Zodra een AI-functie onder uw naam bij een klant draait, bent u aanbieder van dat systeem. Dat geldt bij een gratis plan en bij één samenvattingsknop. Wat er níet uit volgt is net zo belangrijk: de zware documentatieplichten beginnen pas bij hoog-risico.
De rol ontstaat vroeg, de plichten komen laat. Dat onderscheid scheelt de meeste SaaS-bedrijven een hoop onnodige paniek. Wat u hoe dan ook moet doen is klein. Wat pas geldt bij hoog-risico is groot.
Wanneer wordt uw product hoog-risico? Niet door de techniek, maar door wat klanten ermee doen. Bouwt u een HR-tool die kandidaten rangschikt, dan zit u in Bijlage III punt 4. Bouwt u analysesoftware die banken voor kredietbeoordeling inzetten, dan in punt 5. Uw beoogde doel bepaalt de classificatie. Dat legt u zelf vast.
Over algemene AI-modellen: Hoofdstuk V bindt de aanbieder van het model, niet u als afnemer. Er bestaat geen gedeelde aansprakelijkheid voor de modelverplichtingen. Vraag uw leverancier wel om de documentatie uit Artikel 53 lid 1 onder b, want zonder die informatie krijgt u uw eigen dossier niet rond.
Voor de meeste SaaS-bedrijven ligt alles wat geldt al achter u. De laatste regel raakt u alleen als uw product in een Bijlage III-gebruik terechtkomt.
Wie features ontwerpt, moet weten welk gebruik een product naar hoog-risico duwt. Dat is hier goedkoper vooraf dan achteraf.
Hoofdstuk V bindt de aanbieder van het model. Vraag hem om de documentatie uit Artikel 53 lid 1 onder b en bewaar die bij uw eigen dossier.
Chatfuncties en gegenereerde content moeten herkenbaar zijn. De plicht ligt bij de aanbieder, dus bij u zodra het onder uw naam draait.
Technische documentatie, conformiteitsbeoordeling, EU-databank en monitoring na oplevering. Dit is het scenario waarvoor uw enterprise-klanten nu al vragenlijsten sturen.
Deze datum is verschoven door het Digital Omnibus-pakket, dat op 27 juli 2026 in werking trad als Verordening (EU) 2026/1744. Bijlage III ging van 2 augustus 2026 naar 2 december 2027. De transparantieplicht van Artikel 50 schoof niet mee.
Voor de meeste SaaS-bedrijven komt de druk niet van een toezichthouder maar van de inkoopafdeling van een klant. Een ziekenhuis, een bank of een gemeente moet zijn eigen keten kunnen verantwoorden en schuift die vraag door. Wie geen antwoord heeft, verliest de deal. Dat gebeurt ruim voor december 2027.
Het praktische advies is dus commercieel, niet juridisch. Zorg dat u per feature kunt zeggen: dit is AI, dit model zit erachter, deze data gaat erin, dit zijn de grenzen. Die vier regels beantwoorden het grootste deel van elke vragenlijst die u krijgt. En ze zijn de basis voor uw technische documentatie als het systeem later toch hoog-risico blijkt.
Contractueel is er één ding dat vaak ontbreekt. Uw verwerkersovereenkomst dekt persoonsgegevens, maar zegt meestal niets over AI: welke inzet is toegestaan, wat gebeurt er als een klant het product voor iets anders gebruikt dan het beoogde doel en wie doet wat bij een incident. Een korte AI-bijlage bij uw bestaande contract lost dat op.
ISO 42001 duikt in dit gesprek steeds vaker op. Het is geen wettelijke eis, maar wel de vorm waarin grote klanten hun vraag gieten. Wie ISO 27001 al heeft, kan het managementsysteem uitbreiden in plaats van een tweede naast het eerste te bouwen.
U legt per feature vast wat er draait, welk model erachter zit en wat het beoogde doel is. Het platform bepaalt de classificatie en zet de verplichtingen klaar die bij uw rol horen. De technische documentatie en het AI-beleid genereert u eruit, in een vorm die u rechtstreeks aan een inkoopafdeling kunt sturen.
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Ja. Artikel 3 lid 3 kijkt naar wie het AI-systeem onder eigen naam of merk levert, niet naar wie het model heeft getraind. U bent aanbieder van uw systeem; de modelaanbieder blijft verantwoordelijk voor het model. Dat geldt ook bij een gratis plan.
Alleen als uw systeem hoog-risico is. De aanbiedersrol ontstaat bij elke AI-feature, maar Artikel 11 en Bijlage IV gelden pas bij hoog-risico. Documenteer per feature toch al welk model, welke data en welke grenzen: dat is de basis als de classificatie later verschuift en het beantwoordt uw inkoopvragen vandaag.
Door het beoogde gebruik, niet door de techniek. Een tool die sollicitanten rangschikt valt onder Bijlage III punt 4, software voor kredietbeoordeling onder punt 5. Leg het beoogde doel vast in uw documentatie: dat bepaalt de classificatie en beschermt u als een klant het anders inzet.
Nee. De verplichtingen uit Hoofdstuk V liggen bij de aanbieder van het algemene AI-model. Het toezicht daarop ligt exclusief bij de Commissie en het AI Office (Artikel 88). Vraag uw leverancier wel om de documentatie uit Artikel 53 lid 1 onder b.
Wettelijk niet. Commercieel steeds vaker wel: grote klanten gieten hun AI-vragen in die vorm. Heeft u ISO 27001, dan kunt u het managementsysteem uitbreiden via dezelfde structuur in plaats van een tweede traject op te tuigen.
De gratis risicoscan laat in vijf minuten zien welke rol u heeft per feature en wat een klant straks van u vraagt.
