Wat is nieuw

Onder AI-Register, Verwerkingsregister legt u nu uw verwerkingsactiviteiten vast (Artikel 30 AVG). Ook die waar geen AI aan te pas komt, zoals de salarisadministratie.

Uw register uit Excel overnemen. Plak de cellen of kies een CSV-bestand. U ziet eerst wat er wordt opgeslagen.

Per activiteit de onderdelen van Artikel 30. Rood betekent dat een verplicht onderdeel ontbreekt. Verwerkt u in opdracht van klanten, kies dan bij die activiteit de rol verwerker (Artikel 30 lid 2).

Uw AI-systemen erbij. Hang elk AI-systeem aan de activiteit waarvoor het wordt gebruikt. Spreken ze elkaar tegen, dan ziet u dat.

Verwerkers. Per leverancier legt u vast wat de verwerkersovereenkomst volgens u regelt (Artikel 28 lid 3 AVG). Het platform toetst geen contracten.

Download het register als PDF of CSV, om het op verzoek aan de Autoriteit Persoonsgegevens te geven (Artikel 30 lid 4 AVG). Het zit ook in uw auditdossier.

Onder het AI-Register staat nu een verwerkingsregister-weergave. Elk AI-systeem dat persoonsgegevens verwerkt, verschijnt daar als regel langs de onderdelen van Artikel 30 lid 1 AVG.

Per onderdeel ziet u waar het vandaan komt. De betrokkenen komen uit uw registratie, de bewaartermijn en de doorgifte uit de AVG-vragen. Wat wij niet kunnen weten, staat er als open vraag.

Bovenaan staat of de plicht op u rust. Artikel 30 lid 5 zondert organisaties onder de 250 medewerkers uit, met drie uitzonderingen daarop. Het scherm rekent uit welke op uw systemen van toepassing is.

Het gaat om het AI-deel van uw register. U downloadt het als CSV en voegt het toe aan het register dat u al bijhoudt.

Verwerkt een AI-systeem gegevens over mensen, dan geldt naast de AI Act ook de AVG.

Vier vragen per systeem. Verwerkt het persoonsgegevens, gaat het om bijzondere categorieën zoals gezondheid of biometrie, hoe lang bewaart u de gegevens, gaat er data buiten de EER.

Daaruit volgt een signaal, met de vindplaats erbij. Bijzondere categorieën wijzen naar Artikel 35 lid 3 onder b AVG, een beslissing of score over personen naar lid 3 onder a. Er staat “waarschijnlijk verplicht” en nooit “u moet”: de wet werkt hier met een open norm.

“Nee” is ook een uitkomst. Legt u vast dat een systeem geen persoonsgegevens verwerkt, dan ziet u dat de AVG hier niet aan zet is.

De tegel AVG-vraag open telt de systemen waar nog een antwoord ontbreekt en filtert de lijst met één klik.

Verder: de leveranciersbibliotheek toont per tool of er een verwerkersovereenkomst is. En ligt er al een DPIA, dan verwijst uw FRIA daarnaar (Artikel 27 lid 4 AI Act).

U kunt uw AI-register nu ophalen vanuit een eigen rapportage, BI-tool of AI-assistent. Denk aan een kwartaaloverzicht voor de directie dat zichzelf bijwerkt, of een Power BI-rapport waar de rest van de organisatie toch al in kijkt.

Onder Instellingen, tabblad Koppelingen, maakt u een token aan. Daarmee haalt u uw AI-systemen op, de verplichtingen per systeem, de openstaande taken, de documentmetadata en uw compliance-score. Er draait ook een MCP-server, zodat een AI-assistent uw register zelf kan bevragen in plaats van dat iemand antwoorden overtypt.

De koppeling kan alleen lezen. Aanmaken of wijzigen gaat bewust niet: uw register is pas bewijs als aantoonbaar is dat een mens elk systeem heeft beoordeeld.

De volledige beschrijving staat op aicompliancehub.nl/api-documentatie.

U registreert een agent en legt vast hoe zelfstandig hij handelt. De vraag die daarna komt is of het zo mag. Tot nu toe beantwoordde u die zelf, per agent.

Zeven regels, u kiest het gewicht. Staat er een eigenaar bij, ligt er een deactivatieplan, hoe lang blijft het geheugen staan, wat mag de agent zelfstandig doen met persoonsgegevens. Per regel kiest u Blokkeren, Voorwaarde of Uit.

Het oordeel staat op drie plekken. Op de kaart van de agent in het register, bij de beoordeling van een aanmelding, plus in het antwoord dat de bouwer terugkrijgt van het aanmeldpunt.

