← Diensten
Dienst · Verordening (EU) 2024/1689

Risicoclassificatie, audit logging & documentatie onder de EU AI Act

Wie bepaalt het risiconiveau van uw AI-systeem en levert de audit log en het technisch dossier? LMXAI levert vanuit Leiden het operationele bewijspakket — niet alleen een juridisch memo.

LMXAI · Leiden, NL · Herzien

Zie ook: inzicht over de compliance-deliverable · praktische gids voor de AI Act

Samenvatting

LMXAI zet de eisen van de EU AI Act om in engineeringwerk: een systeeminventaris, een onderbouwde risicoclassificatie, audit logging, menselijk toezicht en de technische documentatie daarachter. Deze pagina legt uit wat er wordt opgeleverd en hoe dat zich verhoudt tot wetenschappelijk werk over de Act, dat opmerkt dat de Verordening risicocategorieën vastlegt zonder duidelijke methode om risico in concrete situaties te beoordelen.

Trefwoorden EU AI Act · risicoclassificatie · audit logging · technische documentatie · menselijk toezicht

Inhoud

  1. Inleiding
  2. Achtergrond en verwant werk
  3. Begin bij het systeem, niet bij een generieke checklist
  4. Wat LMXAI kan opleveren
  5. Engineeringcontroles voor agentische en RAG-systemen
  6. De actuele context van de EU AI Act
  7. Hoe de opdracht eruitziet
  8. Wat u ontvangt
  9. Classificatie nodig plus het engineeringwerk erachter?
01

Inleiding

LMXAI helpt organisaties de eisen van de EU AI Act om te zetten in engineeringwerk: systeeminventaris, classificatie van rol en risico, technisch bewijs, audit logging, controles voor menselijk toezicht en productiedocumentatie. Het doel is de wettelijke eisen te verbinden met de manier waarop het AI-systeem werkelijk is ontworpen, uitgerold en beheerd.

LMXAI is gevestigd in Leiden en werkt aan AI-architectuur voor productie, soevereine LLM-infrastructuur, agentische systemen, RAG, evaluatie en observability. Daardoor is het compliancewerk standaard technisch, in plaats van een beleidsdocument dat losstaat van het draaiende systeem.

02

Achtergrond en verwant werk

De primaire bron is de Verordening zelf. Die legt verplichtingen op per risicoklasse en eist voor systemen met een hoog risico risicobeheer, datagovernance, technische documentatie, automatische logging, transparantie, menselijk toezicht, en nauwkeurigheid, robuustheid en cyberbeveiliging (artikelen 9–15)[1].

Wetenschappelijk werk over de Act verklaart waarom classificatie engineeringwerk is en geen opzoekklus. De Act kent vier risicocategorieën, maar mist volgens een analyse een duidelijke methode om risico in concrete situaties te beoordelen; de auteurs stellen een beoordeling op basis van scenario's voor, met een proportionaliteitstoets[2]. Vroeg commentaar op het ontwerp vond de getrapte risicostructuur verstandig, maar waarschuwde dat sommige bepalingen grotendeels ineffectief zouden kunnen blijken[3]. De twee handhavingsmechanismen in het voorstel, conformiteitsbeoordeling en monitoring na het in de handel brengen, zijn gelezen als de basis voor een Europees ecosysteem voor AI-audits[4]. Beide analyses gaan over het voorstel; details moeten dus worden gecontroleerd aan de vastgestelde tekst.

Voor het bewijs zelf heeft de machine-learninggemeenschap al documentatieformaten die aansluiten op een technisch dossier: model cards beschrijven het beoogde gebruik en de evaluatie onder relevante omstandigheden[5], datasheets leggen vast waarom een dataset is gemaakt, hoe die is samengesteld en verzameld[6], en er bestaat een end-to-end raamwerk voor interne algoritmische audits[7].

03

Begin bij het systeem, niet bij een generieke checklist

Verplichtingen onder de AI Act hangen af van wat het systeem doet, hoe het wordt gebruikt, wie het in de handel brengt of in gebruik neemt, en welke rol de organisatie heeft in de AI-waardeketen.

Een praktische beoordeling begint daarom met vragen als:

  • Wat is het beoogde doel van het AI-systeem?
  • Wie zijn, waar relevant, de aanbieder, gebruiksverantwoordelijke, importeur of distributeur?
  • Is het systeem verboden, mogelijk hoog-risico, onderworpen aan transparantieverplichtingen of anderszins laag-risico?
  • Integreert de oplossing een AI-model voor algemene doeleinden?
  • Welke beslissingen of workflows kunnen mensen wezenlijk raken?
  • Welke data komt het systeem binnen en waar stroomt die naartoe?
  • Wat genereert, adviseert of activeert het model?
  • Waar is menselijk toezicht nodig?
  • Welk bewijs bestaat al in code, logs, evaluatieresultaten en operationele processen?

