In het kort
- Een werkbaar AI compliance plan past op een paar A4'tjes en bevat acht onderdelen: inventaris, classificatie, beleid, training, documentatie, monitoring, incidentprocedure en heroverwegingsplan.
- Begin met een AI-inventaris; daarna classificeert u elk systeem en legt u per systeem de gebruiksregels vast.
- Plan elk halfjaar een heroverweging; AI-systemen en wetgeving veranderen sneller dan jaarcycli.
- Voor de meeste MKB-organisaties staat de basis in vier weken; daarna volgt elk halfjaar een heroverweging.
Hoe stelt u een AI compliance plan op, het implementatieplan waarmee u de AI Act in uw organisatie invoert? Dat lukt in zeven stappen op een paar A4'tjes, van een inventarisatie tot een herhaalritme. Tachtig pagina's zijn niet nodig en werken averechts, want een plan dat niemand leest stuurt niets aan. Hieronder de zeven stappen die in elk plan thuishoren. De AI Act schrijft zo'n plan zelf niet voor; het is uw manier om bij te houden wat de EU AI Act, de AVG en sectorale regels van u vragen.
Stap 1: Inventariseer uw AI-systemen
Geen plan zonder lijst: breng in kaart welke AI-systemen uw organisatie gebruikt of ontwikkelt, inclusief AI-functies die in bestaande software verstopt zitten. Microsoft Copilot in uw 365-omgeving, AI-features in uw CRM, slimme zoekfuncties in uw kennisbank, een chatbot op uw website, AI in uw recruitmentplatform. Vraag elke afdeling om input. Vergeet schaduw-AI niet: medewerkers gebruiken vaak persoonlijke ChatGPT-accounts zonder het te melden.
De AI Risicoscanner geeft via een doorvragende intake een eerste inschatting van de hoogste risicocategorie in uw AI-gebruik. De inventaris zelf legt u per systeem vast in het register.
Stap 2: Classificeer per systeem
De AI Act kent vier risicocategorieën. Per AI-systeem beantwoordt u: is dit verboden (Artikel 5), hoog-risico (Artikel 6, via Bijlage III of Bijlage I), beperkt (Artikel 50) of minimaal? Een systeem uit Bijlage III is toch geen hoog-risico als het alleen een beperkte procedurele, verbeterende, patroondetecterende of voorbereidende taak uitvoert, tenzij het profileert (Artikel 6, lid 3). Een hoog-risicosysteem kan daarnaast ook onder Artikel 50 vallen (Artikel 50, lid 6). De classificatie bepaalt samen met uw rol (aanbieder of gebruiksverantwoordelijke) wat u moet regelen. Een HR-systeem dat sollicitaties filtert of kandidaten beoordeelt, is hoog-risico (Bijlage III, punt 4, onder a)). Koopt u het in, dan regelt u vanaf 2 december 2027 onder meer menselijk toezicht en het bewaren van de logs (Artikel 26, leden 2 en 6). De technische documentatie is een taak van de aanbieder (Artikel 11). Een interne tekstgenerator op basis van ChatGPT vraagt vooral om gebruiksregels en AI-geletterdheid (Artikel 4, lid 1). Publiceert u de gegenereerde tekst om het publiek te informeren over zaken van algemeen belang, dan meldt u dat het om AI-tekst gaat, tenzij een mens hem heeft getoetst en iemand er redactionele verantwoordelijkheid voor draagt (Artikel 50, lid 4).
Stap 3: Beleg verantwoordelijkheid
Compliance zonder eigenaar verdampt: wijs een interne AI-verantwoordelijke aan, vaak gecombineerd met de rol van compliance officer of functionaris gegevensbescherming (FG). Kiest u de FG, zorg dan dat die combinatie niet tot een belangenconflict leidt (artikel 38, lid 6 AVG): wie meebeslist over de inzet van AI, houdt anders toezicht op eigen besluiten. Bij een grotere organisatie: een AI-werkgroep met vertegenwoordigers uit IT, juridisch, HR en de operationele eigenaren. Leg in uw plan vast wie escaleert, wie tekent, wie naar buiten communiceert. Toezichthouders willen bij een vraag direct een aanspreekpunt.
Stap 4: Stel beleid en gebruiksregels op
Een AI-beleid beschrijft de spelregels: welke AI-tools zijn toegestaan, voor welke doelen, met welke datasoorten? Welke AI is verboden in uw organisatie? Hoe gaat u om met door AI gegenereerde content, bron-referenties en menselijke review? Houd het document werkbaar. Een beleid dat niemand leest, overtuigt geen toezichthouder.
Koppel het beleid aan concrete training. Leg in die training uit waar de grenzen van uw eigen beleid liggen. Sinds 2 februari 2025 neemt u maatregelen die de ontwikkeling van AI-geletterdheid ondersteunen bij uw personeel en bij anderen die namens u AI gebruiken (Artikel 4, lid 1). Training is daarvoor de gangbare route. Een vaste cursus, een aantal uren of een kennisniveau per persoon schrijft de wet niet voor. De Europese Commissie noemt een interne registratie van gevolgde trainingen als mogelijkheid; uw plan legt vast welke maatregelen u neemt en of u die registratie bijhoudt.
