Deels. U kent de mechaniek van een impactbeoordeling, u weet hoe een register wordt bijgehouden en u bent gewend aan een toezichthouder die om bewijs vraagt. Maar de AI Act meet langs een andere as dan de AVG en een deel van de verplichtingen raakt persoonsgegevens helemaal niet. Hieronder staat wat aansluit op wat u al doet en wat niet.
De AVG kijkt naar de verwerking van persoonsgegevens. De AI Act kijkt naar het systeem en naar wat het doet. Die twee assen kruisen elkaar voortdurend, maar ze vallen nergens samen. Dat verklaart waarom u vier bekende instrumenten in een nieuwe vorm terugziet.
Per verwerking vastleggen welke gegevens u verwerkt, waarvoor en op welke grondslag.
Per AI-systeem vastleggen wat het doet, welke risicoklasse het heeft en of u aanbieder of gebruiksverantwoordelijke bent. Eén verwerking kan drie AI-systemen bevatten en één AI-systeem raakt vaak meerdere verwerkingen.
Beoordeling vooraf van de risico's van een verwerking voor de rechten en vrijheden van betrokkenen.
Beoordeling vooraf van de gevolgen van één hoog-risicosysteem voor de grondrechten. Geldt voor een smallere groep dan de DPIA en de uitkomst gaat naar de markttoezichthouder in plaats van naar de AP.
Een besluit uitsluitend op geautomatiseerde verwerking mag alleen onder voorwaarden, met recht op menselijke tussenkomst.
Bij hoog-risico AI wijst u natuurlijke personen aan die het toezicht uitvoeren, met de bevoegdheid en de kennis om in te grijpen. Dit geldt ook als het systeem alleen adviseert en een mens formeel beslist.
Betrokkenen weten wie hun gegevens verwerkt, waarvoor en hoe lang.
Mensen weten dat ze met AI praten en AI-gegenereerde content is als zodanig herkenbaar. Deze plicht hangt niet aan persoonsgegevens: een chatbot zonder enige persoonsgegevensverwerking valt er ook onder.
Dit staat met zoveel woorden in de wet. Heeft u al een gegevensbeschermingseffectbeoordeling gedaan onder Artikel 35 AVG, dan mag u in de grondrechtentoets kruisverwijzen naar de relevante delen daarvan, of die delen er letterlijk in overnemen (Artikel 27 lid 4, verruimd door de Digital Omnibus in juli 2026). Er is dus geen keuze tussen de twee. Dubbel werk is evenmin nodig: de beschrijving van het systeem, de context en de groepen betrokkenen schrijft u één keer.
Drie verschillen blijven wél staan. De FRIA raakt een smallere groep organisaties dan de DPIA. Hij kijkt naar álle grondrechten, niet alleen naar gegevensbescherming. En de uitkomst gaat naar demarkttoezichthouder, niet naar de Autoriteit Persoonsgegevens (Artikel 27 lid 3). Werkt u bij een overheid en heeft u een IAMA liggen, dan heeft u een flink deel van de inhoud al staan.
Wanneer Artikel 27 op u van toepassing isHier zit het werk dat het langst blijft liggen, omdat er geen bestaande routine voor bestaat waar het vanzelf in valt.
Iedereen die namens de organisatie met AI werkt, moet aantoonbaar voldoende kennis hebben van wat die AI doet en waar hij de mist in gaat (Artikel 4). Dit is een organisatieplicht, geen vinkje per systeem. Er hangt geen risicoklasse aan: ook de marketeer met ChatGPT valt eronder.
Acht categorieën AI zijn verboden (Artikel 5), ongeacht toestemming of grondslag. Emotieherkenning op de werkvloer staat erbij. Dat is geen afweging die u met een DPIA goedpraat; het is een streep.
Uw verplichtingen hangen aan uw rol. Die kan kantelen. Bouwt u een ingekocht model om tot iets met een ander beoogd doel, of zet u uw naam op het resultaat, dan wordt u aanbieder met een veel zwaarder pakket.