De beslissing blijft bij u. Schendt een agent een regel op Blokkeren, dan krijgt hij het oordeel “voldoet niet aan het agentbeleid” en beslist u over de aanmelding. Zolang u niets vastlegt, geldt de standaardlijst als advies. Instellen doet u onder AI-Register, AI-agents.

Uw accountant, uw verzekeraar of een grote klant vraagt om bewijs van uw AI-governance. Tot nu toe verzamelde u dat zelf uit losse downloads. Dat is voorbij.

Eén knop, één ZIP. Onder Governance staat bij het bewijsdossier de knop Download auditdossier. U krijgt uw AI-register en verplichtingen als CSV, uw documenten als PDF, de trainingsstatus en certificaten van uw medewerkers, het compliance-rapport, de laatste risicoscan en de audit trail van twaalf maanden. Vooraan staat een leeswijzer voor een lezer zonder account, met per bestand wat het bewijst en waar het in de AI Act staat.

Verzegeld. Elk bestand heeft een vingerafdruk in het manifest, en daarover staat een zegel dat alleen op onze server gezet kan worden. Wie het dossier ontvangt, kan bij ons laten narekenen dat er na de export niets is gewijzigd. Een ZIP die u zelf samenstelt, mist precies dat bewijs.

Beschikbaar vanaf Core, voor eigenaren en beheerders.

Een document dat u met het platform maakte, kon u daarna niet meer aanpassen. Wilde u er één zin bij, dan moest het hele document opnieuw. Dat is voorbij.

Op elk document staat nu Tekst bewerken. U klikt en typt zoals u in een tekstverwerker gewend bent: koppen, vet, opsommingen, tabellen. Geen opmaakcodes in beeld. De knoppen bieden de opmaak die in uw Word- en PDF-versie terechtkomt, dus wat u ziet is wat u downloadt.

Had u uw beleid al? Kies dan Eigen tekst gebruiken en plak het erin, bijvoorbeeld rechtstreeks uit Word. Koppen, opsommingen en tabellen komen mee. Er komt geen AI aan te pas, dus u wacht nergens op.

Liever laten schrijven? Beschrijf in gewone taal wat er moet veranderen. U krijgt een voorstel te zien met precies welke regels erbij komen en welke verdwijnen, en beslist daarna zelf of u het overneemt. Beschikbaar vanaf Starter.

Nu u documenten kunt bewerken, hoort daar een weg terug bij. Die is er.

Bij elke wijziging bewaren wij de tekst zoals die daarvoor was. Onder de editor staat het overzicht: per versie wanneer die is vervangen en waardoor, of dat nu een eigen bewerking was, een overgenomen AI-voorstel of het terugzetten van een oudere versie.

Eén klik zet zo’n versie in de editor. U bekijkt hem eerst, past hem zo nodig aan en slaat daarna zelf op. Terugzetten gooit niets weg: de tekst die er op dat moment stond bewaren wij net zo goed. Zet u per ongeluk de verkeerde versie terug, dan haalt u de andere gewoon weer op.

Legt u het beleid voor aan uw medewerkers, dan ziet u het voortaan ook wanneer de tekst is gewijzigd sinds zij akkoord gaven. Uw team blijft de versie zien waarop het tekende, tot u hem opnieuw voorlegt.

De afgelopen weken hebben we AI-aanvragen uitgebouwd tot een volledige route naar goedkeuring. Tot nu toe was dat één stap: de aanvraag kwam binnen en u besliste. Vanaf nu bepaalt u zelf wat er vóór die beslissing moet gebeuren, en wie er tekent.

Zes stapsoorten, in uw eigen volgorde. Het AI-beleid accorderen, een geldig e-learningcertificaat, de aanvraagvragen, fiattering, een leverancierscheck en opname in het register. Per stap kiest u of hij een goedkeuring blokkeert. Ook stelt u in of hij altijd geldt of alleen bij persoonsgegevens.

Fiatteren mag elk teamlid, ook zonder beheerrechten. Een leidinggevende hoeft dus geen toegang tot uw hele register om één handtekening te zetten. Hij krijgt bericht zodra hij aan de beurt is, met een herinnering na drie en na zeven dagen.

Richt u niets in, dan blijft alles zoals het was. En voor de duidelijkheid: de AI Act schrijft geen goedkeuringsproces voor. Wat u hiermee opbouwt is bewijs.

Beschikbaar vanaf Professional.

We hebben het AI-beleid van een document naar een afspraak gebracht. Een beleid dat in een map blijft staan, verandert namelijk weinig aan wat mensen doen.

