Hoe voert u een AI-risicoanalyse uit?

Wanneer moet u een AI-risicoanalyse uitvoeren en wat komt erin te staan? Het korte antwoord: uw rol bepaalt het. Ontwikkelt u een hoog-risicosysteem, dan eist Artikel 9 een volwaardig risicobeheersysteem. Koopt u AI in, dan gelden de lichtere plichten uit Artikel 26, plus de grondrechtentoets van Artikel 27 in een aantal specifieke gevallen. Hieronder staat per rol wat er van u wordt verwacht, met een stappenplan dat u kunt volgen.

Wat is een AI-risicoanalyse?

Een AI-risicoanalyse (ook wel AI-risicobeoordeling genoemd) is een gestructureerde beoordeling van de risico's die een AI-systeem met zich meebrengt. U brengt in kaart welke schade het systeem kan veroorzaken voor individuen, groepen of de samenleving als geheel. Denk aan risico's op het gebied van discriminatie, privacy, veiligheid en transparantie.

Wie die beoordeling moet uitvoeren, hangt af van uw rol. Ontwikkelt u het AI-systeem zelf (of laat u het ontwikkelen) en brengt u het onder eigen naam in de handel of stelt u het in gebruik, dan bent u aanbieder (Artikel 3, punt 3). Ook intern gebruik telt mee. Artikel 9 schrijft u dan een volwaardig systeem voor risicobeheer voor: vastgesteld, uitgevoerd, gedocumenteerd en in stand gehouden gedurende de hele levensduur. Koopt u AI in, dan bent u gebruiksverantwoordelijke en gelden de plichten uit Artikel 26. Daar staat geen risicobeheersysteem in. Toch is een eigen analyse ook dan verstandig. Voor een deel van de organisaties is hij zelfs verplicht via de grondrechtentoets van Artikel 27. Het geeft u inzicht in mogelijke problemen voordat ze zich voordoen en laat aan toezichthouders zien dat u zorgvuldig handelt.

Wanneer is een AI-risicoanalyse verplicht?

De AI Act hanteert een risicogebaseerde aanpak. Niet elk AI-systeem vereist dezelfde mate van analyse. Het zwaarste regime geldt voor hoog-risico AI-systemen: systemen waarvan het beoogde doel in Bijlage III staat, zoals personeelswerving, kredietbeoordeling, toetsing in het onderwijs, triage van patiënten of rechtshandhaving. Voor de aanbieder van zo'n systeem betekent dat Artikel 9. Bent u gebruiksverantwoordelijke, dan draait het om Artikel 26. Daarbovenop komt de grondrechtentoets van Artikel 27 als u een publiekrechtelijk orgaan bent of als particuliere entiteit openbare diensten verleent. Diezelfde toets geldt voor iedereen die AI inzet voor kredietbeoordeling of voor risicobeoordeling en prijsstelling bij levens- en ziektekostenverzekeringen (Bijlage III, punt 5, onder b en c).

Ook als u twijfelt of uw systeem als hoog risico kwalificeert, is het verstandig om een basisanalyse uit te voeren. Hiermee voorkomt u dat u onbewust in overtreding bent en bouwt u een solide dossier op voor het geval een toezichthouder vragen stelt.

De vier risicocategorieën van de AI Act

Voordat u een risicoanalyse uitvoert, moet u begrijpen hoe de AI Act risico's classificeert. De verordening zelf noemt geen vier niveaus; dat is een indeling die de praktijk hanteert om vier regimes uit elkaar te houden: verboden praktijken (Artikel 5), hoog risico (Artikel 6 plus Bijlage I en Bijlage III), transparantieplichten (Artikel 50) en al het overige, waarvoor alleen Artikel 4 geldt.

Stap 1: Inventariseer uw AI-systemen

De eerste stap is het opstellen van een compleet overzicht van alle AI-systemen die uw organisatie gebruikt. Dit klinkt eenvoudig, maar veel bedrijven onderschatten hoeveel AI ze inzetten. AI zit tegenwoordig ingebouwd in tal van standaardsoftware: uw CRM, boekhoudsysteem, marketingtools en zelfs uw e-mailclient.

