Zodra een AI-functie onder uw naam bij een klant draait, bent u aanbieder van dat systeem. Dat geldt bij een gratis plan en bij één samenvattingsknop. Wat er níet uit volgt is net zo belangrijk: de zware documentatieplichten beginnen pas bij hoog-risico.
De rol ontstaat vroeg, de plichten komen laat. Dat onderscheid scheelt de meeste SaaS-bedrijven een hoop onnodige paniek. Wat u hoe dan ook moet doen is klein. Wat pas geldt bij hoog-risico is groot.
Wanneer wordt uw product hoog-risico? Niet door de techniek, maar door wat klanten ermee doen. Bouwt u een HR-tool die kandidaten rangschikt, dan zit u in Bijlage III punt 4. Bouwt u analysesoftware die banken voor kredietbeoordeling inzetten, dan in punt 5. Uw beoogde doel bepaalt de classificatie. Dat legt u zelf vast.
Over algemene AI-modellen: Hoofdstuk V bindt de aanbieder van het model, niet u als afnemer. Er bestaat geen gedeelde aansprakelijkheid voor de modelverplichtingen. Vraag uw leverancier wel om de documentatie uit Artikel 53 lid 1 onder b, want zonder die informatie krijgt u uw eigen dossier niet rond.
Voor de meeste SaaS-bedrijven ligt alles wat geldt al achter u. De laatste regel raakt u alleen als uw product in een Bijlage III-gebruik terechtkomt.
Wie features ontwerpt, moet weten welk gebruik een product naar hoog-risico duwt. Dat is hier goedkoper vooraf dan achteraf.
Hoofdstuk V bindt de aanbieder van het model. Vraag hem om de documentatie uit Artikel 53 lid 1 onder b en bewaar die bij uw eigen dossier.
Chatfuncties en gegenereerde content moeten herkenbaar zijn. De plicht ligt bij de aanbieder, dus bij u zodra het onder uw naam draait.
Technische documentatie, conformiteitsbeoordeling, EU-databank en monitoring na oplevering. Dit is het scenario waarvoor uw enterprise-klanten nu al vragenlijsten sturen.
Deze datum is verschoven door het Digital Omnibus-pakket, dat op 27 juli 2026 in werking trad als Verordening (EU) 2026/1744. Bijlage III ging van 2 augustus 2026 naar 2 december 2027. De transparantieplicht van Artikel 50 schoof niet mee.
Voor de meeste SaaS-bedrijven komt de druk niet van een toezichthouder maar van de inkoopafdeling van een klant. Een ziekenhuis, een bank of een gemeente moet zijn eigen keten kunnen verantwoorden en schuift die vraag door. Wie geen antwoord heeft, verliest de deal. Dat gebeurt ruim voor december 2027.
Het praktische advies is dus commercieel, niet juridisch. Zorg dat u per feature kunt zeggen: dit is AI, dit model zit erachter, deze data gaat erin, dit zijn de grenzen. Die vier regels beantwoorden het grootste deel van elke vragenlijst die u krijgt. En ze zijn de basis voor uw technische documentatie als het systeem later toch hoog-risico blijkt.
Contractueel is er één ding dat vaak ontbreekt. Uw verwerkersovereenkomst dekt persoonsgegevens, maar zegt meestal niets over AI: welke inzet is toegestaan, wat gebeurt er als een klant het product voor iets anders gebruikt dan het beoogde doel, en wie doet wat bij een incident. Een korte AI-bijlage bij uw bestaande contract lost dat op.
ISO 42001 duikt in dit gesprek steeds vaker op. Het is geen wettelijke eis, maar wel de vorm waarin grote klanten hun vraag gieten. Wie ISO 27001 al heeft, kan het managementsysteem uitbreiden in plaats van een tweede naast het eerste te bouwen.
U legt per feature vast wat er draait, welk model erachter zit en wat het beoogde doel is. Het platform bepaalt de classificatie en zet de verplichtingen klaar die bij uw rol horen. De technische documentatie en het AI-beleid genereert u eruit, in een vorm die u rechtstreeks aan een inkoopafdeling kunt sturen.
De gratis risicoscan laat in vijf minuten zien welke rol u heeft per feature en wat een klant straks van u vraagt.
