Wanneer moet u een AI-risicoanalyse uitvoeren, en wat komt erin te staan? Het korte antwoord: uw rol bepaalt het. Ontwikkelt u een hoog-risicosysteem, dan eist Artikel 9 een volwaardig risicobeheersysteem. Koopt u AI in, dan gelden de lichtere plichten uit Artikel 26, plus de grondrechtentoets van Artikel 27 in een aantal specifieke gevallen. Hieronder staat per rol wat er van u wordt verwacht, met een stappenplan dat u kunt volgen.
Wat is een AI-risicoanalyse?
Een AI-risicoanalyse (ook wel AI-risicobeoordeling genoemd) is een gestructureerde beoordeling van de risico's die een AI-systeem met zich meebrengt. U brengt in kaart welke schade het systeem kan veroorzaken voor individuen, groepen of de samenleving als geheel. Denk aan risico's op het gebied van discriminatie, privacy, veiligheid en transparantie.
Wie die beoordeling moet uitvoeren, hangt af van uw rol. Ontwikkelt u het AI-systeem zelf en brengt u het op de markt, dan bent u aanbieder. Artikel 9 schrijft u dan een volwaardig systeem voor risicobeheer voor: vastgesteld, uitgevoerd, gedocumenteerd en in stand gehouden gedurende de hele levensduur. Koopt u AI in, dan bent u gebruiksverantwoordelijke en gelden de plichten uit Artikel 26. Daar staat geen risicobeheersysteem in. Toch is een eigen analyse ook dan verstandig, en voor een deel van de organisaties zelfs verplicht via de grondrechtentoets van Artikel 27. Het geeft u inzicht in mogelijke problemen voordat ze zich voordoen en laat aan toezichthouders zien dat u zorgvuldig handelt.
Wanneer is een AI-risicoanalyse verplicht?
De AI Act hanteert een risicogebaseerde aanpak. Niet elk AI-systeem vereist dezelfde mate van analyse. Het zwaarste regime geldt voor hoog-risico AI-systemen: systemen waarvan het beoogde doel in Bijlage III staat, zoals personeelswerving, kredietbeoordeling, toetsing in het onderwijs, triage van patiënten of rechtshandhaving. Voor de aanbieder van zo'n systeem betekent dat Artikel 9. Bent u gebruiksverantwoordelijke, dan draait het om Artikel 26. Daarbovenop komt de grondrechtentoets van Artikel 27 als u een publiekrechtelijk orgaan bent of als particuliere entiteit openbare diensten verleent. Diezelfde toets geldt voor iedereen die AI inzet voor kredietbeoordeling of voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (Bijlage III, punt 5, onder b en c).
Ook als u twijfelt of uw systeem als hoog risico kwalificeert, is het verstandig om een basisanalyse uit te voeren. Hiermee voorkomt u dat u onbewust in overtreding bent en bouwt u een solide dossier op voor het geval een toezichthouder vragen stelt.
De vier risicocategorieën van de AI Act
Voordat u een risicoanalyse uitvoert, moet u begrijpen hoe de AI Act risico's classificeert. De wet onderscheidt vier niveaus.
Onaanvaardbaar risico
VerbodenVerboden sinds 2 februari 2025
Sociale kredietsystemen, realtime biometrische identificatie in openbare ruimtes, manipulatieve AI gericht op kwetsbare groepen, emotieherkenning op de werkplek of in het onderwijs.
Bron: Artikel 5
Hoog risico
Strenge eisenVerplicht vanaf 2 december 2027
AI voor kredietbeoordeling, werving en selectie, beoordeling in het onderwijs, medische apparatuur en kritieke infrastructuur. Strenge verplichtingen: conformiteitsbeoordeling, technische documentatie, menselijk toezicht, doorlopend risicobeheer.
Bron: Bijlage III + Bijlage I
Beperkt risico
TransparantieVanaf 2 augustus 2026
Chatbots, AI die tekst, beeld of geluid genereert, deepfakes. Gebruikers moeten weten dat ze met AI te maken hebben en AI-gegenereerde content moet als zodanig herkenbaar zijn.
Bron: Artikel 50
Minimaal risico
Geen specifieke eisenGeen aanvullende verplichtingen
Het overgrote deel van AI-toepassingen valt hieronder: spamfilters, AI in videogames, aanbevelingsalgoritmes voor entertainment. Algemene beginselen blijven gelden, maar er zijn geen specifieke nalevingseisen.
