In het kort
- De AI Act eist geen software, adviseur of intern register, wel maatregelen voor AI-geletterdheid (Artikel 4, lid 1).
- Excel volstaat voor een handvol AI-tools zonder hoog-risico, met één persoon die het register bijhoudt.
- Een adviseur loont bij een grijze classificatie, een FRIA en wie zelf aanbieder van hoog-risico AI is.
- Software scheelt tijd en bewijswerk zodra er meer systemen, medewerkers of zelfgebouwde agents bijkomen.
Regelt u de AI Act met Excel, een adviseur of software? Het korte antwoord: de wet schrijft geen hulpmiddel voor, dus de keuze hangt af van wat u inzet en welke rol u heeft. Zet u alleen algemene AI-tools zoals ChatGPT of Copilot in voor gewone kantoortaken, dan is een spreadsheet als hulpmiddel meestal genoeg, naast een eigen AI-beleid en de maatregelen voor AI-geletterdheid die Artikel 4 vraagt. Een adviseur loont bij een grijs geval en zodra u aanbieder van hoog-risico AI bent. Software scheelt vooral tijd en bewijswerk zodra er meerdere systemen en medewerkers bij komen.
Wat schrijft de AI Act voor over hulpmiddelen?
De verordening zegt wat u regelt. Het hoe laat ze aan u over. Nergens staat dat u software moet gebruiken of een adviseur moet inhuren.
Neem de plicht die geldt voor elke organisatie die AI aanbiedt of inzet. AI-geletterdheid is verplicht sinds 2 februari 2025. Sinds de Digital Omnibus luidt de plicht zo: u neemt maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen bij uw personeel en bij anderen die namens u AI-systemen bedienen of gebruiken (Artikel 4, lid 1). Welke maatregel dat is, kiest u zelf, afgestemd op hun kennis en ervaring en op de context van het gebruik. Een bepaald kennisniveau per persoon hoeft u daarbij niet te waarborgen.
Een intern AI-register schrijft de AI Act aan geen enkele organisatie voor. Registratie in de EU-databank geldt voor aanbieders van hoog-risicosystemen uit Bijlage III en voor overheidsinstanties en EU-instellingen die zulke systemen inzetten, of wie namens hen optreedt (Artikel 49, lid 1 en 3). Systemen voor kritieke infrastructuur uit punt 2 van Bijlage III worden nationaal geregistreerd (lid 5). Ook een aanbieder die een systeem uit Bijlage III via Artikel 6, lid 3 buiten hoog-risico plaatst, registreert het (lid 2). Die databank zet de Commissie op en onderhoudt ze, samen met de lidstaten (Artikel 71, lid 1).
Waar de wet wel een vorm noemt, is die ruim. Een aanbieder van hoog-risico AI legt zijn systeem voor kwaliteitsbeheer vast in schriftelijke beleidslijnen, procedures en instructies (Artikel 17, lid 1). In welk programma hij dat doet, laat de wet open. De keuze voor een hulpmiddel gaat dus over tijd, bewijs en zekerheid.
Wanneer is Excel genoeg?
Een spreadsheet werkt zolang het overzicht klein blijft. Denk aan een organisatie met een handvol AI-tools, zonder hoog-risicotoepassing, met één persoon die het bijhoudt. Per toepassing maakt u één rij, met doel, leverancier, gegevens, risicocategorie en eigenaar. Dat sjabloon staat uitgewerkt in AI-register opzetten.
De grenzen van Excel liggen naast het register. Wie wijzigde wat op welk moment? Welke medewerker volgde welke training? Bij welke verplichting hoort welk document? Een spreadsheet kan dat allemaal bevatten, maar u bouwt en bewaakt het zelf. Komt er een tweede beheerder bij, dan ontstaan er snel twee versies van hetzelfde bestand.
Een spreadsheet regelt alleen het overzicht. Voor de AI-geletterdheid uit Artikel 4, lid 1 neemt u daarnaast maatregelen, zoals een training of uitleg bij de werkafspraken. Vraagt een inkoper of verzekeraar ernaar, dan wilt u ook laten zien wie wat heeft gevolgd.
Ook de wet beweegt. Toen de Digital Omnibus op 27 juli 2026 in werking trad, schoof de deadline voor hoog-risico AI uit Bijlage III van 2 augustus 2026 naar 2 december 2027 (Artikel 113, derde alinea, onder c). Met een spreadsheet zoekt u zelf uit wat zo'n wijziging voor uw rijen betekent.
Wanneer heeft u een adviseur nodig?
Een adviseur loont waar een fout duur is en de wet ruimte laat voor interpretatie. Vier situaties springen eruit.
