AI Act: wat je leverancier moet aanleveren en wat jij moet bewaren

Je leverancier moet je vooral informatie geven over hoe je het systeem goed gebruikt. Jij moet vooral kunnen laten zien dat je dat ook gedaan hebt. Voor elk AI-systeem in je bedrijf betekent dat drie dingen: weten welke systemen je gebruikt, kunnen aantonen wat je hebt gedaan aan AI-geletterdheid, en vastleggen hoe je mensen vertelt dat ze met AI te maken hebben waar de wet dat vraagt. Voor een systeem met een hoog risico komt er meer bij. Dan moet je leverancier een gebruiksaanwijzing meeleveren met een vaste inhoud (artikel 13 van de AI Act), en moet jij de logs die het systeem maakt minimaal zes maanden bewaren, voor zover die logs onder jouw controle vallen (artikel 26, lid 6). Daarnaast leg je vast wie het menselijk toezicht heeft en hoe je medewerkers en betrokkenen hebt geïnformeerd.

Dat is het korte antwoord. De rest van dit stuk gaat over de uitvoering: welk papier komt van wie, wat bewaar je zelf, hoe lang, en in welke map. Het is geschreven voor een directeur van een bedrijf met vijftig tot driehonderdvijftig mensen, zonder eigen juridische afdeling. Dit is geen juridisch advies. Het is een werkbare indeling op basis van de tekst van de verordening, met de artikelnummers erbij zodat je of je jurist het kan nalezen.

Wil je eerst weten welke verplichtingen er in het algemeen gelden, lees dan EU AI Act voor het MKB. Gaat het je om wat je in het contract met je leverancier zet, dan staat dat in AI Act en je leveranciers. Dit stuk gaat over de documenten zelf.

Eerst twee vragen: welke rol heb je, en welk soort systeem is het

De AI Act verdeelt de plichten over rollen. De aanbieder is de partij die een systeem ontwikkelt en onder eigen naam op de markt brengt. De gebruiksverantwoordelijke is de partij die het systeem onder eigen verantwoordelijkheid gebruikt, meestal jij. Koop je een AI-functie in je boekhoudpakket, je ATS of je klantenservicesoftware, dan ben je in vrijwel alle gevallen gebruiksverantwoordelijke en is je leverancier de aanbieder.

De tweede vraag is in welke risicoklasse een systeem valt. Daar hangt bijna alles van af. Een tekstassistent die mails helpt schrijven valt in een heel andere klasse dan een module die sollicitaties voorsorteert. Die laatste staat in bijlage III van de verordening, onder werkgelegenheid, en is daarmee een systeem met een hoog risico. Hoe je die indeling maakt, staat in de risicoklassen van de AI Act, uitgelegd.

Voor de documenten betekent dit een simpele tweedeling:

1. Wat voor elk AI-systeem geldt. Een beperkte set: AI-geletterdheid (artikel 4) en, voor bepaalde systemen, transparantie naar de mensen die ermee te maken krijgen (artikel 50).
2. Wat alleen voor systemen met een hoog risico geldt. De gebruiksaanwijzing van de aanbieder (artikel 13) en jouw plichten als gebruiksverantwoordelijke (artikel 26), waaronder het bewaren van logs.

Let op de datum bij die tweede groep. Door de Digital Omnibus, Verordening (EU) 2026/1744, gelden de plichten voor systemen met een hoog risico uit bijlage III vanaf 2 december 2027. Voor hoog risico in producten uit bijlage I is dat 2 augustus 2028. Je hebt dus tijd. Maar de map die je daarvoor nodig hebt, kun je nu al inrichten, en de eerste groep geldt nu al.

Wat je leverancier moet aanleveren

Voor elk AI-systeem

Voor een gewoon AI-systeem zonder hoog risico schrijft de AI Act je leverancier weinig documenten voor die naar jou toe moeten. Wat er wel in de wet staat, zit in het product zelf. Een systeem dat rechtstreeks met mensen praat, zoals een chatbot, moet door de aanbieder zo zijn gebouwd dat mensen weten dat ze met een AI-systeem praten, tenzij dat voor een redelijk oplettend persoon al duidelijk is (artikel 50, lid 1). En een systeem dat tekst, beeld, audio of video maakt, moet die uitvoer machineleesbaar markeren als kunstmatig gemaakt (artikel 50, lid 2). Ook dat is een plicht van de aanbieder.

