Deels. U kent de mechaniek van een impactbeoordeling, u weet hoe een register wordt bijgehouden en u bent gewend aan een toezichthouder die om bewijs vraagt. Maar de AI Act meet langs een andere as dan de AVG, en een deel van de verplichtingen heeft niets met persoonsgegevens te maken. Hieronder staat wat aansluit op wat u al doet, en wat niet.
De AVG kijkt naar de verwerking van persoonsgegevens. De AI Act kijkt naar het systeem en naar wat het doet. Die twee assen kruisen elkaar voortdurend, maar ze vallen nergens samen. Dat verklaart waarom u vier bekende instrumenten in een nieuwe vorm terugziet.
Per verwerking vastleggen welke gegevens u verwerkt, waarvoor en op welke grondslag.
Per AI-systeem vastleggen wat het doet, welke risicoklasse het heeft en of u aanbieder of gebruiksverantwoordelijke bent. Eén verwerking kan drie AI-systemen bevatten, en één AI-systeem raakt vaak meerdere verwerkingen.
Beoordeling vooraf van de risico's van een verwerking voor de rechten en vrijheden van betrokkenen.
Beoordeling vooraf van de gevolgen van één hoog-risicosysteem voor de grondrechten. Geldt voor een smallere groep dan de DPIA, en de uitkomst gaat naar de markttoezichthouder in plaats van naar de AP.
Een besluit uitsluitend op geautomatiseerde verwerking mag alleen onder voorwaarden, met recht op menselijke tussenkomst.
Bij hoog-risico AI wijst u natuurlijke personen aan die het toezicht uitvoeren, met de bevoegdheid en de kennis om in te grijpen. Dit geldt ook als het systeem alleen adviseert en een mens formeel beslist.
Betrokkenen weten wie hun gegevens verwerkt, waarvoor en hoe lang.
Mensen weten dat ze met AI praten, en AI-gegenereerde content is als zodanig herkenbaar. Deze plicht hangt niet aan persoonsgegevens: een chatbot zonder enige persoonsgegevensverwerking valt er ook onder.
Dit staat met zoveel woorden in de wet. Is een verplichting uit Artikel 27 al ingevuld via de gegevensbeschermingseffectbeoordeling onder Artikel 35 AVG, dan vult de grondrechtentoets die beoordeling aan (Artikel 27 lid 4). Er is dus geen keuze tussen de twee, en er is ook geen dubbel werk nodig: de beschrijving van het systeem, de context en de groepen betrokkenen schrijft u één keer.
Drie verschillen blijven wél staan. De FRIA raakt een smallere groep organisaties dan de DPIA. Hij kijkt naar álle grondrechten, niet alleen naar gegevensbescherming. En de uitkomst gaat naar de markttoezichthouder, niet naar de Autoriteit Persoonsgegevens (Artikel 27 lid 3). Werkt u bij een overheid en heeft u een IAMA liggen, dan heeft u een flink deel van de inhoud al staan.
Wanneer Artikel 27 op u van toepassing isHier zit het werk dat het langst blijft liggen. Niet omdat het moeilijk is, maar omdat er geen bestaande routine voor bestaat waar het vanzelf in valt.
Iedereen die namens de organisatie met AI werkt, moet aantoonbaar voldoende kennis hebben van wat die AI doet en waar hij de mist in gaat (Artikel 4). Dit is een organisatieplicht, geen vinkje per systeem, en er hangt geen risicoklasse aan: ook de marketeer met ChatGPT valt eronder.
Acht categorieën AI zijn simpelweg verboden (Artikel 5), ongeacht toestemming of grondslag. Emotieherkenning op de werkvloer staat erbij. Dat is geen afweging die u met een DPIA goedpraat; het is een streep.
Uw verplichtingen hangen aan uw rol, en die kan kantelen. Bouwt u een ingekocht model om tot iets met een ander beoogd doel, of zet u uw naam op het resultaat, dan wordt u aanbieder met een veel zwaarder pakket.
