De AI Act voor de functionaris gegevensbescherming
Krijgt u als FG de AI Act op uw bureau? Dat is deels logisch. U kent de mechaniek van een impactbeoordeling, u weet hoe een register wordt bijgehouden en u bent gewend aan een toezichthouder die om bewijs vraagt. Maar de AI Act meet langs een andere as dan de AVG en een deel van de verplichtingen raakt persoonsgegevens helemaal niet. Het verwerkingsregister, de DPIA, Artikel 22 en de informatieplicht krijgen in de AI-praktijk elk iets ernaast: het AI-register en drie bepalingen uit de AI Act. Vier plichten vallen buiten uw AVG-routine: AI-geletterdheid, verboden praktijken, rolbepaling en het recht op uitleg.
Vier AVG-instrumenten en hun AI-tegenhanger
De AVG kijkt naar de verwerking van persoonsgegevens. De AI Act kijkt naar het systeem en naar wat het doet. Die twee assen kruisen elkaar voortdurend, maar ze vallen nergens samen. Dat verklaart waarom u vier bekende instrumenten in een nieuwe vorm terugziet.
Verwerkingsregister (Artikel 30 AVG)
Per verwerking vastleggen welke gegevens u verwerkt, waarvoor en met wie u ze deelt.
AI-register
Een intern AI-register is geen zelfstandige wettelijke plicht; Artikel 49 gaat over registratie in de EU-databank. Het is wel de plek waar u per AI-systeem vastlegt wat het doet, welke risicoklasse het heeft en of u aanbieder of gebruiksverantwoordelijke bent. Eén verwerking kan drie AI-systemen bevatten en één AI-systeem raakt vaak meerdere verwerkingen. In ons register legt u per systeem ook de AVG-kant vast: persoonsgegevens, bijzondere categorieën, bewaartermijn en doorgifte buiten de EER.
DPIA (Artikel 35 AVG)
Beoordeling vooraf van de risico's van een verwerking voor de rechten en vrijheden van betrokkenen.
FRIA (Artikel 27 AI Act)
Beoordeling vooraf van de gevolgen van één hoog-risicosysteem voor de grondrechten. Geldt voor een smallere groep dan de DPIA. De uitkomst gaat naar de markttoezichthouder onder de AI Act (Artikel 27 lid 3). In het concept van de Uitvoeringswet AI-verordening is dat voor de meeste Bijlage III-systemen de AP, in die rol en los van haar taak als AVG-toezichthouder. Dat concept ligt nog niet bij de Tweede Kamer; indiening staat gepland in het tweede kwartaal van 2027. Hangt het systeem van een bank of verzekeraar rechtstreeks samen met haar financiële diensten, zoals kredietbeoordeling, dan is dat de financiële toezichthouder (Artikel 74 lid 6).
Geautomatiseerde besluitvorming (Artikel 22 AVG)
Een besluit dat uitsluitend op geautomatiseerde verwerking berust en iemand rechtsgevolgen geeft of anderszins in aanmerkelijke mate treft, mag alleen in de gevallen van lid 2. Bij een overeenkomst of uitdrukkelijke toestemming heeft de betrokkene recht op menselijke tussenkomst (lid 3).
Menselijk toezicht (Artikel 26 lid 2 AI Act)
Bij hoog-risico AI draagt u het menselijk toezicht op aan natuurlijke personen met de nodige bekwaamheid, opleiding en autoriteit, en u geeft hun de ondersteuning die ze nodig hebben (Artikel 26 lid 2). Dit geldt ook als het systeem alleen adviseert en een mens formeel beslist.
Informatieplicht (Artikelen 13 en 14 AVG)
Betrokkenen weten wie hun gegevens verwerkt, waarvoor en hoe lang.
Transparantie (Artikel 50 AI Act)
De aanbieder van een chatbot zorgt dat mensen weten dat ze met AI praten, tenzij dat al duidelijk is (lid 1). Deepfakes worden bekendgemaakt, net als AI-tekst over aangelegenheden van algemeen belang, tenzij een mens die tekst heeft getoetst en iemand er redactionele verantwoordelijkheid voor draagt (lid 4). Deze plicht hangt niet aan persoonsgegevens: een chatbot zonder enige persoonsgegevensverwerking valt er ook onder.
De FRIA staat naast uw DPIA
Artikel 27 lid 4 regelt hoe de twee op elkaar aansluiten. Heeft u al een gegevensbeschermingseffectbeoordeling gedaan onder Artikel 35 AVG, dan mag u in de grondrechtentoets kruisverwijzen naar de relevante delen daarvan, of die delen er letterlijk in overnemen (Artikel 27 lid 4, verruimd door de Digital Omnibus in juli 2026). Er is dus geen keuze tussen de twee. Dubbel werk is evenmin nodig: de beschrijving van het systeem, de context en de groepen betrokkenen schrijft u één keer.