Dat er weinig verplicht is, betekent niet dat je niets hoeft te vragen. Om je eigen plichten te kunnen nakomen, heb je per systeem een paar dingen nodig. Een korte beschrijving van wat het systeem doet en waarvoor het bedoeld is. De versie of het model waar je mee werkt. Waar je gegevens heen gaan. En een contactpersoon. Dat zijn geen wettelijke leveringsplichten uit de AI Act, het is wat je nodig hebt om het register en je AI-geletterdheid goed te doen. Hoe je dat in een contract vastlegt, staat in AI Act en je leveranciers.

Voor een systeem met een hoog risico

Hier is de wet wel concreet. Een systeem met een hoog risico moet vergezeld gaan van een gebruiksaanwijzing met beknopte, volledige, juiste en duidelijke informatie (artikel 13, lid 2). Lid 3 noemt wat er minimaal in moet staan. In gewone woorden:

• wie de aanbieder is en hoe je hem bereikt;
• het beoogde doel van het systeem, en hoe nauwkeurig, robuust en veilig het is getest;
• bekende of te voorziene omstandigheden waarin het slechter werkt of verkeerd gebruikt kan worden;
• waar relevant: hoe het systeem zijn uitkomsten kan toelichten, hoe het presteert voor bepaalde groepen personen, en welke invoerdata het verwacht;
• wijzigingen aan het systeem die vooraf al zijn vastgelegd;
• de maatregelen voor menselijk toezicht, inclusief technische hulpmiddelen om de uitkomst te interpreteren;
• welke rekenkracht en welk onderhoud nodig zijn, inclusief software-updates, en de verwachte levensduur;
• waar relevant: hoe jij de logs verzamelt, bewaart en leest.

Dat laatste punt is belangrijk voor wat jij moet bewaren. Zonder die uitleg weet je niet waar de logs staan en hoe je ze zes maanden vasthoudt.

Een veelgemaakte verwarring: de technische documentatie (artikel 11) is iets anders dan de gebruiksaanwijzing. De technische documentatie houdt de aanbieder tien jaar beschikbaar voor de toezichthouders (artikel 18). De wet geeft jou als gebruiksverantwoordelijke geen automatisch recht om die volledig in te zien. Wat de wet jou wel garandeert, is de gebruiksaanwijzing. Wil je meer, dan regel je dat in het contract.

Gebruik je het systeem voor iets waarvoor je een gegevensbeschermingseffectbeoordeling (DPIA) onder de AVG moet doen, dan gebruik je de informatie uit die gebruiksaanwijzing daarvoor (artikel 26, lid 9). Ook daarom wil je hem compleet hebben.


Wat jij moet bewaren

Voor elk AI-systeem

Een overzicht van welke AI je gebruikt. Eerlijk is eerlijk: de AI Act verplicht een bedrijf niet om een eigen AI-register bij te houden. Alleen overheidsinstanties die een systeem met een hoog risico gebruiken, moeten dat registreren in de EU-databank (artikel 26, lid 8). Toch is dit het eerste stuk in je map. Zonder overzicht kun je niet bepalen welke systemen een hoog risico hebben, en voor wie je AI-geletterdheid moet regelen. Per systeem een regel: naam, leverancier, waarvoor het wordt gebruikt, welke afdeling, welke risicoklasse en waarom, en wie de interne eigenaar is.

