In het kort
- Stel elke leverancier dezelfde tien vragen en controleer de antwoorden in een demo.
- Omnibus-toets: de software hoort 2 december 2027 te noemen voor hoog-risico AI uit Bijlage III.
- Een register blijft compleet via drie routes: een aanvraag vooraf, agents die zichzelf aanmelden en schaduw-AI-detectie.
- Vraag of de AVG en het verwerkingsregister in hetzelfde pakket zitten, zodat u elk systeem één keer beschrijft.
Hoe vergelijkt u AI Act-software als elke leverancier hetzelfde belooft? Het korte antwoord: stel iedere leverancier dezelfde tien vragen en kijk naar de antwoorden die u in een demo kunt controleren. Twijfelt u nog of u software nodig heeft, lees dan eerst Excel, adviseur of software. Heeft u die keuze gemaakt, dan helpen deze vragen bij de volgende.
AIComplianceHub is zelf een leverancier van AI Act-software. U leest hier de vragen die u aan elk pakket stelt, het onze inbegrepen. Onze eigen antwoorden staan onderaan.
De tien vragen in één overzicht
Rol en risicocategorie
Artikel 6Laat de software per systeem zien waarom het in een categorie valt?
Digital Omnibus
Artikel 113Noemt de software 2 december 2027 voor hoog-risico AI uit Bijlage III?
AI-geletterdheid
Artikel 4Ondersteunt de software maatregelen voor AI-geletterdheid, met een overzicht per medewerker?
Nieuwe AI-toepassingen
Gaat een nieuwe tool langs een beoordeling voordat hij in gebruik gaat?
AI-agents
Kan een agent zich vanuit zijn pipeline zelf aanmelden?
Schaduw-AI
Hoe vindt de software AI die niemand heeft gemeld?
Leveranciers
Artikel 28 AVGWie controleert per systeem de verwerkersovereenkomst en de datalocatie?
AVG per systeem
Artikel 30 en 35 AVGStaan het DPIA-signaal en het verwerkingsregister in hetzelfde pakket?
Prijs en overstappen
Staat de prijs op de site? Kunt u alles exporteren?
Doelen en initiatieven
Ziet u welk plan straks een systeem in het register wordt?
Achter de eerste drie vragen en die over leveranciers en de AVG staat een plicht of termijn uit de wet. De andere vijf gaan over werkbaarheid: hoeveel handwerk het kost om uw overzicht bij te houden.
Hoe bepaalt de software uw rol en de risicocategorie?
Uw plichten hangen af van uw rol per AI-systeem en van de risicocategorie van dat systeem. Bent u aanbieder (Artikel 3, punt 3) of gebruiksverantwoordelijke (Artikel 3, punt 4)? En valt het systeem onder een product uit Bijlage I of in een gebied uit Bijlage III (Artikel 6, lid 1 en 2)? Een systeem uit Bijlage III valt toch buiten hoog-risico als het geen significant risico op schade inhoudt en aan een van de vier voorwaarden uit Artikel 6, lid 3 voldoet. Profileert het natuurlijke personen, dan blijft het altijd hoog-risico. Hoe die toets werkt, staat in hoog-risico AI classificeren.
Goed antwoordDe software vraagt per systeem wat het doet en voor wie, past Artikel 6 lid 3 toe en laat zien waarom een systeem in een categorie valt. Een vraag die u nog niet kunt beantwoorden, telt als risico tot u het hebt uitgezocht.
Rode vlagEen uitslag op basis van uw sector, of een classificatie waarvan de onderbouwing ontbreekt.
Is de software bijgewerkt op de Digital Omnibus?
De AI Act is gewijzigd door Verordening (EU) 2026/1744, de Digital Omnibus, die op 27 juli 2026 in werking trad. Hoog-risico AI uit Bijlage III schoof op naar 2 december 2027, AI in producten uit Bijlage I naar 2 augustus 2028 (Artikel 113, derde alinea, onder c). Met ingang van 2 december 2026 gelden twee nieuwe verboden (Artikel 113, derde alinea, onder a). Het eerste betreft AI die zonder uitdrukkelijke toestemming realistische beelden of audio maakt of bewerkt van de intieme delen van een herkenbaar persoon, of van zo iemand bij expliciete seksuele handelingen. Het tweede betreft AI die materiaal van seksueel kindermisbruik maakt of bewerkt (Artikel 5, lid 1, onder b bis en b ter). Software die zijn inhoud niet bijhoudt, geeft u verkeerde deadlines.
