← Alle inzichten
EU AI Act · Hoog risico

Hoog-risico AI-systemen onder de EU AI Act: hoe u ze classificeert en wat er in 2027 verandert

Het beoogde doel bepaalt de risicoklasse — niet het model. Classificatie, bewijs en de actuele tijdlijn 2027/2028.

LMXAI · Leiden, NL · Gepubliceerd · Herzien

Samenvatting

Onder de EU AI Act bepaalt het beoogde doel van een systeem, niet het model erin, of het een hoog risico heeft. Dit artikel geeft de actuele tijdlijn, een classificatieprocedure in drie stappen (categorie, uitzonderingen, bewijs) en het engineeringwerk dat daarop volgt. De procedure wordt verbonden met wetenschappelijk werk dat opmerkt dat de Act risicocategorieën vastlegt zonder concrete beoordelingsmethode, en met werk over conformiteitsbeoordeling en audits.

Trefwoorden EU AI Act · hoog-risico AI · bijlage III · classificatie · conformiteitsbeoordeling · compliancebewijs

Inhoud

  1. Inleiding
  2. Achtergrond en verwant werk
  3. De actuele tijdlijn
  4. Stap 1: controleer of het systeem in een hoog-risicocategorie valt
  5. Stap 2: toets of een uitzondering van toepassing is
  6. Stap 3: bouw het compliancebewijs in de architectuur
  7. Wat moet een organisatie nu doen?
01

Inleiding

De EU AI Act maakt niet elk zakelijk AI-systeem hoog-risico. De classificatie hangt af van het beoogde doel van het systeem, de context waarin het wordt gebruikt en of het valt onder de hoog-risicocategorieën die de Verordening vastlegt.

Voor engineeringteams is dat onderscheid belangrijk, omdat een hoog-risicostatus het hele opleveringsmodel verandert: risicobeheer, datagovernance, technische documentatie, logging, menselijk toezicht, nauwkeurigheid, robuustheid, cyberbeveiliging, conformiteitsbeoordeling en monitoring na het in de handel brengen worden onderdeel van de levenscyclus van het systeem.

02

Achtergrond en verwant werk

De Verordening koppelt verplichtingen aan de risicoklasse en eist voor systemen met een hoog risico een risicobeheersysteem, datagovernance, technische documentatie, automatische logging, transparantie, menselijk toezicht, en nauwkeurigheid, robuustheid en cyberbeveiliging (artikelen 9–15)[1]. Het lastige deel is de classificatie: de Act kent vier categorieën, maar mist een duidelijke methode om risico in concrete situaties te beoordelen, en een op scenario's gebaseerde, proportionele methode is voorgesteld om dat gat te vullen[2].

De handhavingskant is al vroeg geanalyseerd. Conformiteitsbeoordeling en monitoring na het in de handel brengen werden beschreven als de twee belangrijkste mechanismen in het voorstel en gelezen als de basis voor een Europees ecosysteem van AI-audits[3]. Een kritische lijn stelt dat de Act betrouwbaarheid behandelt als de aanvaardbaarheid van risico, en dat werkelijk vertrouwen en de betrouwbaarheid van ingezette systemen uit elkaar kunnen blijven lopen[4]. Voor teams zijn de praktische hulpmiddelen intern: een end-to-end raamwerk voor interne algoritmische audits[5] en documentatie die in de architectuur is ingebouwd.

03

De actuele tijdlijn

Het implementatieschema is in 2026 gewijzigd. Volgens de actuele richtsnoeren van de Europese Commissie (september 2026) gelden de hoog-risicoregels voor toepassingen uit bijlage III — waaronder biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid, migratie, asiel en grenscontrole — vanaf 2 december 2027. Hoog-risicosystemen die zijn ingebouwd in gereguleerde producten hebben een latere toepassingsdatum: 2 augustus 2028.

Dat is iets anders dan de transparantieverplichtingen van artikel 50, die al gelden vanaf 2 augustus 2026.

Voor organisaties met een oudere compliance-roadmap is dit onderscheid belangrijk: de AI Act is op verschillende gebieden al afdwingbaar, maar het volledige hoog-risicoregime heeft voor deze categorieën een latere toepassingsdatum.

04

Stap 1: controleer of het systeem in een hoog-risicocategorie valt

Systemen met een hoog risico kunnen langs twee hoofdroutes ontstaan.

1. AI als veiligheidscomponent van een gereguleerd product

Voorbeelden zijn AI in machines, medische hulpmiddelen of andere producten die al onder EU-productveiligheidswetgeving vallen. Deze systemen volgen de productgebonden hoog-risicoroute en de verlengde tijdlijn tot 2028.

2. AI in gevoelige contexten uit bijlage III

Bijlage III beschrijft specifieke toepassingen waarin AI gezondheid, veiligheid of grondrechten wezenlijk kan raken. Veelvoorkomende zakelijke voorbeelden:

  • werving, selectie van kandidaten en beoordeling van medewerkers;
  • toelating tot onderwijs, beoordeling of examentoezicht;
  • toegang tot essentiële private of publieke diensten;
  • biometrische identificatie of categorisering;
  • beslissingen over migratie, asiel en grenscontrole;
  • bepaalde toepassingen in rechtspraak en democratische processen.