Wat je hebt gedaan aan AI-geletterdheid. Artikel 4 vraagt dat aanbieders en gebruiksverantwoordelijken maatregelen nemen om de AI-geletterdheid van hun personeel en van anderen die namens hen AI-systemen gebruiken te ondersteunen. Sinds de Digital Omnibus staat er uitdrukkelijk bij dat je geen bepaald niveau per persoon hoeft te garanderen. Het is een inspanning, geen resultaat. Een inspanning moet je wel kunnen laten zien. De wet schrijft geen document voor, maar zonder vastlegging kun je niets aantonen. Leg vast welke groepen met welke systemen werken, wat ze daarover hebben geleerd, hoe (een sessie, een instructie, een handleiding) en wanneer. Wat AI-geletterdheid in de praktijk inhoudt, staat op wat is AI-geletterdheid.

Hoe je mensen informeert, waar artikel 50 dat van jou vraagt. Twee situaties leggen een plicht bij jou als gebruiksverantwoordelijke. Gebruik je emotieherkenning of biometrische categorisering, dan informeer je de mensen op wie het wordt toegepast (artikel 50, lid 3). En maak je deepfakes, of publiceer je door AI gemaakte tekst om het publiek te informeren over zaken van algemeen belang, dan maak je bekend dat het kunstmatig is gemaakt (artikel 50, lid 4). Voor die tekst geldt een uitzondering als er menselijke redactie op zit en iemand redactionele verantwoordelijkheid draagt. Die informatie moet uiterlijk bij het eerste contact worden gegeven, duidelijk en toegankelijk (artikel 50, lid 5). Bewaar de tekst die je gebruikt en de datum waarop je hem invoerde. Voor de meeste bedrijven is dit een korte notitie, of helemaal niet van toepassing.

Alleen voor een systeem met een hoog risico

De logs. Je bewaart de logs die het systeem automatisch maakt, voor zover die onder jouw controle vallen, gedurende een periode die past bij het doel van het systeem, en minimaal zes maanden (artikel 26, lid 6). Andere wetgeving, vooral de AVG, kan daar iets anders over zeggen. Staan de logs bij je leverancier, dan is de vraag wie er controle over heeft. Dat is geen vraag om pas te stellen als een toezichthouder belt.

Wie het toezicht heeft. Je draagt het menselijk toezicht op aan mensen met de nodige bekwaamheid, opleiding en autoriteit, en je geeft ze de ondersteuning die ze nodig hebben (artikel 26, lid 2). Leg vast wie dat is, per systeem, sinds wanneer, en welke opleiding die persoon heeft gehad. Een naam van iemand die het systeem nooit heeft gezien, telt niet.

Dat je het gebruikt zoals bedoeld. Je neemt passende technische en organisatorische maatregelen om het systeem volgens de gebruiksaanwijzing te gebruiken (artikel 26, lid 1). Heb je zelf controle over de invoerdata, dan zorg je dat die relevant en voldoende representatief is (lid 4). Bewaar kort hoe je dat hebt ingericht.

Monitoring en meldingen. Je monitort de werking op basis van de gebruiksaanwijzing. Zie je een risico, dan meld je dat zonder onnodige vertraging aan de aanbieder of distributeur en aan de markttoezichthouder, en stop je het gebruik. Bij een ernstig incident informeer je eerst onmiddellijk de aanbieder (artikel 26, lid 5). Houd een eenvoudig logboek bij: datum, wat je zag, wie je hebt ingelicht.

Informatie aan medewerkers en betrokkenen. Zet je als werkgever een systeem met een hoog risico in op de werkplek, dan informeer je vooraf de werknemersvertegenwoordiging en de betrokken werknemers (artikel 26, lid 7). In Nederland ligt het voor de hand dat de ondernemingsraad daarbij hoort. En neem je met een systeem uit bijlage III beslissingen over mensen, of help je die te nemen, dan informeer je die mensen dat het systeem op hen wordt toegepast (artikel 26, lid 11). Bewaar wat je hebt gestuurd en wanneer.

Je DPIA, als die nodig is. Zie hierboven: artikel 26, lid 9 verwijst naar de AVG. De DPIA zelf is een AVG-stuk, maar hij hoort in dezelfde map.

