Of jouw AI-systeem in de hoog-risicocategorie valt, hangt af van twee factoren: de sector waarin het systeem wordt ingezet en de mate waarin het systeem beslissingen neemt die directe gevolgen hebben voor mensen. De EU AI Act hanteert daarvoor een risicogebaseerde indeling met duidelijke criteria. In dit artikel beantwoorden we de meest gestelde vragen over hoog-risico AI, zodat je precies weet waar je staat.
Welke criteria bepalen of een AI-systeem hoog-risico is?
Een AI-systeem is hoog-risico als het valt binnen een van de categorieën die de EU AI Act noemt in Bijlage III (Annex III), of als het als veiligheidscomponent functioneert in een gereguleerd product uit Bijlage I (Annex I). De kern van de beoordeling is of het systeem significante risico’s met zich meebrengt voor de gezondheid, veiligheid of grondrechten van mensen.
Concreet let de wet op de volgende factoren bij het bepalen van het risiconiveau:
- De bestemming van het systeem: wordt het ingezet bij beslissingen die rechtstreeks mensen raken, zoals het toekennen van een uitkering of het beoordelen van een sollicitant?
- De mate van autonomie: neemt het systeem zelfstandig beslissingen of ondersteunt het alleen een menselijke beslisser?
- De kwetsbaarheid van de betrokkenen: worden er groepen geraakt die extra bescherming verdienen, zoals kinderen, patiënten of werkzoekenden?
- De omkeerbaarheid van de gevolgen: zijn de effecten van een fout eenvoudig te herstellen of kunnen ze structurele schade aanrichten?
Belangrijk om te weten: het gaat niet alleen om de technologie zelf, maar ook om de context. Hetzelfde AI-model kan in de ene toepassing hoog-risico zijn en in een andere toepassing volledig buiten die categorie vallen. Een chatbot die algemene productinformatie geeft, is iets heel anders dan een systeem dat kredietwaardigheid beoordeelt.
Welke sectoren en toepassingen staan op de hoog-risico lijst?
De hoog-risico lijst in Annex III van de EU AI Act omvat acht specifieke domeinen. Systemen die binnen deze domeinen opereren en directe invloed hebben op besluitvorming, worden automatisch als hoog-risico beschouwd.
- Biometrische identificatie en categorisering van mensen
- Beheer van kritieke infrastructuur, zoals energie, water en transport
- Onderwijs en beroepsopleiding, bijvoorbeeld systemen die leerresultaten beoordelen of toegang tot opleidingen bepalen
- Werkgelegenheid en personeelsbeheer, waaronder wervings- en selectietools
- Toegang tot essentiële diensten, zoals creditscoring, sociale uitkeringen en zorgverlening
- Rechtshandhaving, inclusief risicoprofilering en bewijsanalyse
- Migratie, asiel en grenscontrole
- Rechtsbedeling en democratische processen, waaronder systemen die rechters of bestuurders ondersteunen bij beslissingen
Voor organisaties in de publieke sector, zorg, onderwijs of financiële dienstverlening is de kans groot dat AI-toepassingen in minimaal een van deze categorieën vallen. Het is verstandig om per systeem na te gaan welke bestemming het heeft en of die bestemming overlapt met een van de bovenstaande domeinen.
Wat is het verschil tussen hoog-risico en verboden AI-systemen?
Verboden AI-systemen zijn toepassingen die de EU volledig heeft uitgesloten, ongeacht de context of het beoogde doel. Hoog-risicosystemen zijn niet verboden, maar mogen alleen worden ingezet als aan strenge verplichtingen is voldaan. Het onderscheid zit dus niet in het al dan niet mogen gebruiken, maar in de absolute grens versus een voorwaardelijke toestemming.