Goed antwoordVraag in de demo welke datum de software noemt voor hoog-risico AI uit Bijlage III. Vraag daarna hoeveel verboden praktijken Artikel 5 telt met ingang van 2 december 2026. Het juiste antwoord is 2 december 2027 en tien. Vraag er ook bij wanneer de inhoud voor het laatst is bijgewerkt.
Rode vlagDe software noemt 2 augustus 2026 als datum voor alle hoog-risicoverplichtingen.
Kunt u bewijs voor AI-geletterdheid per medewerker laten zien?
Tot de Omnibus moesten aanbieders en gebruiksverantwoordelijken zoveel als mogelijk zorgen voor een toereikend niveau van AI-geletterdheid. Nu nemen ze maatregelen die de ontwikkeling ervan bij hun personeel ondersteunen. Het artikel zegt er uitdrukkelijk bij dat u geen bepaald niveau per persoon hoeft te waarborgen (Artikel 4, lid 1). Hoe u het bewijst, laat de wet open. Vraagt een toezichthouder of een klant wat u deed, dan helpt een overzicht per persoon.
Goed antwoordTraining die past bij de kennis van de medewerker en bij de manier waarop hij AI gebruikt, met per persoon wat hij afrondde en wanneer. Dat overzicht kunt u exporteren en overleggen.
Rode vlagEen losse cursus zonder registratie, of één percentage voor de hele organisatie.
Hoe komt een nieuwe AI-toepassing in het register?
Deze en de volgende twee vragen gaan over één ding: blijft uw register compleet? AI komt langs drie wegen een organisatie binnen. Iemand vraagt een nieuwe tool aan, een team zet zelf een agent live, of een medewerker gebruikt AI zonder het te melden. Wie niet weet welke AI er draait, kan de maatregelen uit Artikel 4, lid 1 ook niet afstemmen op de context waarin die AI wordt gebruikt. De AI Act schrijft geen van de functies hieronder voor. Ze bepalen wel hoeveel handwerk het kost om uw overzicht actueel te houden.
Voor de eerste weg werkt een aanvraagroute het best. Een medewerker vraagt een tool aan, iemand beoordeelt hem en pas daarna gaat hij in gebruik, met het besluit vastgelegd bij het systeem. Houdt u het register achteraf met de hand bij, dan loopt het altijd een stap achter op wat er al draait.
Kunnen AI-agents zich automatisch aanmelden?
Een agent bouwt een team vaak zelf, met een paar regels code of in een tool als Copilot Studio. Zo'n agent staat sneller live dan iemand een formulier invult. Vraag dus of agents zichzelf kunnen aanmelden vanuit hun pipeline of via een API, met vaste velden zoals doel, eigenaar en gekoppelde systemen. Dan groeit het register mee met wat er gebouwd wordt. Bouwt u zelf geen agents, dan kunt u deze vraag overslaan.
Hoe vindt u AI die buiten het register om wordt gebruikt?
Medewerkers proberen nieuwe AI-tools vaak eerst zelf uit, met hun zakelijke account. Zulke tools komen pas in beeld als iemand ze toevallig tegenkomt. Een koppeling met uw identiteitsbeheer, zoals Microsoft Entra ID, laat zien aan welke AI-apps medewerkers toegang gaven. Een uitvraag onder medewerkers vangt de rest op. Wat gevonden wordt, hoort als voorstel in het register te komen. Staat schaduw-AI alleen als hoofdstuk in het AI-beleid, dan blijft na een jaar onbekend wat er gebruikt wordt.
Wie controleert per systeem de leverancier en waarop?
De meeste organisaties kopen AI in. De vragen over zo'n tool gaan dan vooral over de leverancier. Is er een verwerkersovereenkomst (artikel 28, lid 3, AVG)? Waar worden de gegevens verwerkt? Gaan ze buiten de Europese Economische Ruimte, op welke basis uit hoofdstuk V van de AVG? Gebruikt de leverancier uw invoer om zijn model te trainen? En werkt u met de zakelijke versie of met een consumentenaccount?
Goed antwoordPer systeem een verantwoordelijke, die de leverancier langs vaste punten controleert. Een antwoord dat nog onbekend is, wordt een taak met een eigenaar en een datum.
Rode vlagAlleen een score per leverancier, met de eigenaar per systeem open.
Neemt de software de AVG mee per AI-systeem?
Bijna elk AI-systeem dat persoonsgegevens verwerkt, valt ook onder de AVG. Houdt een verwerking waarschijnlijk een hoog risico in voor de rechten en vrijheden van betrokkenen, dan voert u vooraf een DPIA uit (artikel 35, lid 1, AVG). Die verwerking hoort in de regel ook in uw register van verwerkingsactiviteiten (artikel 30 AVG).
