Wat is AI-compliance?
AI-compliance betekent zorgen dat het AI-gebruik van een organisatie voldoet aan de relevante wetten, regels en normen, zoals de AVG en de EU AI-verordening. Het omvat gegevensbescherming, transparantie, eerlijkheid, documentatie en risicobeheersing.
AI-compliance is laten zien dat uw AI-gebruik voldoet aan de AVG, de EU AI Act en eventueel ISO 42001.
AI-compliance betekent zorgen dat het AI-gebruik van een organisatie voldoet aan de relevante wetten, regels en normen, zoals de AVG en de EU AI-verordening. Het omvat gegevensbescherming, transparantie, eerlijkheid, documentatie en risicobeheersing. Compliance vanaf het begin inbouwen voorkomt boetes en reputatieschade en is veel goedkoper dan systemen aanpassen nadat een toezichthouder of klant zorgen uit.
AI-compliance (ook gezocht als AI compliance) is kunnen laten zien dat de manier waarop uw organisatie AI bouwt en gebruikt voldoet aan de regels die erop van toepassing zijn: de AVG voor de persoonsgegevens, de EU AI Act voor het AI-systeem zelf, en, als u daarvoor kiest, een managementsysteemnorm zoals ISO/IEC 42001.
De drie worden meestal één voor één uitgelegd. In de praktijk vragen ze overlappend bewijs over dezelfde systemen, dus de efficiënte route is één checklist per AI-systeem met één eigenaar, in plaats van drie losse trajecten bij drie afdelingen.
De drie regelsets, en wat elk vraagt
| Regelset | Verplicht? | Wat het vraagt, kort |
|---|---|---|
| AVG | Ja, zodra er persoonsgegevens worden verwerkt | Een grondslag, een verwerkersovereenkomst met elke leverancier, een DPIA waar de verwerking waarschijnlijk een hoog risico geeft (artikel 35), en een verwerkingsregister |
| EU AI Act | Ja, voor aanbieders en gebruiksverantwoordelijken van AI-systemen | Uw rol en de risicoklasse per systeem, maatregelen voor de AI-geletterdheid van medewerkers (artikel 4), transparantie waar mensen met AI te maken hebben (artikel 50), en de hoog-risico-eisen waar die gelden |
| ISO/IEC 42001 | Nee, vrijwillig en certificeerbaar | Een AI-managementsysteem: beleid, rollen, risicobeoordeling en continue verbetering, opgezet zoals een ISO 27001-ISMS |
De data die ertoe doen, in 2026 en daarna
De AI-geletterdheidsplicht en de verboden gelden sinds 2 februari 2025, en het toezicht daarop is begonnen op 2 augustus 2026, dezelfde datum waarop de transparantieregels van artikel 50 gingen gelden. Na de Digital Omnibus (Verordening (EU) 2026/1744) gelden de hoog-risico-eisen voor Annex III-systemen vanaf 2 december 2027 en die voor AI in Annex I-producten vanaf 2 augustus 2028. Bron: de tijdlijn van de Europese Commissie. Voor de meeste bedrijven die AI gebruiken in plaats van verkopen, zijn de plichten die nu gelden de geletterdheid, de transparantie en de AVG, niet het hoog-risicoregime.
Eén checklist per AI-systeem
Houd voor elk AI-systeem in gebruik één regel bij die zeven vragen beantwoordt: wat het doet en voor wie; of u aanbieder of gebruiksverantwoordelijke bent; de risicoklasse onder de AI Act; welke persoonsgegevens het raakt en op welke AVG-grondslag; of er een DPIA nodig was en waar die staat; wie in de organisatie eigenaar is; en wanneer het voor het laatst is geëvalueerd. Die regel is uw inschrijving in het AI-register, en het eerste waar een auditor, een toezichthouder of de inkoopafdeling van een klant naar vraagt. Het meeste werk is de systemen vinden, ook de abonnementen die op een afdelingscreditcard zijn afgesloten.
Wie tekent wat af
Compliance mislukt als het van niemand is. Een werkbare verdeling in een organisatie met een eigen IT-functie: de proceseigenaar van elk systeem staat in voor wat het doet en tekent de regel in het register af; de privacy officer of FG tekent de AVG-grondslag en de DPIA af; IT of de ICT-partner levert de feiten over hosting, toegang en logging; en één persoon, vaak bij risk, legal of het team van de CISO, beheert het register en de reviewcyclus. De leverancier die het systeem bouwde, wij ook, levert de systeembeschrijving en het evaluatiebewijs, maar kan niet voor u aftekenen.
Waar u begint
Begin bij de inventarisatie, niet bij het beleid. Beleid dat u schrijft voordat u weet welke systemen u draait, beschrijft systemen die niemand heeft opgesomd. Onze AI Act-check doet die inventarisatie voor een vaste €950 binnen een week: elk systeem met zijn rol en risicoklasse, een beleidstemplate en een to-dolijst. Draait u al een ISO 27001-ISMS, dan kan ISO 42001 er veel van hergebruiken; zie ISO 42001 naast ISO 27001. Hoe de documenten samenhangen, staat bij AI governance.
Veelgestelde vragen
Is AI-compliance hetzelfde als AI-governance?
Nee. Compliance is voldoen aan de regels die u binden; governance is de interne werkwijze die het bewijs oplevert: het register, de eigenaren, de reviewcyclus.
- Goede governance maakt compliance minder duur, omdat het bewijs er al ligt als iemand ernaar vraagt.
- Governance dekt ook systemen waar geen regelgeving aan raakt.
Is ISO 42001 verplicht onder de AI Act?
Nee. ISO/IEC 42001 is een vrijwillige, certificeerbare norm voor een AI-managementsysteem. Het kan het bewijs ordenen waar de AI Act en de AVG om vragen, en sommige klanten vragen er bij inkoop naar, maar geen wet schrijft het voor.
Geldt AI-compliance ook als we alleen tools als ChatGPT of Copilot gebruiken?
Ja, als gebruiksverantwoordelijke. U heeft nog steeds maatregelen voor AI-geletterdheid nodig, regels over welke gegevens in welke tool mogen, een verwerkersovereenkomst voor persoonsgegevens, en transparantie waar klanten met de AI te maken hebben. De plichten van de aanbieder liggen bij de leverancier; die van u liggen bij u.
Wilt u dit toepassen in uw bedrijf? Bekijk hoe wij het naar productie brengen:
Van concept naar werkende tool?
Wij bouwen deze AI in productie, met vaste prijzen en een vaste expert. Begin met een gratis consult.
Gratis consult boeken →