Wanneer is een AI-audit verplicht? Het korte antwoord: alleen voor hoog-risico AI-systemen, meestal in de vorm van een interne conformiteitsbeoordeling die u zelf uitvoert. Een externe audit door een aangemelde instantie is de uitzondering, niet de regel.
Toch weten veel organisaties niet wanneer zo'n beoordeling verplicht is, wie hem mag uitvoeren en wat het concreet inhoudt. De AI Act maakt onderscheid tussen een interne conformiteitsbeoordeling en een externe audit door een geaccrediteerde partij. Welke variant op uw situatie van toepassing is, hangt af van de risicocategorie van uw AI-systeem en uw rol in de keten.
Dit artikel legt uit wanneer een AI-audit verplicht is, wat het verschil is tussen een interne en externe beoordeling, plus waar u begint.
Wanneer is een AI-audit verplicht
Niet elk AI-systeem vereist een formele audit. De AI Act koppelt auditverplichtingen direct aan de risicocategorie van een systeem.
Minimaal en beperkt risicoGeen formele auditplicht. Organisaties zijn vrij om interne beoordelingen te doen, maar dat is geen wettelijke verplichting. De transparantieplicht uit Artikel 50 geldt wel: chatbots en AI-gegenereerde content moeten herkenbaar zijn als AI.
Hoog-risico ([Bijlage III](/ai-verordening/bijlage-iii))Hier begint de formele auditplicht. AI-systemen die kandidaten filteren en beoordelen, die de kredietwaardigheid van natuurlijke personen bepalen, die leerresultaten evalueren of die als veiligheidscomponent in kritieke infrastructuur draaien, moeten vanaf 2 december 2027 een conformiteitsbeoordeling doorlopen voordat de aanbieder ze in de handel brengt of in gebruik stelt (Artikel 16, onder f). Voert een systeem binnen zo'n gebied alleen een beperkte procedurele, verbeterende, patroondetecterende of voorbereidende taak uit, dan is het geen hoog-risicosysteem, tenzij het profileert (Artikel 6, lid 3). Voor de meeste Bijlage III-systemen mag u deze zelf uitvoeren als aanbieder, mits de vereiste documentatie volledig op orde is.
Hoog-risico AI in gereguleerde producten ([Bijlage I](/ai-verordening/bijlage-i))AI ingebed in medische hulpmiddelen of speelgoed valt onder een strengere variant, want die producten staan in afdeling A van Bijlage I. Machines zijn daar sinds Verordening (EU) 2026/1744 uit gehaald: de Machineverordening (EU) 2023/1230 staat nu als punt 21 in afdeling B, waardoor op die systemen uitsluitend Artikel 6 lid 1, Artikel 60 bis en de Artikelen 102 tot en met 112 van toepassing zijn (Artikel 2, lid 2). Voor een machinebouwer komen de eisen uit de Machineverordening zelf. Hier is een externe beoordeling door een notified body verplicht. Dat sluit aan op de CE-markering die al voor het product zelf geldt.
Biometrische identificatiesystemenReal-time biometrische identificatie op afstand in openbare ruimten is verboden voor zover die met het oog op de rechtshandhaving plaatsvindt, met beperkte uitzonderingen (Artikel 5, lid 1, onder h). Zet u biometrie in voor een ander doel, dan is het geen verboden praktijk maar een hoog-risicosysteem (Bijlage III, punt 1). Voor die systemen kiest de aanbieder tussen de interne controle van Bijlage VI en een beoordeling met een aangemelde instantie volgens Bijlage VII, zodra hij geharmoniseerde normen heeft toegepast (Artikel 43, lid 1).
Interne beoordeling versus externe audit
Beide routes dienen hetzelfde doel: aantonen dat een hoog-risico AI-systeem compliant is voordat het in productie gaat. Het verschil zit in wie de beoordeling uitvoert.
Interne beoordeling (self-assessment)De aanbieder voert deze zelf uit. U volgt de interne-controleprocedure van Bijlage VI en toetst het systeem aan de eisen uit hoofdstuk III, afdeling 2, dus aan Artikel 8 tot en met Artikel 15. Daarbij verifieert u ook of uw kwaliteitsbeheersysteem voldoet aan Artikel 17 (Bijlage VI, punt 2). Het resultaat is een technisch dossier en een EU-conformiteitsverklaring die u zelf ondertekent. U draagt volledige verantwoordelijkheid voor de juistheid.