Loop elke afdeling langs en vraag welke tools en software er worden gebruikt. Controleer per tool of er AI-functionaliteit in zit. Documenteer voor elk systeem de naam, leverancier, het doel waarvoor het wordt ingezet en welke data het verwerkt.

Stap 2: Classificeer elk systeem in een risicocategorie

Voor elk geïnventariseerd AI-systeem bepaalt u in welke risicocategorie het valt. Stel uzelf de volgende vragen. Wordt het systeem gebruikt om beslissingen te nemen die mensen direct raken? Verwerkt het systeem bijzondere persoonsgegevens zoals gezondheidsdata of biometrische gegevens? Wordt het ingezet in een domein dat de AI Act als hoog risico aanmerkt? Kan het systeem schade veroorzaken als het fouten maakt?

Deze vragen zijn een zeef, geen classificatie. Alleen het derde punt is een wettelijke trigger: hoog risico volgt uit het beoogde doel van het systeem, zoals omschreven in Bijlage I of Bijlage III (Artikel 6, lid 1 en lid 2). Bijzondere persoonsgegevens of mogelijke schade maken een systeem op zichzelf niet hoog-risico. Antwoordt u ja op het derde punt, loop dan Artikel 6, lid 3 na voordat u concludeert.

De Artikel 6 guidelines: wanneer is een systeem echt hoog-risico?

Artikel 6, lid 5 droeg de Commissie op uiterlijk 2 februari 2026 richtsnoeren te leveren over de praktische uitvoering van dit artikel. Die termijn is niet gehaald. Op 19 mei 2026 publiceerde de Commissie een concept, waarover een gerichte consultatie liep die op 23 juli 2026 sloot; vaststelling wordt eind 2026 verwacht. Er zijn dus nog geen vastgestelde richtsnoeren bij Artikel 6. Wat er geldt, staat in de verordening zelf.

De uitzondering staat in de verordening zelf, in Artikel 6, lid 3. Zij is smaller dan zij lijkt. Een systeem uit Bijlage III telt niet als hoog risico wanneer het geen significant risico op schade voor gezondheid, veiligheid of grondrechten inhoudt, onder meer doordat het de uitkomst van de besluitvorming niet wezenlijk beïnvloedt. Dat is het geval als aan één van vier voorwaarden is voldaan: het systeem voert een beperkte procedurele taak uit, het verbetert het resultaat van een eerder voltooide menselijke activiteit, het spoort besluitvormingspatronen of afwijkingen daarvan op zonder de eerdere menselijke beoordeling zonder behoorlijke toetsing te vervangen of te beïnvloeden, of het verricht een voorbereidende taak. Voert het systeem profilering van natuurlijke personen uit, dan is het altijd hoog risico. Menselijk toezicht is geen vrijstellingsgrond: een formele controle redt een systeem niet zodra de output de uitkomst feitelijk stuurt. Een aanbieder die op deze grond concludeert dat zijn systeem geen hoog risico inhoudt, documenteert die beoordeling vooraf en registreert het systeem in de EU-databank (Artikel 6, lid 4, plus Artikel 49, lid 2).

Praktijkvoorbeelden: wel of niet hoog-risico?

Deze vraag is voor veel bedrijven het lastigste onderdeel van de risicoanalyse. Een paar concrete voorbeelden helpen.

Wel hoog-risicoeen AI-systeem dat cv's screent en kandidaten rangschikt voor een recruiter. Het systeem beïnvloedt direct wie er wordt uitgenodigd voor een gesprek. Een AI-tool die kredietaanvragen beoordeelt en automatisch goedkeurt of afwijst. AI in een medisch apparaat dat diagnoses voorstelt aan een arts.