Een grijze classificatie
Vervult een systeem een toepassing uit Bijlage III, dan is het in beginsel hoog-risico. Artikel 6, lid 3 haalt er systemen uit die geen significant risico inhouden, bijvoorbeeld omdat ze alleen een beperkte procedurele of voorbereidende taak doen. Een systeem dat profileert, blijft altijd hoog-risico. Waar die grens ligt, is per geval een oordeel.
Aanbieder van hoog-risico AI
Ontwikkelt u zo'n systeem of laat u het ontwikkelen? Brengt u het daarna onder eigen naam in de handel of stelt u het in gebruik, dan bent u aanbieder (Artikel 3, punt 3). Dan komen er risicobeheer, technische documentatie en een conformiteitsbeoordeling bij (Artikel 9, 11 en 43). Voor de systemen uit Bijlage III, punt 2 tot en met 8, doet u die beoordeling zelf via interne controle (Artikel 43, lid 2).
Een FRIA
Moet u een grondrechten-effectbeoordeling uitvoeren (Artikel 27, lid 1), dan helpt iemand die er eerder een deed. Wie DPIA's onder de AVG uitvoert, herkent veel van de opzet.
Twijfel over een verbod
Twijfelt u of een toepassing onder de verboden praktijken van Artikel 5 valt, zoals emotieherkenning op de werkplek, vraag dan juridisch advies voordat u verdergaat.
Een aanbieder die vindt dat een systeem uit Bijlage III geen hoog risico inhoudt, legt die beoordeling vast voordat het in de handel komt of in gebruik gaat (Artikel 6, lid 4). Laat zo'n vastlegging door een tweede paar ogen lezen.
Let op wat u koopt. Een adviesrapport is een momentopname. Het register en de training daarna houdt u zelf bij, of u legt dat onderhoud ook extern neer. Wat dat kost en welk deel u zelf kunt doen, staat in wat AI Act compliance kost voor het MKB.
Wat doet een GRC-pakket voor de AI Act?
Een GRC-pakket (governance, risk en compliance) beheert raamwerken, risico's en maatregelen op één plek. Zulke pakketten worden ingezet voor raamwerken als ISO 27001 en SOC 2. Heeft u er al een, dan ligt het voor de hand om de AI Act daarin onder te brengen.
Of dat werkt, hangt af van wat het pakket voor de AI Act zelf kan. Vraag de leverancier vier dingen:
- Classificeert het per systeem tegen Bijlage III, met de uitzondering van Artikel 6, lid 3?
- Maakt het onderscheid tussen uw rol als aanbieder en als gebruiksverantwoordelijke?
- Legt het per medewerker vast welke maatregelen voor AI-geletterdheid hij volgde?
- Werkt de leverancier de inhoud bij als de wet wijzigt, of doet u dat zelf?
Is het antwoord op de meeste vragen ja, dan heeft u geen tweede hulpmiddel nodig.
Wanneer past een gespecialiseerd platform?
Een platform dat alleen over AI gaat, neemt de AI Act als vertrekpunt. U legt per systeem vast wat het doet. Het platform leidt daaruit een risicocategorie af, plus de verplichtingen die bij uw rol horen.
Dat past bij organisaties met meer dan een handvol AI-toepassingen en zonder eigen compliance-team. Het past ook als u medewerkers aantoonbaar wilt trainen, of als een inkoper of auditor naar uw AI-gebruik vraagt en u het bewijs op één plek wilt hebben.
De classificatie van zo'n platform is een onderbouwde eerste inschatting. Bij een grijs geval legt u hem voor aan een jurist of adviseur.
Wat verandert er als u zelf met AI gaat bouwen?
Een register van gekochte tools beschrijft de situatie van vandaag. Gaan teams zelf met AI aan de slag, dan komt er naast naleving een vraag over sturing bij. Daarbij horen drie nieuwe vragen.
Aanvragen
Een medewerker wil een nieuwe AI-tool gebruiken of een automatisering bouwen. Wie beslist daarover? En op basis waarvan? Zonder vaste route komt die AI buiten het zicht van wie het register bijhoudt. Hoe u zo'n route inricht, staat in AI-tools goedkeuren.
Doelen en initiatieven
Lopen er meerdere AI-projecten, dan wilt u zien waaraan ze bijdragen en of twee afdelingen hetzelfde bouwen. Daarvoor heeft u naast de lijst met systemen een lijst met lopende initiatieven nodig, gekoppeld aan de doelen van de organisatie.
Agents
Een agent handelt namens de organisatie en benadert daarvoor andere systemen. Per agent legt u meer vast: welke systemen hij mag gebruiken, hoe zelfstandig hij werkt, wie de eigenaar is en hoe u hem stopt. Welke velden dat zijn, leest u in een AI-agentregister opzetten.