Externe audit door notified bodySpeelt bij Bijlage I-systemen via de sectorale procedure en binnen Bijlage III alleen bij punt 1 (biometrie) wanneer de aanbieder geen geharmoniseerde normen heeft toegepast. Punten 2 tot en met 8 volgen interne controle (Art. 43 lid 2). Een geaccrediteerde notified body beoordeelt het systeem onafhankelijk. Het certificaat van de aangemelde instantie is in die productcategorieën een voorwaarde voor de CE-markering. Juridisch weegt het niet zwaarder dan een interne beoordeling: waar de wet u de keuze laat, levert de eigen EU-conformiteitsverklaring dezelfde conformiteit op (Artikel 43, lid 1).
Wanneer een externe auditor meerwaarde heeft
Een interne beoordeling is wettelijk toegestaan voor de meeste hoog-risico systemen. Er zijn toch redenen om een externe partij in te schakelen.
Kwetsbare groepenUw systeem raakt jeugdzorg, schuldhulpverlening of vergelijkbare contexten. Een onafhankelijke blik versterkt uw positie bij een klacht of handhavingsactie.
Ontbrekende technische expertiseUw organisatie mist de interne kennis voor een volledige risicoanalyse. Formele AI-auditbureaus kunnen de analyse overnemen en documenteren.
Commercieel certificaatKlanten en aanbestedende diensten vragen steeds vaker om aantoonbare compliance. Een extern certificaat is dan een praktisch onderscheidend argument.
Wat een AI-conformiteitsbeoordeling bevat
Of u nu intern of extern toetst, de eisen voor hoog-risicosystemen staan in Artikel 8 tot en met Artikel 15. De beoordeling kijkt daarnaast naar het kwaliteitsbeheersysteem uit Artikel 17 (Bijlage VI, punt 2).
Risicobeheersysteem
Artikel 9Identificatie van risico's per fase, met maatregelen en restrisico-beoordeling. Continue, niet eenmalig.
Data governance
Artikel 10Kwaliteitscriteria voor trainings-, validatie- en testdata. Representativiteit en bias zijn onderzocht en gedocumenteerd.
Technische documentatie
Artikel 11Volledig dossier met architectuur, trainingsaanpak, prestatiemetrieken en beperkingen van het systeem.
Menselijk toezicht
Artikel 14Hoe kan een mens het systeem begrijpen, monitoren en zo nodig afzetten. Technisch afdwingbaar, niet papier.
Robuustheid en beveiliging
Artikel 15Test op edge cases en adversarial inputs. Het systeem presteert betrouwbaar bij onverwachte invoer.
Wanneer start de auditplicht
De formele verplichtingen voor Bijlage III gaan in op 2 december 2027, voor Bijlage I op 2 augustus 2028, door de Digital Omnibus (COM(2025) 836, definitief aangenomen 29 juni 2026) verschoven van respectievelijk 2 augustus 2026 en 2 augustus 2027. Die verschuiving is geldend recht sinds Verordening (EU) 2026/1744 op 27 juli 2026 in werking trad.
Twee verplichtingen gelden al:
AI-geletterdheid (Artikel 4) is verplicht sinds 2 februari 2025. U neemt maatregelen die de AI-geletterdheid bevorderen van iedereen die met AI werkt, afgestemd op rol en context. Sinds de Digital Omnibus is dat uitdrukkelijk een inspanningsverplichting: het gaat om wat u aantoonbaar doet, niet om een kennisniveau per persoon.
Het verbod op bepaalde AI-praktijken (Artikel 5) geldt ook al. Sociale scoring is verboden voor publieke én private partijen (Artikel 5, lid 1, onder c). Real-time biometrische identificatie op afstand in openbare ruimten is verboden voor zover die met het oog op de rechtshandhaving plaatsvindt (Artikel 5, lid 1, onder h).
De rol van de gebruiksverantwoordelijke
De conformiteitsbeoordeling is een verplichting voor de aanbieder (provider), niet voor de gebruiksverantwoordelijke (deployer). Toch heeft de deployer eigen verplichtingen.
U controleert of het AI-systeem dat u inkoopt gecertificeerd is. U zet het systeem in conform de instructies van de aanbieder. Bij ernstige incidenten doet u melding. Bent u een overheidsinstantie, dan controleert u of het systeem in de EU-databank is geregistreerd voordat u het gebruikt (Artikel 26, lid 8). Voor andere organisaties is een eigen register geen wettelijke plicht, wel de enige manier om overzicht te houden.
De conformiteitsbeoordeling kunt u overlaten aan uw leverancier, maar de verantwoordelijkheid voor juist gebruik blijft bij u.