Wie levert wat, wie bewaart wat, hoe lang en waar

Twee opmerkingen bij deze tabel. De enige vaste termijn die de AI Act jou als gebruiksverantwoordelijke oplegt, is de zes maanden voor logs. Waar in de kolom staat dat de wet geen termijn noemt, is ons advies om te bewaren zolang het systeem in gebruik is en daarna je gewone bewaarbeleid voor contracten te volgen. Dat is een praktische keuze van ons, geen eis uit de verordening. En waar persoonsgegevens in de stukken staan, bepaalt de AVG mede hoe lang je ze mag houden. Langer bewaren is dus niet altijd beter.

Een eenvoudige mappenstructuur

Je hebt geen systeem nodig om dit bij te houden. Een gedeelde map met een vaste indeling is genoeg, zolang iedereen weet waar hij staat en één persoon eigenaar is.

Map AI-dossier

• 00 Organisatie: het AI-register (een spreadsheet is genoeg), het AI-beleid, en de vastlegging van AI-geletterdheid (wie, wat, wanneer).
• Per systeem een eigen map, met steeds dezelfde submappen:
  • 01 Leverancier: contract, gebruiksaanwijzing per versie, contactpersoon.
  • 02 Beoordeling: waarom dit systeem in deze risicoklasse valt, en de DPIA als die nodig is.
  • 03 Toezicht: wie het toezicht heeft, sinds wanneer, met welke opleiding.
  • 04 Logs: waar de logs staan, hoe lang ze bewaard worden, wie erbij kan.
  • 05 Informeren: teksten aan klanten, medewerkers en ondernemingsraad, met datum.
  • 06 Incidenten: logboek van afwijkingen en meldingen.
  • 07 Wijzigingen: nieuwe versies, nieuwe functies, besluiten.

Voor een systeem zonder hoog risico blijven de meeste submappen leeg of bevatten ze één regel. Dat is prima. Dezelfde indeling voor elk systeem maakt het makkelijk om te zien wat ontbreekt.

De map 07 Wijzigingen verdient extra aandacht. Leveranciers zetten regelmatig nieuwe AI-functies aan in software die je al jaren hebt. Een nieuwe functie kan een systeem in een andere risicoklasse brengen. Spreek af dat iemand bij elke release notes van een kernleverancier kijkt of er iets met AI bij is gekomen, en dat in deze map noteert.

Het AI-beleid hoort in 00 Organisatie. Dat is het stuk waarin je vastlegt welke AI je toestaat, wie beslist en hoe je toezicht houdt. Wat daar in hoort, staat op wat is AI-beleid.


Een voorbeeld

Stel: een installatiebedrijf met 140 medewerkers. Het gebruikt drie AI-toepassingen. Een tekstassistent in het kantoorpakket, die iedereen op kantoor gebruikt. Een chatbot op de website die vragen over onderhoud beantwoordt. En een functie in het sollicitatiesysteem die binnenkomende sollicitaties sorteert op geschiktheid.

De tekstassistent en de chatbot hebben geen hoog risico. Voor beide komt er een regel in het register en een korte map. Bij de chatbot kijkt het bedrijf of de bot zelf laat weten dat het een AI-systeem is. Dat is een plicht van de aanbieder, maar het bedrijf wil wel zien dat het werkt op zijn eigen site, en legt een schermafdruk met datum vast. Voor beide systemen legt het vast welke medewerkers ermee werken en welke korte instructie ze hebben gehad.

De sorteerfunctie in het sollicitatiesysteem valt onder werkgelegenheid in bijlage III. Die krijgt de volle map. Het bedrijf vraagt de leverancier om de gebruiksaanwijzing en vraagt waar de logs staan en hoe lang ze bewaard worden. Het wijst de HR-manager aan als toezichthouder, legt vast welke training zij heeft gehad, en zet in de map hoe kandidaten worden geïnformeerd. Voor de ondernemingsraad komt er vooraf een korte notitie. Omdat de plichten voor deze categorie pas vanaf 2 december 2027 gelden, heeft het bedrijf tijd om dit rustig te regelen. Er is een overgangsregeling voor systemen die al voor die datum op de markt waren (artikel 111, lid 2). Hoe die voor dit specifieke systeem uitpakt, is een vraag voor een jurist.