Goed antwoordPer AI-systeem de AVG-vragen naast die van de AI Act, met een signaal wanneer een DPIA waarschijnlijk nodig is. Het verwerkingsregister staat in hetzelfde pakket, met een kaart die laat zien waar persoonsgegevens heen stromen.
Rode vlagDe AVG loopt in een ander pakket of een losse spreadsheet, zodat u hetzelfde systeem twee keer beschrijft.
Wat kost het, ook als u later overstapt?
Vraag naar de prijs bij uw aantal systemen en uw aantal medewerkers, want met die twee getallen rekenen de meeste pakketten. Tel de inrichting mee: uren van uzelf of van een consultant. Een prijs die op de website staat en een gratis versie of proefperiode maken vergelijken makkelijker. Vraag ook hoe u vertrekt. Een export van register, documenten en trainingsbewijs in gangbare formaten zoals CSV en PDF voorkomt dat u bij een overstap opnieuw begint.
Koppelt de software AI-gebruik aan doelen en initiatieven?
Deze vraag gaat over sturing en staat los van de AI Act. Een directie wil wel weten wat AI oplevert en welke plannen er lopen. Staan die plannen in een losse spreadsheet, dan ziet niemand welk plan straks een nieuw systeem in het register wordt. Een pakket dat doelen, initiatieven en systemen in één overzicht zet, laat nut en risico naast elkaar zien.
Veelgestelde vragen
Is er één beste AI Act-software?
Nee. Welk pakket past, hangt af van uw rol en uw AI-gebruik. Koopt u vooral AI in, zoals Copilot of ChatGPT, dan wegen een compleet register en de controle van leveranciers het zwaarst. Bouwt u zelf modellen die in productie draaien, dan heeft u daarnaast technische monitoring van die modellen nodig.
Kan ik AI Act-software naast mijn AVG-tool gebruiken?
Ja. Let wel op dubbel werk. Beschrijft u elk AI-systeem in twee pakketten, dan lopen de twee na een paar maanden uit elkaar. Vraag of de AI Act-software het verwerkingsregister zelf bevat, of dat u gegevens tussen beide pakketten moet overzetten.
Moet AI Act-software Nederlandstalig zijn?
Nee, de taal is uw keuze. Voor training van medewerkers telt het wel. Artikel 4, lid 1 vraagt dat u rekening houdt met de technische kennis, ervaring en opleiding van uw personeel en met de context van het gebruik. Training in de eigen taal sluit daar beter op aan.
Kan ik deze vragen ook aan een adviseur stellen?
Ja. De vragen over rol en risicocategorie, over de Digital Omnibus en over de AVG gelden net zo goed voor een adviesbureau. Vraag een adviseur ook welk hulpmiddel u na afloop van het traject houdt om het register bij te werken.
Hoe AIComplianceHub deze vragen beantwoordt
Wij stellen onszelf dezelfde vragen. Hieronder zes ervan, met het pakket waarin het zit.
Digital Omnibus
De datums komen uit één centrale bron in de software. Sinds 30 juni 2026, de dag na de definitieve aanneming door de Raad, rekent de software met de Omnibus-datums.
AI-geletterdheid
E-learning met een certificaat per medewerker, in Core en Scale.
Register compleet houden
Een aanvraagroute en detectie van schaduw-AI via Microsoft Entra ID in Core en Scale. Agents melden zichzelf aan via een API in Scale.
Leverancierscontrole
Vaste vragen over verwerkersovereenkomst, datalocatie, training op uw data en zakelijke versie. Verantwoordelijken per systeem en taken bij een onbekend antwoord in Core en Scale.
AVG per systeem
AVG-vragen en een DPIA-signaal per systeem, in elk pakket. De kaart van de gegevensstromen zit in Core en Scale, het volledige verwerkingsregister (artikel 30 AVG) in Scale.
Prijs en overstappen
Een gratis pakket, Core voor € 99 en Scale voor € 249 per maand, exclusief btw. Exports als CSV en PDF, plus een auditdossier als ZIP.
Waar wij minder goed passen: bouwt u zelf modellen die u in productie wilt monitoren op prestaties en drift, dan heeft u daarnaast een gespecialiseerd pakket nodig. De software is Nederlandstalig. Voor internationale teams is de e-learning ook in het Engels beschikbaar. Doelen en initiatieven, de aanvraagroute en de rest van het platform staan op het platform.