Een ICT-bedrijf dat AI bouwt en onder eigen naam aan een klant levert, is aanbieder.
De rol van aanbieder is zwaarder dan die van gebruiker en hangt niet af van het risiconiveau. Veel dienstverleners ontdekken dat pas als de klant om documentatie vraagt.
In het kort
- Brengt u een product met AI onder uw eigen naam op de markt, dan bent u aanbieder van dat AI-systeem (Art. 3 punt 3), naast gebruiksverantwoordelijke voor wat u zelf inzet.
- Is dat systeem hoog-risico, dan wegen de aanbiedersplichten zwaar: technische documentatie, conformiteitsbeoordeling en bij Bijlage III registratie in de EU-databank (Art. 11, 43 en 49).
- Hoofdstuk V (Art. 51-56) bindt aanbieders van GPAI-modellen. Integreert u GPT, Claude of Gemini in een systeem onder uw eigen naam, dan bent u aanbieder van dat AI-systeem (Art. 3 punt 3). De modelplichten blijven bij de modelaanbieder, zolang u het model niet ingrijpend bijtraint.
- Zakelijke klanten en aanbestedende diensten kunnen ISO 42001 vragen.
Wanneer bent u aanbieder?
Volgens Artikel 3, punt 3 geldt: wie een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam of merk in de handel brengt of in gebruik stelt, is aanbieder. In gebruik stellen omvat eigen gebruik (punt 11). Het maakt dus niet uit of het gratis is, of het alleen intern draait, of hoe hoog het risico is. De zware documentatieplichten volgen pas als het systeem hoog-risico is, maar de rol staat los daarvan.
U bent aanbieder
- U levert een AI-oplossing onder uw eigen naam aan een klant
- U bouwt een model in een klantomgeving en zet uw merk erop
- U integreert een bestaand taalmodel in een eigen product
- U zet uw naam op een systeem dat een derde voor u bouwde
U bent gebruiksverantwoordelijke
- U beheert de AI-functies in software van een leverancier
- U zet AI-tools in voor uw eigen ontwikkeling of support
- U implementeert een product van een derde onder diens naam
- U host een oplossing zonder er inhoudelijk aan te bouwen
Over algemene AI-modellen bestaat een hardnekkig misverstand. Hoofdstuk V bindt de aanbieder van het model, dus OpenAI, Anthropic of Google. Integreert u zo'n model in een eigen systeem, dan bent u aanbieder van dát systeem en blijven de modelverplichtingen bij de modelaanbieder. Dat verandert pas als u het model zelf ingrijpend bijtraint: volgens de richtsnoeren van de Commissie wordt u dan aanbieder van het gewijzigde model, met plichten die beperkt blijven tot uw wijziging (overweging 109). Toezicht op de modellen ligt exclusief bij de Commissie en het AI Office (Artikel 88).
Wat u wel moet doen, is uw modelleverancier om de documentatie uit Artikel 53 lid 1 onder b vragen. Zonder die informatie kunt u uw eigen dossier niet sluitend maken. Uw klant vraagt ernaar.
Wat er geldt voor wat u bouwt en levert
Voor een ICT-dienstverlener hangt de laatste regel af van wat u bouwt en voor wie. De rest geldt onafhankelijk daarvan.
- Sinds 2 februari 2025Artikel 4
Consultants verdiepen zich in wat de wet van een klantproject vraagt
U neemt maatregelen die ontwikkelaars en consultants helpen inschatten wat de wet vraagt van wat zij bouwen of adviseren. Bij ICT-bedrijven is dat vaker een verkoopargument dan een last.
- Sinds 2 augustus 2025Hoofdstuk V (Artikelen 51-56)
Modelaanbieders vallen onder Hoofdstuk V
Bouwt u zelf een algemeen AI-model, dan gelden documentatie- en auteursrechtverplichtingen (Artikel 53). Integreert u een bestaand model, dan liggen die bij uw leverancier, tenzij u het model zelf ingrijpend bijtraint (overweging 109).
- Sinds 2 augustus 2026Artikel 50
Een chatbot die u onder eigen naam levert
Levert u een chatbot, dan zorgt de aanbieder dat gebruikers weten dat ze met AI praten (lid 1). Bij een generatieve functie markeert de aanbieder de output machineleesbaar (lid 2). Draait het onder uw naam, dan bent u die aanbieder.