Stap 5: Documenteer hoog-risico systemen
Voor hoog-risicosystemen gelden zwaardere eisen: vanaf 2 december 2027 voor systemen uit Bijlage III en vanaf 2 augustus 2028 voor systemen uit Bijlage I (Artikel 113, derde alinea, onder c). Wat u moet regelen, hangt af van uw rol. Ontwikkelt u het systeem als aanbieder, dan stelt u technische documentatie op over onder meer architectuur, data, tests en risicobeheer (Artikel 11 en Bijlage IV), bouwt u automatische logging in (Artikel 12) en doorloopt u een conformiteitsbeoordeling (Artikel 43). Koopt u het in als gebruiksverantwoordelijke (deployer), dan gebruikt u het volgens de gebruiksaanwijzing (Artikel 26, lid 1), draagt u het menselijk toezicht op aan mensen met de nodige bekwaamheid, opleiding en autoriteit (lid 2), monitort u de werking (lid 5) en bewaart u de logs ten minste zes maanden (lid 6). De grondrechten-effectbeoordeling (FRIA) is ook een taak van de gebruiksverantwoordelijke. Die geldt bij een systeem uit Bijlage III, behalve punt 2, als u een publiekrechtelijk orgaan bent of als particuliere entiteit openbare diensten verleent. Zet u AI in voor kredietbeoordeling van natuurlijke personen of voor hun levens- en ziektekostenverzekeringen, dan geldt hij ook (Artikel 27, lid 1).
Stap 6: Richt monitoring en incidentmanagement in
Compliance is geen eenmalige actie: AI-systemen veranderen, datasets verschuiven, gebruiksdoelen evolueren. Plan periodieke reviews (minimaal jaarlijks, vaker bij hoog-risico) waarin u kijkt naar prestaties, bias, klachten en nieuwe risico's. Definieer wat een AI-incident is en hoe het intern en extern wordt gemeld. Gaat het om een hoog-risicosysteem, dan gelden vanaf 2 december 2027 vaste meldregels: stelt u als gebruiksverantwoordelijke een ernstig incident vast, dan meldt u dat onmiddellijk eerst aan de aanbieder en daarna aan de importeur of distributeur en de markttoezichtautoriteit (Artikel 26, lid 5). De aanbieder meldt het bij de toezichthouder (Artikel 73). Bewaar logs lang genoeg om een incident te kunnen reconstrueren, bij een hoog-risicosysteem ten minste zes maanden (Artikel 26, lid 6).
Stap 7: Plan periodieke heroverweging
Het AI-landschap verandert snel: wetgeving evolueert (denk aan de Digital Omnibus), tools worden bijgewerkt, nieuwe leveranciers introduceren AI-features in bestaande software. Plan elk halfjaar een heroverweging van uw inventaris en risicoclassificatie. Stel uzelf vragen: welke nieuwe AI is sinds vorige keer toegevoegd? Zijn er systemen weggevallen? Veranderde de classificatie van een systeem door een functionele update? Welke deadlines komen eraan?
Wat staat er in een werkbaar plan?
Uw plan is een werkdocument. Acht onderdelen volstaan: AI-inventaris, classificatie, beleid en gebruiksregels, AI-geletterdheidstraining, documentatieplicht per hoog-risico systeem, monitoringsritme, incidentprocedure, heroverwegingsplan. Compact en activerend slaat altijd een glanzend rapport dat in een la verdwijnt.
Veelgestelde vragen
Hoe lang duurt het opstellen van zo'n plan?
Een dagdeel voor het plan zelf, zodra u weet wat er draait. De inventarisatie eronder kost het meeste tijd, omdat u elke afdeling moet langsgaan en AI vaak verstopt zit in bestaande software. Reken voor een MKB-organisatie op enkele weken doorlooptijd, niet op maanden fulltime werk.
Wie moet het plan vaststellen?
De directie of het bestuur, als advies: de AI Act wijst geen orgaan aan dat het plan moet vaststellen. Het plan belegt taken bij mensen en vraagt budget, dus het besluit hoort bij wie over allebei gaat. Een vastgesteld plan laat bij een vraag van de toezichthouder zien dat de leiding erachter staat.
Moet mijn plan langs de OR?
Vaak wel, als u een ondernemingsraad heeft. Raakt AI de arbeidsomstandigheden, het aanstellingsbeleid, de personeelsbeoordeling of voorzieningen die gedrag of prestaties volgen, dan heeft de OR instemmingsrecht (artikel 27, lid 1, onder d, e, g en l WOR). Een collectieve trainingsregeling valt onder personeelsopleiding (onder f). Gaat een hoog-risicosysteem op de werkplek in gebruik, dan informeert u vanaf 2 december 2027 vooraf ook de werknemersvertegenwoordigers en de betrokken werknemers (Artikel 26, lid 7). Betrek de OR liever vroeg dan achteraf.
Hoe vaak moet ik het plan herzien?
Minimaal één keer per jaar. Dat ritme is een advies: de AI Act laat de termijn voor zo'n plan aan u over. Herzie het daarnaast tussentijds bij een nieuw AI-systeem, een gewijzigd gebruiksdoel of een incident. Zet de herziening in de agenda in plaats van hem afhankelijk te maken van wie eraan denkt.
Heb ik een apart AI-beleid nodig naast dit plan?
Nee, niet per se. Plan en beleid kunnen in één document, mits het onderscheid duidelijk blijft: het plan beschrijft wat u gaat doen en het beleid wat er mag. Medewerkers hebben de gebruiksregels nodig, de toezichthouder wil de aanpak zien.
Van plan naar uitvoering
Een compliance-plan is geen doel op zich. Iedere stap moet leiden tot concrete actie: een ingericht register, geplande trainingen, gepubliceerd beleid, ondertekende verantwoordelijkheidsmatrix. Met de gratis risicoscan heeft u een eerste inschatting voordat u aan stap 1 en 2 begint. Een werkend AI compliance plan in vier weken is haalbaar voor de meeste MKB-organisaties.