U publiceert het beleid nu vanuit Documenten. Daarna leest elke medewerker het onder AI-beleid en geeft akkoord.

U ziet per versie wie akkoord is. Herziet u het beleid, dan vervalt dat akkoord en vraagt het platform er opnieuw om.

Stelt u het beleid hier op, dan ligt de tekst vast met een vingerafdruk eronder. U kunt dus aantonen wélke versie iemand las. Bij een gekoppeld document op SharePoint of Drive legt u vast dát iemand verklaarde het gelezen te hebben, met de link en de herzieningsdatum erbij.

Beschikbaar vanaf Starter.

De documentenpagina toont nu wat de AI Act van úw organisatie vraagt, in drie groepen: verplicht, aangeraden en overig. Per document ziet u de vindplaats in de wet en waarom die voor u geldt.

Heeft u een AI-beleid of een technisch dossier al staan op SharePoint, Drive of uw intranet? Koppel het met een link. Het telt daarna mee als geregeld, met de vermelding dat het uw eigen document is, en het kost u geen documentgeneratie.

Wij bewaren alleen de verwijzing, niet het bestand zelf. Uw document blijft staan waar het staat, onder uw eigen toegangsrechten.

De website, het platform, uw gegenereerde documenten en onze e-mails staan sinds deze week in een nieuwe huisstijl. Ook het e-learningcertificaat heeft een nieuw ontwerp.

Aan uw gegevens of aan de werking van het platform verandert niets. Documenten die u eerder genereerde blijven zoals ze waren. Wat u vanaf nu genereert, komt in de nieuwe opmaak. Werkt u met een eigen huisstijlkleur op uw documenten, dan blijft die gewoon van u.

Bent u partner? Dan zijn ook uw verkoopmaterialen in het partnerportaal opnieuw opgemaakt. De onepagers, de vergelijking, het prijsoverzicht en de sectorbrochures delen nu één vorm, in plaats van elk een eigen variant die bij de minste aanpassing verder uit elkaar liep.

We kregen dezelfde vraag een paar keer terug: wat telt als één registratie? De tool, het systeem, of de afdeling die ermee werkt?

Eén registratie is één tool in één doel. Dezelfde tool voor een wezenlijk ander doel krijgt een eigen regel, want de classificatie hangt aan het gebruik, niet aan het merk. Tekstredactie én het voorselecteren van sollicitanten met hetzelfde ChatGPT-abonnement zijn dus twee registraties: alleen dat tweede gebruik raakt Bijlage III punt 4. Dezelfde tool bij een tweede afdeling met hetzelfde doel niet: die afdeling zet u erbij.

Vier vragen bepalen of er een registratie bij moet. Raakt dit gebruik een ander risicogebied? Verschuift uw rol naar aanbieder (Artikel 25)? Verwerkt u wezenlijk andere gegevens? Stuurt de uitvoer een besluit over een mens? Eén keer ja is genoeg. Vier keer nee betekent aanvullen, niet splitsen.

Het formulier past de regel nu zelf toe: staat de tool er al in, dan toont het de bestaande registraties met deze vragen erbij.

Een taak aanmaken stuurde u naar een aparte pagina, waarna u zelf terug moest klikken naar het overzicht. Voor vijf velden is dat een omweg. “Nieuwe taak” opent nu een paneel naast de lijst. Na opslaan staat de taak bovenaan en blijven uw filters en weergave gewoon staan.

In de kanban-weergave sleept u kaarten voortaan naar een andere kolom om de status te wijzigen. De statuskeuze op elke kaart blijft bestaan, zodat het ook met het toetsenbord of op een telefoon werkt.

Elk AI-systeem draagt al een interne goedkeuringsstatus, maar die was alleen zichtbaar als u het systeem opende. Wilde u weten welke tools nog op een oordeel wachtten, dan moest u ze stuk voor stuk langs.

In het registeroverzicht staat nu een kolom Goedgekeurd?, met een filter ernaast. Zet dat filter op “Nog niet beoordeeld” en u houdt precies de systemen over die nog een besluit nodig hebben.

Op een tablet klapt de tabel voortaan uit tot de kaartweergave. Met een kolom erbij hield de systeemnaam daar te weinig ruimte over.

Een AI-beleid werd geschreven op uw organisatiegegevens plus hooguit één gekoppeld systeem. Het hoofdstuk over goedgekeurd en verboden AI-gebruik ging daardoor over algemene voorbeelden, terwijl uw register precies weet welke tools u gebruikt.