Voorbeelden van verboden praktijken die per 2 februari 2025 van kracht zijn:
- Systemen die gedrag van mensen manipuleren op een manier die hun vrije wil ondermijnt
- Social scoring door overheden op basis van persoonlijk gedrag
- Realtime biometrische identificatie in openbare ruimten voor rechtshandhaving (met zeer beperkte uitzonderingen)
- Emotieherkenning op de werkvloer of in het onderwijs
- AI-systemen die kwetsbaarheden van specifieke groepen uitbuiten
Hoog-risico AI bevindt zich in een andere categorie: het gebruik is toegestaan, maar alleen als je als aanbieder of gebruiker kunt aantonen dat je aan alle wettelijke vereisten voldoet. Denk aan documentatie, transparantie en menselijk toezicht. Het is dus geen verbod, maar een stelsel van verantwoordingsplichten.
Welke verplichtingen gelden voor aanbieders van hoog-risico AI?
Aanbieders van hoog-risico AI-systemen moeten voldoen aan een uitgebreide set verplichtingen voordat hun systeem op de markt mag worden gebracht. Vanaf 2 augustus 2026 gelden deze eisen volledig voor systemen die vallen onder Annex III.
De belangrijkste verplichtingen zijn:
- Risicomanagementsysteem: een doorlopend proces dat risico’s identificeert, beoordeelt en mitigeert gedurende de hele levenscyclus van het systeem
- Technische documentatie: uitgebreide beschrijving van het systeem, de trainingsdata, de werking en de getroffen maatregelen
- Datakwaliteitsbeheer: trainings- en testdata moeten representatief, relevant en vrij van onacceptabele bias zijn
- Transparantie en gebruikersinformatie: gebruikers moeten begrijpen wat het systeem doet en wat de beperkingen zijn
- Menselijk toezicht: het systeem moet zodanig zijn ontworpen dat een mens de werking kan volgen, begrijpen en ingrijpen
- Nauwkeurigheid, robuustheid en cybersecurity: aantoonbare prestaties onder normale en afwijkende omstandigheden
- Conformiteitsbeoordeling en CE-markering: voor veel hoog-risico systemen is een externe beoordeling verplicht
- Registratie in de EU-database: hoog-risico systemen moeten worden ingeschreven in een centrale Europese databank
Organisaties die een hoog-risico AI-systeem niet zelf ontwikkelen maar wel inzetten als deployer, hebben ook verplichtingen. Zij moeten onder andere zorgen voor passend gebruik, menselijk toezicht inrichten en incidenten melden.
Hoe controleer je of jouw AI-leverancier aan de regels voldoet?
Je controleert of een AI-leverancier voldoet aan de EU AI Act door gerichte vragen te stellen over documentatie, conformiteitsbeoordelingen en risicobeheerprocedures. Als deployer ben je mede verantwoordelijk voor het correcte gebruik van het systeem, dus je kunt niet blind vertrouwen op wat een leverancier beweert.
Stel je leverancier in ieder geval de volgende vragen:
- Is er een conformiteitsbeoordeling uitgevoerd en is er een CE-markering aanwezig?
- Is er technische documentatie beschikbaar die de werking, trainingsdata en risicobeheermaatregelen beschrijft?
- Is het systeem geregistreerd in de EU-database voor hoog-risico AI?
- Hoe is menselijk toezicht ingeregeld en wie is verantwoordelijk voor wat?
- Welke procedures zijn er voor het melden van incidenten en ernstige storingen?
- Hoe wordt omgegaan met updates of wijzigingen die het systeem substantieel veranderen?
Let ook op contractuele afspraken. De EU AI Act bepaalt dat een distributeur, importeur of deployer zelf aanbieder wordt met alle bijbehorende verplichtingen als hij zijn naam op een systeem zet, een substantiële wijziging aanbrengt, of het beoogde doel zodanig wijzigt dat een systeem hoog-risico wordt. Zorg er dus voor dat contracten duidelijk vastleggen wie welke verantwoordelijkheid draagt.
Wat zijn de gevolgen als je een hoog-risico AI-systeem niet compliant inzet?