Niet hoog-risico (ondanks gevoelig domein)een AI-spellingscontrole die wordt gebruikt in een ziekenhuis. Het systeem valt weliswaar in de zorgsector, maar het neemt geen medische beslissingen. Een AI-chatbot die veelgestelde vragen beantwoordt op de website van een uitzendbureau. Het systeem helpt met informatie, maar selecteert geen kandidaten. Een AI-tool die vergadernotities samenvat voor een HR-afdeling. Het systeem verwerkt mogelijk personeelsdata, maar neemt geen beslissingen over mensen.

De kern is steeds: heeft het AI-systeem een materiële invloed op beslissingen die mensen raken? Zo ja, dan is het waarschijnlijk hoog-risico. Zo nee, dan kunt u dit documenteren en het systeem als beperkt of minimaal risico classificeren. Leg uw redenering vast. Bij een eventuele inspectie is een onderbouwde classificatie veel sterker dan geen classificatie.

Stap 3: Voer de risicoanalyse uit

Voor elk hoog-risico systeem voert u een gedetailleerde analyse uit. Een goede AI-risicoanalyse omvat de volgende onderdelen.

• Systeembeschrijving: wat doet het systeem, hoe werkt het en waarvoor wordt het ingezet?
• Gegevensverwerking: welke data gaan er in en komen er uit? Zijn er bijzondere persoonsgegevens bij betrokken?
• Risico-identificatie: welke risico's zijn er rond bias en discriminatie, privacy, veiligheid, uitlegbaarheid en grondrechten?
• Risicobeoordeling: hoe waarschijnlijk is het dat elk geïdentificeerd risico zich voordoet en wat is de potentiële ernst?
• Beheersmaatregelen: welke maatregelen neemt u om de geïdentificeerde risico's te beperken?
• Restrisico: welke risico's blijven over na het nemen van beheersmaatregelen en zijn deze aanvaardbaar?

Stap 4: Documenteer uw bevindingen

Alles wat u tijdens de risicoanalyse vaststelt, legt u vast. Voor de aanbieder van een hoog-risicosysteem is dat een wettelijke verplichting: de technische documentatie moet klaar zijn vóór het in de handel brengen of in gebruik stellen en bevat ten minste de elementen uit Bijlage IV (Artikel 11, lid 1). Bent u gebruiksverantwoordelijke, dan kent de wet u die documentatieplicht niet toe, alleen de logbewaring van Artikel 26, lid 6 en, in de gevallen van Artikel 27, de grondrechtentoets. Vastleggen blijft dan uw beste verdediging bij een eventuele inspectie. Leg per systeem vast welke risico's u heeft geïdentificeerd, hoe u deze heeft beoordeeld, welke maatregelen u heeft genomen, wie verantwoordelijk is voor het toezicht en wanneer de analyse voor het laatst is herzien.

Bewaar deze documentatie in uw AI-register, zodat alles centraal beschikbaar is.

Stap 5: Monitor en herzie periodiek

Een risicoanalyse is geen eenmalige exercitie. AI-systemen veranderen, uw gebruik ervan evolueert en de regelgeving ontwikkelt zich. Plan minimaal een jaarlijkse herziening van uw risicoanalyses. Voer tussentijds een nieuwe analyse uit als er significante wijzigingen plaatsvinden, bijvoorbeeld wanneer een systeem wordt geüpgraded, wanneer u het voor een nieuw doel gaat inzetten, of wanneer er incidenten of klachten zijn.

Veelgestelde vragen

Begin bij één systeem

Een risicoanalyse voor uw hele AI-landschap tegelijk is een project. Voor één systeem is het een middag. Kies het systeem met de meeste impact op mensen, doorloop de vijf stappen en gebruik dat als sjabloon voor de rest.

Voor hoog-risico Bijlage III-systemen ligt de deadline op 2 december 2027. AI-geletterdheid geldt nu al. De gratis risicoscan geeft in vijf minuten een eerste risicoprofiel per systeem, inclusief de verplichtingen die daarbij horen.