Wie geraakt wordt door een besluit op basis van een hoog-risicosysteem uit Bijlage III, kan een heldere uitleg vragen over de rol van dat systeem in het besluit (Artikel 86). Dat lijkt op Artikel 22 AVG, maar het staat los van de vraag of er persoonsgegevens in het spel zijn.
De transparantieplicht van Artikel 50 geldt sinds 2 augustus 2026. De zware verplichtingen voorhoog-risicosystemen uit Bijlage III gelden vanaf 2 december 2027. Die laatste datum schoof in juli 2026 op via de Digital Omnibus, dus een planning van vóór die tijd klopt niet meer.
Niet volgens de wet. De AI Act kent geen tegenhanger van de FG en verplicht niemand tot het aanstellen van een AI-functionaris. De verplichtingen liggen bij de organisatie, in de rol van aanbieder of gebruiksverantwoordelijke. Dat het dossier toch bij u belandt, komt doordat u het aangrenzende werk al doet.
Twee dingen zijn het benoemen waard voordat u het aanneemt. De AI Act vraagt inhoudelijke kennis van de systemen zelf, dus u heeft de eigenaar van het systeem en vaak ook de leverancier nodig. En de onafhankelijke positie die de AVG u geeft, wringt zodra u meebeslist over de inzet van AI in plaats van erop toe te zien. Leg die rolverdeling vast voordat de eerste toezichtsvraag binnenkomt.
Wie er in Nederland toezicht houdt, ligt nog niet vast. Het voorstel voor de Uitvoeringswet AI-verordening verdeelt het toezicht over tien bestaande toezichthouders, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen in de coördinerende rol. De internetconsultatie sloot op 1 juni 2026 en de wet is nog niet aangenomen. De verordening werkt intussen rechtstreeks door.
Het oordeel blijft van u. Het registratiewerk, de documentatie en het bewijsspoor eronder hoeven dat niet te zijn.
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Nee. De AI Act kent geen equivalent van de FG en verplicht organisaties niet om een AI-functionaris aan te stellen. De wet legt verplichtingen bij de organisatie als aanbieder of gebruiksverantwoordelijke. Het werk landt vaak bij de FG omdat die de aangrenzende dossiers al doet, maar dat is een organisatiekeuze en geen wettelijke aanwijzing.
Nee. Artikel 27 lid 4 laat u kruisverwijzingen naar de relevante delen van de DPIA opnemen in de FRIA, of die delen er letterlijk in overnemen. De Digital Omnibus heeft dat lid in juli 2026 op dat punt verruimd. Ze staan naast elkaar. U mag ze wel in één traject uitvoeren, want de beschrijving van het systeem, de context en de betrokkenen is dezelfde.
Nee. Artikel 27 raakt publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, plus elke gebruiksverantwoordelijke van AI voor kredietwaardigheidsbeoordeling (Bijlage III punt 5(b)) en voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (punt 5(c)). Publiekrechtelijk orgaan is ruimer dan overheid: een academisch ziekenhuis, een onderwijsinstelling of een publieke omroep kan er ook onder vallen. Een private werkgever met een AI-wervingstool valt er niet onder.
Ja. Dat is het grootste verschil met de AVG. De transparantieplicht van Artikel 50 hangt aan het systeem, niet aan de gegevens. Een chatbot die uitsluitend over productspecificaties gaat, moet zich alsnog als AI bekendmaken.
Dat ligt nog niet vast. Het kabinet verdeelt het toezicht in het voorstel voor de Uitvoeringswet AI-verordening over tien bestaande toezichthouders, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen in de coördinerende rol. De internetconsultatie sloot op 1 juni 2026; de wet is nog niet aangenomen. De verordening werkt intussen rechtstreeks, dus de verplichtingen gelden ook zonder die uitvoeringswet.
De gratis risicoscan brengt in vijf minuten in kaart welke AI er draait, wat er per systeem geldt en waar u nu staat. Geen account, geen creditcard.