Een systeem moet niet alleen worden geclassificeerd op basis van het model dat het gebruikt. Hetzelfde foundation model kan een intern samenvattingstool met laag risico ondersteunen én een wervingsworkflow met hoog risico. Het beoogde doel en het werkelijke gebruik zijn doorslaggevend.

05

Stap 2: toets of een uitzondering van toepassing is

Artikel 6 bevat gevallen waarin een systeem uit bijlage III geen hoog risico hoeft te hebben, wanneer het een beperkte procedurele of voorbereidende taak uitvoert en de uitkomst van de beslissing niet wezenlijk beïnvloedt. Voorbeelden zijn het indexeren, vertalen, doorzoeken of classificeren van documenten, of het opsporen van afwijkingen voor menselijke beoordeling.

Deze uitzondering moet worden gedocumenteerd, niet aangenomen. Als het systeem natuurlijke personen profileert, is de uitzondering veel smaller en moet de risicoanalyse bijzonder zorgvuldig gebeuren.

06

Stap 3: bouw het compliancebewijs in de architectuur

Voor systemen met een hoog risico is compliance niet alleen een beleidsdocument. Het systeem moet bewijs leveren.

Een productiearchitectuur moet ondersteunen:

  • risicobeheer: een herhaalbaar proces over de levenscyclus om voorzienbare risico's te vinden en te beperken;
  • datagovernance: herkomst, kwaliteitscontroles en analyse van bias voor relevante datasets;
  • technische documentatie: een bijgehouden technisch dossier dat beoogd doel, architectuur, beperkingen en tests beschrijft;
  • automatische logging: traceerbare systeemgebeurtenissen die volstaan voor onderzoek achteraf;
  • menselijk toezicht: zinvolle mogelijkheden om in te grijpen, te escaleren en te overrulen;
  • nauwkeurigheid, robuustheid en cyberbeveiliging: meetbare prestatiedoelen, weerbaarheidstests en beveiligingsmaatregelen;
  • monitoring na het in de handel brengen: mechanismen om incidenten, verslechtering en wezenlijke wijzigingen na de uitrol te signaleren.

De praktische les is eenvoudig: als deze controles pas worden toegevoegd wanneer het systeem al in productie draait, wordt compliancewerk duur en versnipperd. Ze in het platform ontwerpen is meestal goedkoper en makkelijker te auditen.

07

Wat moet een organisatie nu doen?

Ook waar de toepassingsdatum voor hoog risico nog in de toekomst ligt, moeten organisaties nu al een AI-inventaris bijhouden en systemen classificeren op beoogd doel. Nieuwe systemen moeten zo worden ontworpen dat logging, evaluatie, menselijk toezicht en documentatie ingebouwde functies van het platform zijn, geen losse complianceprojecten.

Een bruikbaar minimumpakket is:

  1. systeeminventaris en eigenaar;
  2. beschrijving van het beoogde doel;
  3. voorlopige risicoclassificatie;
  4. architectuur- en datastroomdiagram;
  5. bewijs uit evaluatie en red-teaming;
  6. beleid voor logging en het bewaren van traces;
  7. ontwerp voor menselijk toezicht;
  8. wijzigingsbeheer en triggers voor herclassificatie.

LMXAI behandelt deze bewijslaag als onderdeel van productie-engineering: architectuur, observability en compliance moeten hetzelfde systeem beschrijven, niet drie losse versies ervan.

Primaire bronnen

Verder lezen

Referenties

  1. European Parliament and Council of the European Union (2024). Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
  2. Novelli, C., Casolari, F., Rotolo, A., Taddeo, M., & Floridi, L. (2024). AI risk assessment: A scenario-based, proportional methodology for the AI Act. Digital Society, 3(1). doi:10.1007/s44206-024-00095-1
  3. Mökander, J., Axente, M., Casolari, F., & Floridi, L. (2022). Conformity assessments and post-market monitoring: A guide to the role of auditing in the proposed European AI regulation. Minds and Machines, 32(2), 241–268. doi:10.1007/s11023-021-09577-4
  4. Laux, J., Wachter, S., & Mittelstadt, B. (2024). Trustworthy artificial intelligence and the European Union AI Act: On the conflation of trustworthiness and acceptability of risk. Regulation & Governance, 18(1), 3–32. doi:10.1111/rego.12512
  5. Raji, I. D., Smart, A., White, R. N., Mitchell, M., Gebru, T., et al. (2020). Closing the AI accountability gap: Defining an end-to-end framework for internal algorithmic auditing. Proceedings of the 2020 Conference on Fairness, Accountability, and Transparency (FAT* '20), 33–44. doi:10.1145/3351095.3372873

Elke referentie is gecontroleerd bij de uitgever, arXiv of de officiële bron.

Citeren

LMXAI. (2026). Hoog-risico AI-systemen onder de EU AI Act: hoe u ze classificeert en wat er in 2027 verandert. LMXAI Inzichten. https://lmxai.com/nl/insights/eu-ai-act-high-risk-systems.html