AI-audit en de coördinerende toezichthouders
Het wetsvoorstel voor de Uitvoeringswet AI-verordening wijst de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) gezamenlijk aan als coördinerende toezichthouders. Dat voorstel is nog niet aangenomen: de internetconsultatie liep van 20 april tot 1 juni 2026 en volgens de planning gaat het wetsvoorstel in het tweede kwartaal van 2027 naar de Tweede Kamer. In de tussentijd treedt de AP via haar Directie Coördinatie Algoritmes (DCA) al feitelijk op. De AP houdt vandaag toezicht vanuit de AVG en vanuit haar coördinerende rol op algoritmes. Bevoegdheden om de AI Act te handhaven krijgt zij pas met de Uitvoeringswet AI-verordening, die nog niet is aangenomen. De hoog-risicoverplichtingen zelf gaan pas in op 2 december 2027.
Dat raakt organisaties die AI gebruiken voor cv-screening, kredietverlening of sociale zekerheid. Op die toepassingen is de AP al actief. Het RAN-6-rapport, dat de AP op 5 maart 2026 publiceerde met februari 2026 als dagtekening, wijdt een volledig themahoofdstuk aan AI in werving en selectie. De AP kondigt daarin aan dat zij bij vacatureplatformen gaat controleren of die voldoen aan de transparantieverplichtingen uit de Digital Services Act. Een handhavingsbesluit onder de AI Act is er tot nu toe niet.
Veelgestelde vragen
Moet ik een externe auditor inhuren?
Meestal niet. Voor de meeste hoog-risicosystemen uit Bijlage III volstaat een interne conformiteitsbeoordeling op basis van eigen controle. Een aangemelde instantie komt alleen in beeld bij de biometrische systemen van Bijlage III, punt 1, plus bij AI in producten uit afdeling A van Bijlage I die zelf al door een derde partij worden gekeurd. Zelfs bij die biometrische systemen mag u kiezen tussen de interne controle van Bijlage VI en de procedure van Bijlage VII, zodra u geharmoniseerde normen heeft toegepast (Artikel 43, lid 1).
Geldt de auditplicht ook voor mij als gebruiker?
Nee. De conformiteitsbeoordeling is een plicht van de aanbieder. Als gebruiksverantwoordelijke moet u wel kunnen aantonen dat u het systeem gebruikt volgens de instructies, dat er menselijk toezicht is en dat u de werking volgt (Artikel 26). Vraag uw leverancier om de conformiteitsverklaring.
Wat kost een conformiteitsbeoordeling?
De interne variant kost vooral tijd: de technische documentatie uit Bijlage IV opbouwen is het werk, niet de beoordeling zelf. Externe certificering door een aangemelde instantie loopt in de duizenden euro's en vraagt maanden doorlooptijd. Kmo's, start-ups en kleine midcapondernemingen mogen de elementen uit Bijlage IV in vereenvoudigde vorm aanleveren, via een formulier dat de Commissie daarvoor vaststelt (Artikel 11, lid 1).
Hoe vaak moet de beoordeling worden herhaald?
Bij elke substantiële wijziging van het systeem of van het beoogde doel. Verandert er niets wezenlijks, dan blijft de beoordeling geldig. Wat wél doorloopt is de post-market monitoring: de aanbieder moet de werking in de praktijk blijven volgen.
Is een ISO 42001-certificaat hetzelfde?
Nee. ISO 42001 toont aan dat u een managementsysteem heeft; een conformiteitsbeoordeling toont aan dat één specifiek systeem aan de eisen van de AI Act voldoet. Het certificaat helpt bij de voorbereiding, maar de beoordeling zelf blijft staan.
Hoe begint u
Stap 1 is inventariseren welke AI-systemen in uw organisatie hoog-risico zijn. Gebruik de Bijlage III-lijst als uitgangspunt.
Stap 2 is vaststellen wie de aanbieder is. Hebt u een extern AI-systeem ingekocht? Dan moet de leverancier de conformiteitsbeoordeling uitvoeren. Hebt u zelf een AI-systeem gebouwd of aangepast? Dan bent u aanbieder en draagt u de auditplicht.
Stap 3 is de documentatie opbouwen: risicobeheersysteem, data governance, technisch dossier. Hoe eerder u begint, hoe minder stress richting de deadline van december 2027.
Een goed startpunt is een risicoanalyse per systeem. Zonder classificatie weet u niet of er überhaupt een beoordelingsplicht speelt. Dat is de vraag die alle andere bepaalt.