Het resultaat is een classificatiedossier voor dit specifieke systeem, geen compliancelabel dat voor iedereen hetzelfde is.

04

Wat LMXAI kan opleveren

1. Inventaris van AI-systemen en rollen

We documenteren de werkelijke AI-componenten, modellen, datastromen, integraties, het beoogde doel en het organisatorische eigenaarschap. Dat is de basislaag om te bepalen welke eisen van de AI Act van toepassing zijn.

2. Beoordeling van de risicoclassificatie

Het systeem wordt gelegd naast de relevante categorieën van de AI Act en de actuele richtsnoeren van de Europese Commissie. Waar een hoog-risicoclassificatie relevant kan zijn, legt de beoordeling de toepassing, redenering, aannames en het bewijs vast dat beoordeeld en bijgehouden moet worden.

3. Pakket technische documentatie

LMXAI kan het technisch dossier opbouwen rond het systeem dat in productie draait, waaronder:

  • inventaris van architectuur en componenten;
  • informatie over modellen en aanbieders;
  • beoogd doel en systeemgrenzen;
  • databronnen en retrievalontwerp;
  • evaluatiemethode en -resultaten;
  • bekende beperkingen en faalwijzen;
  • mechanismen voor menselijk toezicht;
  • beveiliging en toegangscontrole;
  • processen voor monitoring en incidentafhandeling;
  • wijzigingsgeschiedenis en releasebewijs.

Het doel is documentatie die onderhoudbaar blijft terwijl het systeem verandert, geen statische pdf die na de volgende release verouderd is.

4. Audit logging en traceerbaarheid

Voor AI-systemen die sterkere traceerbaarheid nodig hebben, kan LMXAI logging ontwerpen over de applicatie- en modelworkflow heen. Afhankelijk van de architectuur kan dat omvatten:

  • versie van model en prompt;
  • metadata van verzoek en antwoord;
  • retrievalbronnen;
  • toolaanroepen en tooloutput;
  • identiteit van gebruiker of service;
  • goedkeuringen en menselijke ingrepen;
  • beleidsbeslissingen;
  • latency, fouten en retries;
  • evaluatie- of zekerheidssignalen;
  • deployment- en releaseversie.

Gevoelige inhoud hoeft niet ongericht gelogd te worden. Bewaartermijnen, afscherming en toegang tot logs volgen het privacy- en beveiligingsmodel van de organisatie.

5. Menselijk toezicht en goedkeuringscontroles

Voor systemen die ingrijpende acties adviseren of uitvoeren, kan LMXAI eisen voor menselijk toezicht vertalen naar concrete workflowcontroles: goedkeuringsnodes, escalatiepaden, rechten per rol, reviewwachtrijen en expliciete stopvoorwaarden.

6. Evaluatie en bewijs uit productie

Een compliance-claim is sterker als de organisatie kan laten zien hoe het systeem is getest. LMXAI kan herhaalbare evaluatiesets en releasepoorten maken voor modelkwaliteit, onderbouwing door retrieval, toolgebruik, veiligheidsgedrag, latency en regressies.

05

Engineeringcontroles voor agentische en RAG-systemen

Moderne zakelijke AI is vaak meer dan één modelaanroep. Een verzoek van een gebruiker kan retrieval, meerdere tools, een agentworkflow en verschillende modelbeslissingen in gang zetten.

Voor deze systemen moet traceerbaarheid het hele uitvoeringspad dekken, niet alleen het eindantwoord.

LMXAI werkt met technologieën als LangGraph, FastAPI, OpenTelemetry en Phoenix om workflowtoestand, tooluitvoering, retrieval en modelaanroepen zichtbaar te maken. Bij soevereine deployments kan dezelfde controlelaag worden gecombineerd met zelf gehoste inferentie met vLLM en Kubernetes.

06

De actuele context van de EU AI Act

De AI Act gebruikt een risicogebaseerd kader. De actuele richtsnoeren van de Europese Commissie onderscheiden verboden praktijken, systemen met een hoog risico, transparantieverplichtingen en systemen met een minimaal of geen risico. Hoog-risicoclassificatie hangt samen met het beoogde gebruik van het systeem en de categorieën in artikel 6 en de relevante bijlagen, terwijl aparte regels gelden voor AI-modellen voor algemene doeleinden en bepaalde transparantiesituaties.

