per AI-systeem. In een kleinere organisatie combineert een persoon meerdere rollen. Leg per rol vast wie waarvoor verantwoordelijk is.
Begin met inventariseren: welke AI-systemen worden in uw organisatie gebruikt of ontwikkeld? Onze gratis 5-minuten risicoscan geeft direct een eerste classificatie. Vervolgens: AI-beleid opstellen, aantoonbaar aan AI-geletterdheid werken en de hoog-risico-systemen prioriteren voor documentatie en monitoring.
Sterk afhankelijk van de schaal en het type AI. Voor MKB met enkele AI-toepassingen begint u bij AIComplianceHub gratis; de betaalde pakketten beginnen bij €99 per maand. Een externe consultant kost typisch 150-300 euro per uur. Bent u aanbieder van een hoog-risico systeem onder Bijlage III, dan is het substantieel meer werk: technische documentatie (Artikel 11), een conformiteitsbeoordeling (Artikel 43) en monitoring na het in de handel brengen (Artikel 72). Zet u zo'n systeem alleen in, dan gelden de plichten van Artikel 26 en in sommige gevallen een FRIA (Artikel 27).
Ja. Als u AI-tools inkoopt en in uw bedrijfsvoering inzet, bent u deployer (gebruiksverantwoordelijke). Als gebruiksverantwoordelijke neemt u maatregelen die de AI-geletterdheid ondersteunen van uw personeel en van anderen die namens u met AI-systemen werken (Artikel 4 lid 1). Waar van toepassing geldt ook de transparantieplicht (Artikel 50). Gebruikt u hoog-risico AI uit Bijlage III, dan komen daar vanaf 2 december 2027 onder meer menselijk toezicht en monitoring bij (Artikel 26). De leverancier dekt het provider-deel, niet uw deployer-verplichtingen.
Nee. AI compliance gaat over de vraag of uw eigen AI-gebruik aan de regels voldoet. AI in compliance gaat over AI-tools die een complianceafdeling helpen, bijvoorbeeld bij het doorzoeken van regelgeving of het signaleren van verdachte transacties. Zo'n tool is zelf ook een AI-systeem, dus zet u hem net als de rest in uw overzicht, met een eigen risicoklasse.
Begin met de gratis risicoscan
Na het invullen ziet u welke compliance-stappen voor uw organisatie als eerste tellen, zonder dat u een account aanmaakt.