Wie een AI-systeem bouwt of laat bouwen en het onder eigen naam in gebruik stelt, is daarvan de aanbieder (Artikel 3, punt 3). Dat geldt ook voor gebruik binnen de eigen organisatie. Een spreadsheet kan zo'n systeem vastleggen. Een aanvraag laten goedkeuren lukt er lastig mee. Kiest u nu een hulpmiddel, kijk dan ook naar waar uw organisatie over een jaar staat.
De vier aanpakken naast elkaar
Excel
Past bij een handvol AI-tools zonder hoog-risico. Het kost uw eigen tijd. Onderhoud bij een wetswijziging en bewijs voor een auditor regelt u zelf. Groeit lastig mee zodra teams zelf AI bouwen.
Adviseur
Past bij een grijze classificatie, een FRIA en bij aanbieders van hoog-risico AI. Geeft juridische diepgang per vraag; het rapport is een momentopname.
GRC-pakket
Past als u er al een gebruikt voor ISO 27001 of SOC 2. Hoeveel AI Act erin zit, verschilt per pakket.
Gespecialiseerd platform
Past bij meerdere AI-systemen en medewerkers, zonder eigen compliance-team. Houdt classificatie, verplichtingen en trainingsbewijs per systeem en per persoon bij. Sommige platforms dekken ook aanvragen, initiatieven en agents.
Kunt u aanpakken combineren?
Ja. De meest voor de hand liggende combinatie is een adviseur voor de lastige vragen en een register voor het dagelijkse werk. De adviseur beoordeelt dan alleen het systeem waarover twijfel is. De twintig tools waar niemand aan twijfelt, legt u zelf vast. Dat houdt de rekening klein.
Hoe neemt u de AVG mee?
Gaan er persoonsgegevens in een AI-systeem, dan geldt naast de AI Act de AVG. Die kent een eigen register: het register van verwerkingsactiviteiten (artikel 30 AVG). Dat mag elektronisch, dus ook in een spreadsheet (artikel 30, lid 3 AVG). Is een verwerking waarschijnlijk een hoog risico voor de betrokkenen, dan voert u vooraf een DPIA uit (artikel 35 AVG).
Houdt u beide in losse bestanden bij, dan typt u dezelfde tool twee keer in en lopen de lijsten uit elkaar. Een register dat per AI-systeem ook de AVG-vragen meeneemt, voorkomt dat. Hoe de twee registers op elkaar aansluiten, leest u in moet een AI-systeem in het verwerkingsregister staan.
Veelgestelde vragen
Is software verplicht onder de AI Act?
Nee. De AI Act schrijft geen software, intern register of adviseur voor. Hij schrijft voor wat u regelt, zoals maatregelen voor AI-geletterdheid (Artikel 4, lid 1). In de EU-databank registreren aanbieders van hoog-risicosystemen uit Bijlage III en overheidsinstanties die ze inzetten (Artikel 49). Dat is een Europese databank, los van uw eigen overzicht.
Is Excel genoeg als AI-register?
Ja, voor een kleine organisatie zonder hoog-risico AI. Per toepassing één rij met doel, leverancier, gegevens, risicocategorie en eigenaar volstaat. Het wordt lastig zodra meerdere mensen het bestand bijwerken, of zodra u per medewerker wilt laten zien welke training hij volgde. Artikel 4 schrijft zo'n registratie niet voor, maar een inkoper of auditor kan ernaar vragen.
Wat kost een adviseur voor de AI Act?
Reken op 150 tot 300 euro per uur. Dat is onze eigen ordegrootte voor een externe jurist. Een eerste beoordeling van één systeem kost enkele uren. Externe begeleiding bij een risicoanalyse of FRIA schatten we op 5.000 tot 15.000 euro per traject. De opbouw staat in wat AI Act compliance kost voor het MKB.
Kan ik later van Excel overstappen?
Ja. Hoe beter uw spreadsheet al per toepassing één rij met vaste kolommen heeft, hoe sneller het overzetten gaat. Of een pakket een import uit Excel of CSV kent, verschilt per leverancier. Vraag ernaar voordat u kiest. Stap het liefst over voordat teams zelf agents of automatiseringen bouwen, dan begint dat werk meteen in hetzelfde register.
Waar u begint
Begin met de inventaris, welk hulpmiddel u ook kiest. Zonder lijst van wat er draait, weet een adviseur niet waar hij moet kijken en heeft software niets om te classificeren. De gratis risicoscan geeft in een paar minuten een eerste beeld van welke risicocategorieën uw AI-gebruik raakt. Wilt u daarna een register met de AVG-vragen per systeem erbij, dan legt u in het gratis pakket van AIComplianceHub tot vijf AI-systemen vast. De betaalde pakketten voegen e-learning met certificaten en een auditdossier toe, plus een aanvraagroute, AI-initiatieven gekoppeld aan doelen en een agentregister met agentbeleid. Op Scale melden agents zichzelf aan via een aanmeldpunt. Elke aanmelding wacht op een mens.