De richtsnoeren van de Commissie benadrukken ook documentatie, logging en traceerbaarheid, menselijk toezicht, robuustheid, cyberbeveiliging en risicobeheer voor relevante systemen met een hoog risico. De transparantieverplichtingen onder artikel 50 gelden sinds 2 augustus 2026.

Omdat richtsnoeren en implementatietermijnen blijven veranderen, houdt LMXAI het engineeringbewijs modulair: classificatieaannames, controles en documentatie kunnen worden bijgewerkt zonder het AI-product opnieuw te bouwen.

Officiële bronnen

07

Hoe de opdracht eruitziet

Een gebruikelijke opdracht kan zo worden opgebouwd:

  1. Verkenning — inventaris van systemen, toepassingen, rollen, data en deploymentcontext.
  2. Classificatie — elk systeem koppelen aan de relevante categorieën van de AI Act en de redenering vastleggen.
  3. Gapanalyse — het vereiste bewijs en de vereiste controles vergelijken met wat er nu is.
  4. Implementatie — logging, evaluatie, goedkeuringen, monitoring of architectuurwijzigingen toevoegen waar nodig.
  5. Documentatie — het technisch dossier en het model voor operationeel eigenaarschap opleveren.
  6. Releaseproces — vastleggen hoe toekomstige wijzigingen in model, prompt, retrieval en tools worden beoordeeld en onderbouwd.
08

Wat u ontvangt

Het precieze pakket hangt af van het systeem, maar kan bestaan uit:

  • inventaris van AI-systemen;
  • matrix voor rol- en risicoclassificatie;
  • kaart van architectuur en datastromen;
  • gapanalyse;
  • specificatie voor logging en traceerbaarheid;
  • evaluatieplan en testbewijs;
  • ontwerp voor menselijk toezicht;
  • structuur voor de technische documentatie;
  • operationele monitoring en incidentworkflow;
  • implementatiebacklog, geprioriteerd op risico.

Verder lezen

09

Classificatie nodig plus het engineeringwerk erachter?

LMXAI combineert AI-architectuur en implementatie met technisch bewijs dat aansluit op de AI Act. Dezelfde partner kan dus het systeem beoordelen, ontbrekende controles vinden en logging, evaluatie, governance en productiewijzigingen doorvoeren.

Bespreek uw engineeringeisen onder de AI Act met LMXAI

Need more detail? Chat with Savion’s AI legal assistants for EU AI Act questions: obligations, risk tiers and documentation checklists. Open Savion →

Referenties

  1. European Parliament and Council of the European Union (2024). Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
  2. Novelli, C., Casolari, F., Rotolo, A., Taddeo, M., & Floridi, L. (2024). AI risk assessment: A scenario-based, proportional methodology for the AI Act. Digital Society, 3(1). doi:10.1007/s44206-024-00095-1
  3. Veale, M., & Zuiderveen Borgesius, F. (2021). Demystifying the draft EU Artificial Intelligence Act: Analysing the good, the bad, and the unclear elements of the proposed approach. Computer Law Review International, 22(4), 97–112. doi:10.9785/cri-2021-220402 arxiv.org/abs/2107.03721
  4. Mökander, J., Axente, M., Casolari, F., & Floridi, L. (2022). Conformity assessments and post-market monitoring: A guide to the role of auditing in the proposed European AI regulation. Minds and Machines, 32(2), 241–268. doi:10.1007/s11023-021-09577-4
  5. Mitchell, M., Wu, S., Zaldivar, A., Barnes, P., Vasserman, L., et al. (2019). Model cards for model reporting. Proceedings of the Conference on Fairness, Accountability, and Transparency (FAT* '19), 220–229. doi:10.1145/3287560.3287596 arxiv.org/abs/1810.03993
  6. Gebru, T., Morgenstern, J., Vecchione, B., Vaughan, J. W., Wallach, H., Daumé III, H., & Crawford, K. (2021). Datasheets for datasets. Communications of the ACM, 64(12), 86–92. doi:10.1145/3458723 arxiv.org/abs/1803.09010
  7. Raji, I. D., Smart, A., White, R. N., Mitchell, M., Gebru, T., et al. (2020). Closing the AI accountability gap: Defining an end-to-end framework for internal algorithmic auditing. Proceedings of the 2020 Conference on Fairness, Accountability, and Transparency (FAT* '20), 33–44. doi:10.1145/3351095.3372873

Elke referentie is gecontroleerd bij de uitgever, arXiv of de officiële bron.