Bron: Algemene beginselen
Stap 1: Inventariseer uw AI-systemen
De eerste stap is het opstellen van een compleet overzicht van alle AI-systemen die uw organisatie gebruikt. Dit klinkt eenvoudig, maar in de praktijk onderschatten veel bedrijven hoeveel AI ze inzetten. AI zit tegenwoordig ingebouwd in tal van standaardsoftware: uw CRM, boekhoudsysteem, marketingtools en zelfs uw e-mailclient.
Loop elke afdeling langs en vraag welke tools en software er worden gebruikt. Controleer per tool of er AI-functionaliteit in zit. Documenteer voor elk systeem de naam, leverancier, het doel waarvoor het wordt ingezet en welke data het verwerkt.
Stap 2: Classificeer elk systeem in een risicocategorie
Voor elk geïnventariseerd AI-systeem bepaalt u in welke risicocategorie het valt. Stel uzelf de volgende vragen. Wordt het systeem gebruikt om beslissingen te nemen die mensen direct raken? Verwerkt het systeem bijzondere persoonsgegevens zoals gezondheidsdata of biometrische gegevens? Wordt het ingezet in een domein dat de AI Act als hoog risico aanmerkt? Kan het systeem schade veroorzaken als het fouten maakt?
Als u op een of meer van deze vragen ja antwoordt, is de kans groot dat het om een hoog-risico systeem gaat en dat een uitgebreide risicoanalyse verplicht is.
De Artikel 6 guidelines: wanneer is een systeem echt hoog-risico?
In februari 2026 publiceerde de Europese Commissie de langverwachte guidelines bij Artikel 6 van de AI Act. Deze richtlijnen verduidelijken wanneer een AI-systeem dat in een hoog-risico domein wordt ingezet, daadwerkelijk als hoog-risico kwalificeert. Want niet elk systeem in een gevoelig domein is automatisch hoog-risico.
De guidelines bevatten een belangrijke uitzondering. Een AI-systeem dat valt onder Bijlage III (de lijst met hoog-risico domeinen) hoeft niet als hoog-risico te worden behandeld als het geen significant risico vormt voor de gezondheid, veiligheid of grondrechten van personen. Concreet: als het systeem slechts een ondersteunende rol speelt bij menselijke besluitvorming, als het geen invloed heeft op de uitkomst van een beslissing, of als het puur administratieve taken automatiseert zonder mensen te raken.
Praktijkvoorbeelden: wel of niet hoog-risico?
Deze vraag is voor veel bedrijven het lastigste onderdeel van de risicoanalyse. Een paar concrete voorbeelden helpen.
Wel hoog-risicoeen AI-systeem dat cv's screent en kandidaten rangschikt voor een recruiter. Het systeem beïnvloedt direct wie er wordt uitgenodigd voor een gesprek. Een AI-tool die kredietaanvragen beoordeelt en automatisch goedkeurt of afwijst. AI in een medisch apparaat dat diagnoses voorstelt aan een arts.
Niet hoog-risico (ondanks gevoelig domein)een AI-spellingscontrole die wordt gebruikt in een ziekenhuis. Het systeem valt weliswaar in de zorgsector, maar het neemt geen medische beslissingen. Een AI-chatbot die veelgestelde vragen beantwoordt op de website van een uitzendbureau. Het systeem helpt met informatie, maar selecteert geen kandidaten. Een AI-tool die vergadernotities samenvat voor een HR-afdeling. Het systeem verwerkt mogelijk personeelsdata, maar neemt geen beslissingen over mensen.
De kern is steeds: heeft het AI-systeem een materiële invloed op beslissingen die mensen raken? Zo ja, dan is het waarschijnlijk hoog-risico. Zo nee, dan kunt u dit documenteren en het systeem als beperkt of minimaal risico classificeren. Leg uw redenering vast. Bij een eventuele inspectie is een onderbouwde classificatie veel sterker dan geen classificatie.
Stap 3: Voer de risicoanalyse uit
Voor elk hoog-risico systeem voert u een gedetailleerde analyse uit. Een goede AI-risicoanalyse omvat de volgende onderdelen.
- Systeembeschrijving: wat doet het systeem, hoe werkt het en waarvoor wordt het ingezet?