Dit voorbeeld is verzonnen om de indeling te laten zien. Het is geen klantgeval.

Wat het kost als het ontbreekt, en wat het kost om het te regelen

Geld en risico eerst. De boetes staan in artikel 99. Voor het niet nakomen van de plichten van een gebruiksverantwoordelijke uit artikel 26, en voor de transparantieplichten uit artikel 50, is het maximum 15 miljoen euro of 3 procent van de wereldwijde jaaromzet (artikel 99, lid 4). Voor kmo's geldt het laagste van die twee bedragen, waar voor grote bedrijven het hoogste geldt (artikel 99, lid 6). Artikel 4 staat niet in die lijst. De lidstaten stellen zelf de sancties vast voor overtredingen die niet in het artikel zijn uitgewerkt (artikel 99, lid 1).

De boete is niet het enige risico. Het grootste praktische risico is dat je bij een klacht van een sollicitant, een vraag van de ondernemingsraad of een verzoek van een toezichthouder niets kunt laten zien. Dan moet je achteraf reconstrueren wat je deed, en dat lukt meestal maar half.

Daartegenover staan de kosten van het regelen. Voor een systeem zonder hoog risico is het een regel in het register en een korte notitie. Voor een systeem met een hoog risico is het eerste inrichten van de map een paar uur werk, en daarna vooral bijhouden. De meeste tijd zit in het boven water krijgen van de gebruiksaanwijzing en de logafspraken bij de leverancier. Dat gaat sneller als het al in het contract staat.

Wanneer je dit opnieuw controleert

De regels bewegen nog. De Digital Omnibus heeft in juli 2026 de data voor hoog risico verschoven en de tekst van artikel 4 aangepast. De Europese Commissie publiceert richtsnoeren en praktische voorbeelden, en in Nederland moet de uitwerking van het toezicht nog verder vorm krijgen. Zet daarom twee momenten in de agenda: een keer per jaar het hele dossier nalopen, en een keer extra ruim voor 2 december 2027, als de plichten voor systemen met een hoog risico uit bijlage III gaan gelden.

Bij elke controle stel je dezelfde vier vragen. Klopt het register nog? Zijn er systemen in een andere risicoklasse terechtgekomen door nieuwe functies? Is van elk systeem met een hoog risico de laatste gebruiksaanwijzing aanwezig? En weet je zeker dat de logs minimaal zes maanden worden bewaard?

Waar je verder kunt lezen

Als volgende stap kun je deze map vandaag aanmaken en de eerste regel in het register zetten. Daarna helpen deze stukken:

• EU AI Act voor het MKB voor het overzicht van wat er geldt en sinds wanneer.
• AI Act-checklist voor de directie voor de volgorde waarin je de punten afwerkt.
• AI Act en je leveranciers voor wat je in het contract zet, zodat de documenten uit dit stuk ook echt worden geleverd.
• Wat is AI-beleid voor het stuk dat bovenaan je dossier hoort.

Over deze pagina

Deze pagina beschrijft de stand van 5 oktober 2026. De plichten en artikelnummers komen uit de officiële Nederlandse tekst van Verordening (EU) 2024/1689 op EUR-Lex, zoals gewijzigd door Verordening (EU) 2026/1744 (de Digital Omnibus on AI), die op 24 juli 2026 in het Publicatieblad verscheen. De data voor hoog risico (2 december 2027 voor bijlage III, 2 augustus 2028 voor bijlage I) en de nieuwe tekst van artikel 4 komen uit die wijzigingsverordening. De bewaaradviezen voor stukken waarvoor de wet geen termijn noemt, en de mappenstructuur, zijn Radicals eigen voorstel en geen wettelijke eis. Het voorbeeld van het installatiebedrijf is verzonnen; er is geen klantdata gebruikt. Dit is geen juridisch advies; leg je eigen situatie voor aan een jurist. Revisiedatum: controleer de regels en data opnieuw uiterlijk op 1 maart 2027, en nog een keer voor 2 december 2027.