Drie verschillen blijven wél staan. De FRIA raakt een smallere groep organisaties dan de DPIA. Hij kijkt naar álle grondrechten, niet alleen naar gegevensbescherming. En de uitkomst gaat naar de markttoezichthouder onder de AI Act (Artikel 27 lid 3), niet naar de AVG-toezichthouder. In het concept van de Uitvoeringswet AI-verordening is dat voor de meeste Bijlage III-systemen wel de AP, in haar rol als AI-markttoezichthouder. Dat concept ligt nog niet bij de Tweede Kamer. Hangt het systeem van een bank of verzekeraar rechtstreeks samen met haar financiële diensten, zoals kredietbeoordeling, dan is het de financiële toezichthouder (Artikel 74 lid 6). Werkt u bij een overheid en heeft u een IAMA liggen, dan heeft u een flink deel van de inhoud al staan.
Wanneer Artikel 27 op u van toepassing isVier plichten die buiten uw AVG-routine vallen
Hier zit werk dat makkelijk blijft liggen, omdat er geen bestaande routine voor bestaat waar het vanzelf in valt.
AI-geletterdheid, sinds 2 februari 2025
De organisatie neemt maatregelen die de AI-geletterdheid bevorderen van iedereen die namens haar met AI werkt, rekening houdend met kennis, ervaring, opleiding en gebruikscontext (Artikel 4). Een specifiek kennisniveau per medewerker hoeft niet te worden gegarandeerd. Bij een inspanningsverplichting is het enige bewijs wát u heeft gedaan en voor wie. Dit is een organisatieplicht, geen vinkje per systeem. Er hangt geen risicoklasse aan: ook de marketeer met ChatGPT valt eronder.
Verboden praktijken uitsluiten
Artikel 5 lid 1 verbiedt sinds 2 februari 2025 acht categorieën AI (onder a tot en met h), ongeacht grondslag. Vanaf 2 december 2026 zijn het er tien: de Digital Omnibus voegt twee verboden toe (Artikel 5 lid 1 onder b bis en b ter). Het ene raakt AI die zonder uitdrukkelijke toestemming realistisch intiem of seksueel expliciet materiaal van identificeerbare personen maakt of bewerkt, het andere AI die kindermisbruikmateriaal genereert of bewerkt. Emotieherkenning op de werkplek staat er al bij (onder f), behalve om medische of veiligheidsredenen. Dat is geen afweging die u met een DPIA goedpraat; het is een streep.
Rolbepaling: aanbieder of gebruiksverantwoordelijke
Uw verplichtingen hangen aan uw rol. Die kan kantelen. Zet u uw naam op een hoog-risicosysteem, wijzigt u het wezenlijk, of geeft u een ingekocht systeem een ander doel waardoor het hoog-risico wordt, dan wordt u aanbieder met een veel zwaarder pakket (Artikel 25 lid 1). Die rolwissel geldt voor Bijlage III vanaf 2 december 2027 en voor AI in een product uit Bijlage I, afdeling A, vanaf 2 augustus 2028 (Artikel 2, lid 2 en Artikel 113, derde alinea, onder c). Onder de AVG kent u dit als het onderscheid tussen verwerkingsverantwoordelijke en verwerker (Artikel 4 punt 7 en 8 AVG). De rollen lopen alleen niet gelijk op: uw AI-leverancier is onder de AVG vaak uw verwerker en onder de AI Act de aanbieder.
Recht op uitleg bij individuele besluiten
Neemt u een besluit op basis van de output van een hoog-risicosysteem uit Bijlage III, met rechtsgevolgen of een vergelijkbaar aanzienlijke invloed op iemand, dan kan die persoon een duidelijke, inhoudelijke uitleg vragen over de rol van het systeem en de voornaamste elementen van het besluit (Artikel 86 lid 1). Systemen uit punt 2 vallen erbuiten. Dat lijkt op Artikel 22 en Artikel 15 lid 1 onder h AVG. Het verschil: Artikel 86 vraagt geen besluit dat uitsluitend geautomatiseerd is genomen. Regelt ander Unierecht het recht op uitleg al, dan wijkt Artikel 86 (lid 3).
De transparantieplicht van Artikel 50 geldt sinds 2 augustus 2026. De zware verplichtingen voor hoog-risicosystemen uit Bijlage III gelden vanaf 2 december 2027. Die laatste datum schoof in juli 2026 op via de Digital Omnibus, dus een planning van vóór die tijd klopt niet meer.
Bent u hiermee de AI-verantwoordelijke geworden?
Niet volgens de wet. De AI Act kent geen tegenhanger van de FG en verplicht niemand tot het aanstellen van een AI-functionaris. De verplichtingen liggen bij de organisatie, in de rol van aanbieder of gebruiksverantwoordelijke. Dat het dossier toch bij u belandt, komt doordat u het aangrenzende werk al kent.
Twee dingen zijn het benoemen waard voordat u het aanneemt. De AI Act vraagt inhoudelijke kennis van de systemen zelf, dus u heeft de eigenaar van het systeem en vaak ook de leverancier nodig. En de onafhankelijke positie die de AVG u geeft (Artikel 38 lid 3), wringt zodra u meebeslist over de inzet van AI in plaats van erop toe te zien. Andere taken mogen niet tot een belangenconflict leiden (Artikel 38 lid 6 AVG). Leg die rolverdeling vast voordat de eerste toezichtsvraag binnenkomt.