- VandaagVanaf 2 december 2027Bijlage III
Uw software is bedoeld voor werving of krediet
Technische documentatie, conformiteitsbeoordeling, registratie in de EU-databank en monitoring na oplevering. Dit is het scenario waarvoor u vandaag al inkoopvragen krijgt.
Verschoven door de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026): Bijlage III van 2 augustus 2026 naar 2 december 2027. De datum voor de transparantieplicht van Artikel 50 is gelijk gebleven.
De rolvraag hoort in het contract
In de meeste opdrachten is nooit expliciet vastgelegd wie aanbieder is. Dat gaat goed tot het moment waarop de klant een audit krijgt en om technische documentatie vraagt die niemand heeft gemaakt. De discussie die dan volgt, gaat over geld en aansprakelijkheid. Die had u aan de voorkant kunnen voeren.
Neem de rolverdeling dus op in uw offerte en uw leveringsvoorwaarden. Wie is aanbieder, wie is gebruiksverantwoordelijke, wie levert welk document en wat gebeurt er als het systeem later hoog-risico blijkt. Dat laatste komt voor, want een classificatie verandert zodra de klant het systeem voor een ander doel gaat inzetten.
Er is een commerciële kant die vaak wordt onderschat. Klanten in de zorg, finance en bij de overheid moeten hun leveranciers kunnen bevragen. Wie de documentatie op orde heeft, wint aanbestedingen van partijen die dat niet hebben. Zakelijke klanten en aanbestedende diensten kunnen ISO 42001 vragen.
Kijk daarnaast naar uw eigen organisatie. Voor de AI-tools die uw teams intern gebruiken, bent u gewoon gebruiksverantwoordelijke. U neemt maatregelen voor de AI-geletterdheid van die teams (Artikel 4). Een overzicht van de tools is daarvoor het handigste startpunt. Dat deel is klein. Het is ook het deel dat het vaakst wordt overgeslagen omdat alle aandacht naar de klantkant gaat.
Documentatie die u aan een klant kunt overhandigen
U legt per systeem vast welke rol u heeft en wat u levert, waarna het platform de bijbehorende verplichtingen klaarzet. De technische documentatie en het AI-beleid genereert u eruit, in een vorm die u aan een klant kunt overhandigen. Uw eigen interne tools staan in hetzelfde register.
Beheert u de omgeving van klanten en wilt u dit als dienst aan hen aanbieden? Lees hoe IT-dienstverleners en MSP's dat doen.
Veelgestelde vragen voor ICT-dienstverleners
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Zodra u een AI-systeem ontwikkelt of laat ontwikkelen en het onder uw eigen naam of merk in de handel brengt of in gebruik stelt (Artikel 3, punt 3). Dat geldt ook bij gratis levering en bij systemen die alleen bij één klant draaien. Implementeert u een product van een derde onder diens naam, dan blijft die de aanbieder.
Nee, niet door het model te integreren. Hoofdstuk V bindt de aanbieder van het model zelf. U bent aanbieder van het AI-systeem dat u eromheen bouwt, met de verplichtingen die bij dát systeem horen. Vraag uw modelleverancier wel om de documentatie uit Artikel 53 lid 1 onder b, want die heeft u nodig voor uw eigen dossier. Traint u het model zelf ingrijpend bij, met meer dan een derde van de rekenkracht van de oorspronkelijke training, dan wordt u volgens de richtsnoeren van de Commissie wel aanbieder van het gewijzigde model.
Nee, alleen voor hoog-risicosystemen. De aanbiedersrol ontstaat ongeacht risiconiveau, maar de zware plichten uit Artikel 11 en Bijlage IV gelden pas bij hoog-risico. Voor de rest volstaan scholing, transparantie waar die van toepassing is en een deugdelijk register.
Dan kan de classificatie verschuiven. Soms verschuift de aanbiedersrol mee: wie een systeem wezenlijk wijzigt of voor een ander beoogd doel inzet, kan zelf aanbieder worden zodra het daardoor hoog-risico blijft of wordt (Artikel 25 lid 1). Voor Bijlage III geldt die regel vanaf 2 december 2027. Leg het beoogde doel daarom expliciet vast in de gebruiksinstructies en het contract.
Ja, vooral in de zorg, finance en bij de overheid. Die organisaties moeten hun eigen keten kunnen verantwoorden en schuiven de vraag door naar hun leveranciers. Zakelijke klanten en aanbestedende diensten kunnen ISO 42001 vragen.
Bent u aanbieder of gebruiksverantwoordelijke?
De gratis risicoscan beantwoordt die vraag voor uw organisatie en noemt de plichten die erbij horen.