Bent u aanbieder onder de AI Act als uw SaaS-product alleen een AI-API aanroept?
Zodra een AI-functie onder uw naam bij een klant draait, bent u aanbieder van dat systeem. Dat geldt bij een gratis plan en bij één samenvattingsknop. De zware documentatieplichten beginnen pas bij hoog-risico.
In het kort
- Brengt u een product met AI-functies onder eigen naam op de markt, dan bent u aanbieder onder de AI Act (Art. 3 punt 3).
- Dat geldt ook als de AI op een model van een ander draait. De verplichtingen voor het onderliggende model blijven bij de modelaanbieder.
- GPAI-verplichtingen (Hoofdstuk V, Artikelen 51-56) voor aanbieders van algemene AI-modellen gelden sinds 2 augustus 2025.
- Zakelijke klanten vragen steeds vaker naar ISO 42001. De AI Act eist die norm niet, maar hij past in hetzelfde managementsysteem als ISO 27001.
Wat betekent de aanbiedersrol voor uw SaaS-product?
U bent aanbieder vanaf de eerste AI-feature, maar de zware plichten gelden pas als het systeem hoog-risico is. Wat er bij elke feature bij komt, is beperkt.
Geldt bij elke AI-feature
- U neemt maatregelen voor de AI-geletterdheid van wie met de AI werkt (Artikel 4)
- Praat een gebruiker rechtstreeks met uw AI, dan maakt het product dat kenbaar (Artikel 50 lid 1)
- Genereert uw product tekst, beeld, video of audio, dan markeert u die output machineleesbaar (Artikel 50 lid 2)
- Geen van uw features valt onder een verboden praktijk uit Artikel 5
Geldt pas bij hoog-risico
- Technische documentatie volgens Artikel 11 en Bijlage IV
- Conformiteitsbeoordeling vóór u het systeem in de handel brengt of in gebruik stelt (Artikel 16)
- Registratie in de EU-databank voor systemen uit Bijlage III (Artikel 49, lid 1)
- Monitoring na het in de handel brengen en melding van ernstige incidenten (Artikel 72 en 73)
Wanneer wordt uw product hoog-risico? Dat hangt af van het beoogde doel dat u eraan geeft (Artikel 3, punt 12). Is uw HR-tool bedoeld om kandidaten te rangschikken, dan valt hij onder Bijlage III punt 4 onder a. Is uw analysesoftware bedoeld om de kredietwaardigheid van natuurlijke personen te beoordelen, dan valt hij onder punt 5 onder b. Dat doel legt u zelf vast, in uw gebruiksinstructies en ook in uw verkoopmateriaal. Zet een klant uw product toch voor zo'n doel in, dan wordt die klant zelf aanbieder (Artikel 25, lid 1, onder c).
Over algemene AI-modellen: Hoofdstuk V bindt de aanbieder van het model. Roept u een model via een API aan of past u het beperkt aan, dan blijven de modelverplichtingen bij hem. Kost uw aanpassing meer dan een derde van de rekenkracht waarmee het model oorspronkelijk is getraind, dan wordt u volgens de richtsnoeren van de Commissie zelf aanbieder van het gewijzigde model, in de regel alleen voor wat u hebt gewijzigd. Vraag uw leverancier om de documentatie uit Artikel 53 lid 1 onder b, want zonder die informatie krijgt u uw eigen dossier niet rond. Bij een open-sourcemodel hoeft de modelaanbieder die niet altijd te leveren (Artikel 53 lid 2).
Wat een SaaS-aanbieder per datum regelt
Wat boven de markering Vandaag staat, geldt al. Genereert uw product beeld, video of audio, dan telt ook 2 december 2026. De datum 2 december 2027 raakt u als het beoogde doel van uw product onder Bijlage III valt, of als u zelf AI inzet om sollicitanten of medewerkers te beoordelen.
- Sinds 2 februari 2025Artikel 4
Maatregelen voor de AI-geletterdheid van uw team
U neemt maatregelen die de AI-geletterdheid ondersteunen van iedereen die namens u met AI werkt, van engineer tot supportmedewerker. Voor een SaaS-team hoort daarbij dat productmanagers herkennen wanneer een nieuw beoogd doel een feature onder Bijlage III brengt. Een bepaald kennisniveau per persoon hoeft u niet te garanderen.