- Gegevensverwerking: welke data gaan er in en komen er uit? Zijn er bijzondere persoonsgegevens bij betrokken?
- Risico-identificatie: welke risico's zijn er rond bias en discriminatie, privacy, veiligheid, uitlegbaarheid en grondrechten?
- Risicobeoordeling: hoe waarschijnlijk is het dat elk geïdentificeerd risico zich voordoet en wat is de potentiële ernst?
- Beheersmaatregelen: welke maatregelen neemt u om de geïdentificeerde risico's te beperken?
- Restrisico: welke risico's blijven over na het nemen van beheersmaatregelen en zijn deze aanvaardbaar?
Stap 4: Documenteer uw bevindingen
Alles wat u tijdens de risicoanalyse vaststelt, moet worden gedocumenteerd. Dit is niet alleen een wettelijke verplichting, maar ook uw beste verdediging bij een eventuele inspectie. Leg per systeem vast welke risico's u heeft geïdentificeerd, hoe u deze heeft beoordeeld, welke maatregelen u heeft genomen, wie verantwoordelijk is voor het toezicht en wanneer de analyse voor het laatst is herzien.
Bewaar deze documentatie in uw AI-register, zodat alles centraal beschikbaar is.
Stap 5: Monitor en herzie periodiek
Een risicoanalyse is geen eenmalige exercitie. AI-systemen veranderen, uw gebruik ervan evolueert en de regelgeving ontwikkelt zich. Plan minimaal een jaarlijkse herziening van uw risicoanalyses. Voer tussentijds een nieuwe analyse uit als er significante wijzigingen plaatsvinden, bijvoorbeeld wanneer een systeem wordt geüpgraded, wanneer u het voor een nieuw doel gaat inzetten, of wanneer er incidenten of klachten zijn.
Veelgestelde vragen
Moet ik een risicoanalyse doen als ik AI alleen inkoop?
Wettelijk niet in de vorm van Artikel 9, want dat richt zich op de aanbieder. Als gebruiksverantwoordelijke gelden de plichten uit Artikel 26: gebruik volgens de instructies, menselijk toezicht beleggen en de werking monitoren. Verleent u openbare diensten, beoordeelt u kredietaanvragen of prijst u levens- en ziektekostenverzekeringen, dan komt de grondrechtentoets van Artikel 27 er wel bij.
Wat is het verschil met een DPIA?
Een DPIA (Artikel 35 AVG) kijkt naar risico's voor persoonsgegevens. Een AI-risicoanalyse kijkt breder: ook naar bias, veiligheid, uitlegbaarheid en de gevolgen voor grondrechten, ook waar geen persoonsgegevens in het spel zijn. Ze overlappen vaak, dus hergebruik wat u al heeft. Vervangen doen ze elkaar niet.
Hoe vaak moet ik de analyse herzien?
Minimaal jaarlijks, en tussentijds bij elke materiële wijziging: een upgrade, een nieuw gebruiksdoel, een nieuwe dataset of een incident. Voor aanbieders van hoog-risico AI is dat geen keuze; Artikel 9 spreekt van een doorlopend proces gedurende de hele levensduur van het systeem.
Wie voert de analyse uit binnen mijn organisatie?
In het MKB meestal de FG of de compliance officer, samen met de eigenaar van het proces waarin het systeem draait. Die laatste is onmisbaar: alleen hij weet wat het systeem in de praktijk beslist. Bij hoog-risico systemen is technische input van de leverancier nodig over trainingsdata en bekende beperkingen.
Wat als ik twijfel of een systeem hoog-risico is?
Documenteer de twijfel en uw redenering, en kies bij aanhoudende onduidelijkheid de zwaardere route. Een onderbouwde classificatie die achteraf te streng blijkt, kost u werk. Geen classificatie kost u het dossier.
Begin bij één systeem
Een risicoanalyse voor uw hele AI-landschap tegelijk is een project. Voor één systeem is het een middag. Kies het systeem met de meeste impact op mensen, doorloop de vijf stappen en gebruik dat als sjabloon voor de rest.
Voor hoog-risico Bijlage III-systemen ligt de deadline op 2 december 2027. AI-geletterdheid geldt nu al. De gratis risicoscan geeft in vijf minuten een eerste risicoprofiel per systeem, inclusief de verplichtingen die daarbij horen.