Kiest u nu AI-Beleid, dan verschijnt een lijst met de systemen uit uw register. De intern goedgekeurde staan standaard aan, want dat is letterlijk wat “goedgekeurd gebruik” hoort te zijn. Per systeem gaan de naam, de leverancier, de risicocategorie en de goedkeuringsstatus mee. Het beleid noemt uw tools daarna bij naam, met de juiste risicoduiding erbij.

Naast de systeemkoppeling staat een vraagteken dat vertelt wat er precies uit een systeem wordt overgenomen, tot en met de waarborgen uit uw leveranciersbeoordeling.

Een uitnodiging komt van een afzender die uw medewerker niet kent, en er zit een knop in. Voor veel mensen is dat precies het profiel van een phishingmail, dus klikken ze niet.

U kunt nu een eigen toelichting meesturen. Iets als: wij gebruiken dit voor onze verplichte AI-training, deze mail is echt, vragen? Loop even langs bij P&O. U stelt hem één keer in onder Instellingen bij Team, waarna hij in elke uitnodiging meegaat. Ook bij het uitnodigen van meerdere mensen tegelijk.

Owner en beheerder kunnen de tekst aanpassen, tot 600 tekens. Leeglaten en opslaan haalt hem weer weg.

Alle zes de modules hebben nu een oefening. U sorteert AI-toepassingen in de juiste risicocategorie, bepaalt wat er wel en niet in een publieke AI-tool mag, bouwt zelf een betere prompt en kiest welke velden een AI-tool echt nodig heeft. In de module over transparantie beslist u wanneer AI-content gelabeld moet worden. In die over verantwoord AI-gebruik ziet u stap voor stap hoe een hallucinatie ontstaat.

De oefeningen tellen niet mee voor de eindquiz of het certificaat. Eerder behaalde certificaten blijven ongewijzigd geldig en de studietijd per module is hetzelfde gebleven.

Op de detailpagina van elk AI-systeem staat nu een wijzigingsgeschiedenis: een tijdlijn van elke aanpassing met datum, gebruiker en per veld de oude en nieuwe waarde. Ook interne beoordelingen, toewijzingen en afgeronde reviews staan erin. Verwijdert iemand een AI-systeem of document, dan wordt ook dat vastgelegd, met wie en wanneer. Zo beantwoordt u de vraag van een auditor of toezichthouder (“wie heeft de risicocategorie aangepast?”) met één blik op het systeem.

Bouwt u zelf AI-agents, in n8n, Copilot Studio, Claude Code, een custom GPT van OpenAI of eigen code? Dan houdt uw register zichzelf voortaan bij. AI-aanvragen heeft nu een agent-endpoint: een vaste URL per organisatie waarmee een agent, script of pipeline zich bij oplevering zelf aanmeldt. De aanmelding landt als aanvraag in uw inbox, met een Agent-label en de vermelding dat alles zelf-gerapporteerd is. Na uw goedkeuring staat de agent met één klik in het register, met de agent-velden al voorgevuld. Het endpoint kan alleen aanmelden, niets inzien, en u zet het per direct uit of vernieuwt het token. Hoe u het aanzet en wat u uw bouwers doorgeeft, staat in de handleiding Agents zichzelf laten aanmelden. Beschikbaar vanaf Professional.

Uw AI-register heeft een frisser overzicht. Bovenaan staan nu klikbare tegels (totaal, AI-agents, hoog-risico, zonder eigenaar) die meteen als filter werken, plus een zoekbalk op naam, leverancier en eigenaar. Filter daarnaast op type, risico, rol en eigenaar, en sorteer op nieuwste, alfabet, risico of meeste openstaande verplichtingen. De rijen zijn compacter en tonen op brede schermen vaste kolommen: systeem, rol, eigenaar, verplichtingen en risico. Zo ziet u in één oogopslag wie waar eigenaar is en waar de gaten zitten.

Wijst u een teamlid met de rol Medewerker aan als verantwoordelijke van een AI-systeem, dan krijgt die persoon nu echt iets in handen. Het AI-register en de takenpagina verschijnen in zijn menu, met precies de eigen scope: alleen de systemen waarvan hij verantwoordelijke of reviewer is. Als verantwoordelijke bewerkt hij dat systeem (gebruiksdoel, leverancier, classificatie) en werkt hij de bijbehorende taken bij. Andermans systemen inzien, systemen aanmaken of verwijderen, verantwoordelijken of goedkeuringen wijzigen: dat blijft aan beheerders, en de database dwingt het ook af. Zo geeft u application owners uit verschillende afdelingen toegang zonder ze beheerder te maken. Beschikbaar vanaf Starter.