- Sinds 2 augustus 2025Hoofdstuk V (Artikelen 51-56)
Modelverplichtingen liggen bij uw leverancier
Hoofdstuk V bindt de aanbieder van het model. Vraag hem om de documentatie uit Artikel 53 lid 1 onder b en bewaar die bij uw eigen dossier.
- Sinds 2 augustus 2026Artikel 50
Machineleesbare markering op gegenereerde output
Chatfuncties maken kenbaar dat de gebruiker met AI praat (lid 1). Genereert uw product tekst, beeld, video of audio, dan markeert u die output machineleesbaar (lid 2). Was die functie al vóór 2 augustus 2026 op de markt, dan moet die markering er uiterlijk op 2 december 2026 zijn (Artikel 111, lid 4). Een feature die alleen ondersteunt bij standaardbewerking of de invoer niet wezenlijk wijzigt, valt buiten lid 2. De plicht ligt bij de aanbieder, dus bij u zodra het onder uw naam draait.
- VandaagVanaf 2 december 2026Artikel 5
Twee nieuwe verboden voor generatieve beeld- en audiofuncties
Verboden is AI die zonder uitdrukkelijke toestemming realistische beelden, video of audio maakt of bewerkt van de intieme delen van een herkenbaar persoon, of van zo iemand bij expliciete seksuele handelingen (Artikel 5 lid 1 onder b bis), net als AI die kindermisbruikmateriaal genereert (onder b ter). Ook een algemene generator valt eronder als zulk materiaal een voorzienbaar resultaat is en adequate waarborgen ontbreken (Artikel 5 lid 1 bis).
- Vanaf 2 december 2027Bijlage III
Enterprise-klanten sturen nu al vragenlijsten
Is uw product bedoeld voor een Bijlage III-gebruik, dan levert u technische documentatie en een conformiteitsbeoordeling, registreert u het systeem in de EU-databank en monitort u het na het in de handel brengen. Dit is het scenario waarvoor uw enterprise-klanten nu al vragenlijsten sturen. Concludeert u met Artikel 6, lid 3 dat uw systeem toch geen hoog risico draagt, dan legt u die beoordeling vast en registreert u het systeem ook (Artikel 6, lid 4). Zet een klant het product zelf voor zo'n doel in, dan wordt die klant aanbieder (Artikel 25 lid 1 onder c). Zet u zelf AI in voor werving of personeelsbeoordeling, dan gelden voor u de plichten van de gebruiksverantwoordelijke (Artikel 26).
Verschoven door de Digital Omnibus (Verordening (EU) 2026/1744, in werking sinds 27 juli 2026): Bijlage III van 2 augustus 2026 naar 2 december 2027. De datum voor de transparantieplicht van Artikel 50 is gelijk gebleven.
De inkoopvragenlijst komt eerder dan de wet
Voor de meeste SaaS-bedrijven komt de druk eerder van de inkoopafdeling van een klant dan van een toezichthouder. Een ziekenhuis, een bank of een gemeente moet zijn eigen keten kunnen verantwoorden en schuift die vraag door. Wie geen antwoord heeft, verliest de deal. Dat gebeurt ruim voor 2 december 2027.
Het eerste werk is dus commercieel. Zorg dat u per feature kunt zeggen: dit is AI, dit model zit erachter, deze data gaat erin, dit zijn de grenzen. Die vier regels beantwoorden het grootste deel van elke vragenlijst die u krijgt. En ze zijn de basis voor uw technische documentatie als het systeem later toch hoog-risico blijkt.
Contractueel is er één ding dat vaak ontbreekt. Uw verwerkersovereenkomst dekt persoonsgegevens, maar zegt meestal niets over AI: welke inzet is toegestaan, wat gebeurt er als een klant het product voor iets anders gebruikt dan het beoogde doel en wie doet wat bij een incident. Een korte AI-bijlage bij uw bestaande contract lost dat op.
ISO 42001 duikt in dit gesprek steeds vaker op. Het is geen wettelijke eis, maar wel de vorm waarin grote klanten hun vraag gieten. Wie ISO 27001 al heeft, kan het managementsysteem uitbreiden in plaats van een tweede naast het eerste te bouwen.