Wie er in Nederland toezicht houdt, ligt nog niet vast. Het concept voor de Uitvoeringswet AI-verordening verdeelt het toezicht over tien markttoezichtautoriteiten, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen in de coördinerende rol. De internetconsultatie sloot op 1 juni 2026. Indiening bij de Tweede Kamer staat gepland in het tweede kwartaal van 2027. De verordening werkt intussen rechtstreeks door.
Wat het platform overneemt
Het oordeel blijft bij uw organisatie. Het registratiewerk, de documentatie en het bewijsspoor eronder neemt het platform over.
- Een AI-register dat per systeem de risicoklasse, de rol en de betrokken leverancier vasthoudt, met een herbeoordelingsdatum en een herinnering als die verloopt.
- In Scale ook uw verwerkingsregister (Artikel 30 AVG), met de verwerkingen zonder AI. Per leverancier legt u vast wat de verwerkersovereenkomst regelt (Artikel 28 lid 3 AVG). Het AI-register en het verwerkingsregister blijven twee registers in één platform. Elk AI-systeem hangt u aan de activiteit waarvoor het wordt gebruikt.
- Een FRIA-wizard die per hoog-risicosysteem dat u inzet aangeeft of Artikel 27 de FRIA verplicht, met de wettelijke grondslag erbij. Valt het systeem erbuiten, dan kunt u hem vrijwillig doen.
- Documentgeneratie voor AI-beleid, risicobeoordelingen, transparantieverklaringen en procedures voor menselijk toezicht.
- E-learning voor Artikel 4, met certificaten per medewerker als bewijsstuk.
- Een schaduw-AI-uitvraag onder medewerkers, zodat u de tools vindt die niemand heeft aangemeld.
Wilt u het verwerkingsregister eerst zelf proberen? Een proefperiode geeft u 14 dagen alle functies van Scale. Vraag een proefperiode aan.
Veelgestelde vragen
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Nee. De AI Act kent geen equivalent van de FG en verplicht organisaties niet om een AI-functionaris aan te stellen. De wet legt verplichtingen bij de organisatie als aanbieder of gebruiksverantwoordelijke. Het werk landt vaak bij de FG omdat die de aangrenzende dossiers al kent, maar dat is een organisatiekeuze en geen wettelijke aanwijzing.
Ja, zolang die combinatie geen belangenconflict oplevert (Artikel 38 lid 6 AVG). Wie meebeslist over de inzet van AI, houdt anders toezicht op eigen besluiten. De Autoriteit Persoonsgegevens hanteert als stelregel dat een dubbelrol in principe kan, tenzij de FG zelf doel en middelen van verwerkingen bepaalt of als privacy officer toezicht zou houden op het eigen werk. Of dat zo is, beoordeelt u per geval.
Nee. Artikel 27 lid 4 laat u kruisverwijzingen naar de relevante delen van de DPIA opnemen in de FRIA, of die delen er letterlijk in overnemen. De Digital Omnibus heeft dat lid in juli 2026 op dat punt verruimd. Ze staan naast elkaar. U mag ze wel in één traject uitvoeren, want de beschrijving van het systeem, de context en de betrokkenen is dezelfde.
Nee. Artikel 27 raakt publiekrechtelijke organen en particuliere entiteiten die openbare diensten verlenen, plus elke gebruiksverantwoordelijke van AI voor kredietwaardigheidsbeoordeling van natuurlijke personen (Bijlage III punt 5(b)) en voor risicobeoordeling en prijsstelling met betrekking tot natuurlijke personen bij levens- en ziektekostenverzekeringen (punt 5(c)). Publiekrechtelijk orgaan is ruimer dan overheid: een academisch ziekenhuis, een onderwijsinstelling of een publieke omroep kan er ook onder vallen. Een private werkgever zonder openbare dienst valt er met een AI-wervingstool niet onder.
Ja. Dat is het grootste verschil met de AVG. De transparantieplicht van Artikel 50 hangt aan het systeem, niet aan de gegevens. Een chatbot die uitsluitend over productspecificaties gaat, moet nog steeds laten weten dat hij AI is, tenzij dat voor de gebruiker al duidelijk is (Artikel 50 lid 1).
Dat ligt nog niet vast. Het kabinet verdeelt het toezicht in het concept voor de Uitvoeringswet AI-verordening over tien markttoezichtautoriteiten, met de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur samen in de coördinerende rol. De internetconsultatie sloot op 1 juni 2026. Het concept ligt nog niet bij de Tweede Kamer; indiening staat gepland in het tweede kwartaal van 2027. De verordening werkt intussen rechtstreeks, dus de verplichtingen gelden ook zonder die uitvoeringswet.
Begin bij het overzicht
Op basis van uw antwoorden geeft de gratis risicoscan een eerste inschatting van de hoogste risicocategorie in uw AI-gebruik en de verplichtingen die erbij horen. Geen account, geen creditcard.