Speciaal voor de accountantspraktijk hebben we sectorspecifieke ondersteuning toegevoegd. Zet met één klik een accountancy-takenset klaar (een brede basis plus de AFM-bouwstenen voor de wettelijke controle), laat de generator een audit-tooling-beleid opstellen op basis van de AFM-bouwstenen, en lees de nieuwe uitleg over wat de AFM verwacht. Alles gebaseerd op de NBA-leidraden en de AFM-bouwstenen.

De pagina Leveranciers begint nu met “Uw leveranciers”: alle AI-leveranciers uit uw register op één plek, automatisch gegroepeerd. Zo ziet u in één oogopslag met welke partijen u werkt. De leveranciersbeoordeling verhuist mee naar leverancierniveau. Gebruikt u drie tools van dezelfde leverancier, dan beoordeelt u de compliance-vragen (verwerkersovereenkomst, datalocatie, transparantie) nog maar één keer. Ze gelden dan voor al uw systemen van die leverancier. Bij het beoordelen tonen we suggesties uit onze bibliotheek, die u met één klik overneemt. Beschikbaar in elk pakket.

Agentic AI verdient extra aandacht. Een systeem dat zelf acties uitvoert, brengt andere risico’s mee dan een chatbot die alleen antwoordt. Markeer een systeem in uw register nu als AI-agent en leg de governance vast: het platform, de mate van autonomie, welke systemen de agent mag aansturen en of er een noodstop is. U krijgt een oversight-checklist op maat, plus een waarschuwing zodra er een gat in het toezicht zit. Beschikbaar vanaf Professional.

Schaduw-AI laat zien wat er al draait. Met AI-aanvragen voorkom je dat er ongezien iets bijkomt. Zet één vaste link aan en deel die met je team. Een collega vraagt er zonder inloggen een AI-tool mee aan: welke tool, waarvoor, en om wat voor gegevens het gaat. Jij ziet de aanvraag binnenkomen met een risico-hint uit de leveranciersbibliotheek erbij. Keur goed of af met een toelichting. De aanvrager krijgt je beslissing per e-mail. Keur je goed, dan staat de tool met één klik als concept in je register, klaar om te classificeren. Beschikbaar vanaf Professional.

Stuur een korte, anonieme uitvraag rond en breng in beeld welke AI-tools je medewerkers écht gebruiken, ook de tools die niemand heeft aangemeld. Je ziet per tool het gebruiksdoel en risicosignalen, en zet elke ontdekking met één klik in je AI-register. Beschikbaar vanaf Professional.

Een geregistreerd systeem was eerder alleen te verwijderen, niet te corrigeren. Nu past u via Bewerken de naam, de rol, de classificatie en de overige velden aan. Raakt uw wijziging de classificatie, dan verschijnt de nieuwe uitkomst eerst als voorstel naast de huidige. Er verandert pas iets zodra u die overneemt.

Compliance-events kunnen nu naar buiten. Koppel onder Instellingen een eigen endpoint of een Microsoft Teams-kanaal en kies welke gebeurtenissen u ontvangt: een behaald AI-geletterdheidscertificaat, een geregistreerd hoog-risico systeem, of een taak die vandaag verloopt.

Verdeel het compliance-werk over uw team. Per taak legt u vast wat er moet gebeuren, wie het doet en wanneer het af moet, gekoppeld aan een AI-systeem of artikel. Lijst- en kanban-weergave, standaard-takenbundels in een klik, en mail-reminders bij 3 dagen, 1 dag en op de vervaldag.

De resultatenpagina van de gratis risicoscan is opnieuw ingericht. Wettelijke verplichtingen en governance-volwassenheid staan nu in aparte, rustige blokken, met per onderdeel de juiste deadline-context. Aanvullende hoog-risico-plichten worden los van de score getoond zodat een hoge score geen vals gevoel van veiligheid geeft.

Loopt u ergens tegenaan? Onderin de zijbalk staat nu “Bug of probleem melden”. Het formulier vult uw gegevens en de pagina-context automatisch in, en u kunt direct screenshots meesturen. Zo lossen we problemen sneller op.

Bent u aanbieder van een hoog-risico AI-systeem? Op de detailpagina van zo’n systeem staat nu een provider-dossier met de kern-artikelen op een rij: van risicobeheer (Art. 9) en data governance (Art. 10) tot technische documentatie, conformiteit en de meldplicht bij incidenten.

Module 6 over de transparantieplicht is bijgewerkt naar het akkoord van 7 mei 2026. De inwerkingtreding van Artikel 50 verschuift naar 2 december 2026. De inhoudelijke plicht zelf verandert niet; wie de module al afrondde hoeft niet opnieuw te kijken.