Per feature een antwoord voor de inkoopafdeling
U legt per feature vast wat er draait, welk model erachter zit en wat het beoogde doel is. Het platform stelt een classificatie voor en zet de verplichtingen klaar die bij uw rol horen. De technische documentatie en het AI-beleid maakt u er direct uit aan, klaar om naar een inkoopafdeling te sturen.
Veelgestelde vragen voor SaaS-bedrijven
Klik een vraag aan voor het antwoord. Dit zijn vaste antwoorden; de AI Act Vraagbaak in het platform beantwoordt uw eigen vragen.
Ja. Artikel 3, punt 3 kijkt naar wie het AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam of merk aanbiedt, al dan niet tegen betaling. Wie het model trainde, doet daarvoor niet ter zake. Integreert u een model van een ander, dan bent u aanbieder verder in de AI-waardeketen (Artikel 3, punt 68). U bent aanbieder van uw systeem; de modelaanbieder blijft verantwoordelijk voor het model. Dat geldt ook bij een gratis plan.
Ja, voor de AI die uw eigen team inzet. Gebruiken uw engineers een codeassistent of uw supportteam ChatGPT, dan bent u daarvan gebruiksverantwoordelijke (Artikel 3, punt 4). Eén organisatie heeft vaak beide rollen tegelijk. De rol volgt per AI-systeem uit wat u ermee doet. Zet u AI in om sollicitanten of medewerkers te beoordelen, dan gelden vanaf 2 december 2027 de plichten uit Artikel 26 (Bijlage III, punt 4).
Alleen als uw systeem hoog-risico is. De aanbiedersrol ontstaat bij elke AI-feature, maar Artikel 11 en Bijlage IV gelden pas bij hoog-risico. Let op één uitzondering. Valt uw systeem onder Bijlage III en concludeert u met Artikel 6, lid 3 dat het toch geen hoog risico draagt, dan legt u die beoordeling vast en registreert u het systeem (Artikel 6, lid 4). Documenteer per feature verder al welk model, welke data en welke grenzen. Dat is de basis als de classificatie later verschuift.
Door het beoogde doel dat u eraan geeft. Een tool die sollicitanten rangschikt valt onder Bijlage III, punt 4 onder a, software die de kredietwaardigheid van natuurlijke personen beoordeelt onder punt 5 onder b. Doet een systeem alleen een beperkte procedurele of voorbereidende taak zonder te profileren, dan kan het erbuiten vallen (Artikel 6, lid 3). Uw doel blijkt uit uw gebruiksinstructies en ook uit uw verkoopmateriaal (Artikel 3, punt 12).
Nee, zolang werving niet het beoogde doel van uw product is. Wijzigt een klant het doel zo dat het systeem hoog-risico wordt, dan wordt die klant zelf aanbieder (Artikel 25, lid 1, onder c). U moet die nieuwe aanbieder dan wel helpen met informatie en documentatie, tenzij u zo'n gebruik vooraf duidelijk heeft uitgesloten (Artikel 25, lid 2). Leg dat dus vast. Biedt u het product zelf aan voor het rangschikken van sollicitanten, ook in uw verkoopmateriaal, dan valt het onder Bijlage III, punt 4 onder a en bent u aanbieder van een hoog-risicosysteem.
Nee, niet voor de modelverplichtingen uit de AI Act. Die liggen bij de aanbieder van het algemene AI-model, met de Commissie en het AI Office als toezichthouder (Artikel 88). Civiel ligt het anders. De nieuwe productaansprakelijkheidsrichtlijn ziet software als product, en u staat als fabrikant ook in voor schade door een gebrekkig onderdeel dat u integreert (Richtlijn (EU) 2024/2853, artikel 8). Die richtlijn geldt voor producten die na 9 december 2026 in de handel komen. Vraag uw leverancier daarnaast om de documentatie uit Artikel 53 lid 1 onder b.
Wettelijk niet. Commercieel steeds vaker wel: grote klanten gieten hun AI-vragen in die vorm. Heeft u ISO 27001, dan kunt u het managementsysteem uitbreiden via dezelfde structuur in plaats van een tweede traject op te tuigen.
Beantwoord de vragenlijst voor hij komt
Begin met de gratis risicoscan voor een eerste beeld van uw rol en uw risicocategorie. Per feature legt u het daarna vast in het register.