Wie geraakt wordt door een besluit op basis van een hoog-risicosysteem uit Bijlage III, kan een heldere uitleg vragen over de rol van dat systeem in het besluit (Artikel 86). Dat lijkt op Artikel 22 AVG, maar het staat los van de vraag of er persoonsgegevens in het spel zijn.
De transparantieplicht van Artikel 50 geldt sinds 2 augustus 2026. De zware verplichtingen voor hoog-risicosystemen uit Bijlage III gelden vanaf 2 december 2027. Die laatste datum schoof in juli 2026 op via de Digital Omnibus, dus een planning van vóór die tijd klopt niet meer.
Niet volgens de wet. De AI Act kent geen tegenhanger van de FG en verplicht niemand tot het aanstellen van een AI-functionaris. De verplichtingen liggen bij de organisatie, in de rol van aanbieder of gebruiksverantwoordelijke. Dat het dossier toch bij u belandt, komt doordat u het aangrenzende werk al doet.
Twee dingen zijn het benoemen waard voordat u het aanneemt. De AI Act vraagt inhoudelijke kennis van de systemen zelf, dus u heeft de eigenaar van het systeem en vaak ook de leverancier nodig. En de onafhankelijke positie die de AVG u geeft, wringt zodra u meebeslist over de inzet van AI in plaats van erop toe te zien. Leg die rolverdeling vast voordat de eerste toezichtsvraag binnenkomt.
Wie er in Nederland toezicht houdt, ligt nog niet vast. Het voorstel voor de Uitvoeringswet AI-verordening verdeelt het toezicht over tien bestaande toezichthouders, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen in de coördinerende rol. De internetconsultatie sloot op 1 juni 2026 en de wet is nog niet aangenomen. De verordening werkt intussen rechtstreeks door.
Het oordeel blijft van u. Het registratiewerk, de documentatie en het bewijsspoor eronder hoeven dat niet te zijn.
Nee. De AI Act kent geen equivalent van de FG en verplicht organisaties niet om een AI-functionaris aan te stellen. De wet legt verplichtingen bij de organisatie als aanbieder of gebruiksverantwoordelijke. In de praktijk landt het werk vaak bij de FG omdat die de aangrenzende dossiers al doet, maar dat is een organisatiekeuze en geen wettelijke aanwijzing.
Nee. Artikel 27 lid 4 zegt het expliciet: is een verplichting uit dat artikel al ingevuld via de DPIA onder Artikel 35 AVG, dan vult de FRIA die DPIA aan. Ze staan naast elkaar. U mag ze wel in één traject uitvoeren, want de beschrijving van het systeem, de context en de betrokkenen is dezelfde.
Nee. Artikel 27 raakt publiekrechtelijke organen en particuliere organisaties die publieke diensten leveren, plus elke gebruiksverantwoordelijke van AI voor kredietwaardigheidsbeoordeling (Bijlage III punt 5(b)) en voor risicobeoordeling of prijsstelling bij levens- en ziektekostenverzekeringen (punt 5(c)). Een private werkgever met een AI-wervingstool valt er niet onder.
Ja. Dat is het grootste verschil met de AVG. De transparantieplicht van Artikel 50 hangt aan het systeem, niet aan de gegevens. Een chatbot die uitsluitend over productspecificaties gaat, moet zich alsnog als AI bekendmaken.
Dat ligt nog niet vast. Het kabinet verdeelt het toezicht in het voorstel voor de Uitvoeringswet AI-verordening over tien bestaande toezichthouders, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen in de coördinerende rol. De internetconsultatie sloot op 1 juni 2026; de wet is nog niet aangenomen. De verordening werkt intussen rechtstreeks, dus de verplichtingen gelden ook zonder die uitvoeringswet.
De gratis risicoscan brengt in vijf minuten in kaart welke AI er draait, wat er per systeem geldt en waar u nu staat. Geen account, geen creditcard.