Als je een hoog-risico AI-systeem inzet zonder te voldoen aan de verplichtingen van de EU AI Act, riskeer je boetes van maximaal 15 miljoen euro of 3% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties kan de toezichthouder ook het gebruik van het systeem opschorten of verbieden.
De boetestructuur werkt in drie niveaus:
- Overtredingen van verboden praktijken (Artikel 5): maximaal 35 miljoen euro of 7% van de wereldwijde jaaromzet
- Non-conformiteit met overige verplichtingen: maximaal 15 miljoen euro of 3% van de omzet
- Onjuiste of misleidende informatie aan autoriteiten: maximaal 7,5 miljoen euro of 1% van de omzet
Voor kleine en middelgrote ondernemingen geldt telkens het laagste bedrag van het percentage of het vaste maximumbedrag. Dat biedt enige bescherming, maar ontslaat je niet van de verplichting om compliant te opereren.
Vanaf 2 augustus 2026 zijn de meeste verplichtingen voor hoog-risico Annex III-systemen van kracht. Finland was in januari 2026 de eerste lidstaat die handhavingsbevoegdheden formeel aan zijn nationale autoriteit toekende, wat aangeeft dat handhaving serieus wordt genomen. De verwachting is dat andere lidstaten snel volgen.
Naast de juridische risico’s zijn er ook reputatierisico’s. Non-compliance met de EU AI Act kan leiden tot negatieve publiciteit, verlies van klantvertrouwen en uitsluitingen van aanbestedingsprocedures, met name in de publieke sector.
Hoe Pegamento helpt met AI-compliance in klantcontact
Wij begrijpen dat de EU AI Act voor veel organisaties een complexe puzzel is, zeker als je AI inzet in klantcontact- en customer service-omgevingen. Onze Agentic AI voor customer service is ontwikkeld met compliance als uitgangspunt, niet als bijgedachte.
Wat wij voor je doen:
- Risicoanalyse van bestaande AI-toepassingen: we brengen in kaart welke systemen hoog-risico zijn en welke verplichtingen daaruit volgen
- Implementatie van menselijk toezicht: onze oplossingen zijn ontworpen zodat medewerkers altijd de controle behouden en kunnen ingrijpen
- Documentatie en transparantie: we leveren de technische documentatie die nodig is voor conformiteitsbeoordelingen
- Alles onder één dak: van ontwikkeling tot beheer en ondersteuning, zonder dat je meerdere leveranciers hoeft te managen
- Geen kostbaar maatwerk, maar slimme combinatie van bewezen modules: zo blijf je flexibel en compliant zonder onnodige complexiteit
Onze Agentic AI gaat verder dan klassieke automatisering. Waar traditionele bots alleen instructies opvolgden, nemen onze zelfdenkende assistenten zelfstandig initiatief en handelen ze proactief, binnen de kaders die jij als organisatie stelt. Wij zijn ISO 27001-gecertificeerd (informatiebeveiliging), aangevuld met ISO 9001 en ISO 26000, zodat je zeker weet dat privacy en veiligheid geborgd zijn.
Wil je weten hoe jouw huidige AI-toepassingen zich verhouden tot de eisen van de EU AI Act? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Geldt de hoog-risico classificatie ook voor AI-systemen die al in gebruik zijn vóór de inwerkingtreding van de EU AI Act?
Ja, maar met een overgangsperiode. Bestaande hoog-risico AI-systemen die vóór augustus 2026 al in gebruik waren, moeten uiterlijk op 2 augustus 2027 volledig voldoen aan de vereisten van de EU AI Act. Dit geeft organisaties enige tijd om bestaande systemen te beoordelen en aan te passen, maar het is verstandig om nu al te beginnen met een inventarisatie. Wacht niet tot de deadline, want het implementeren van een volledig risicomanagementsysteem en het opstellen van technische documentatie kost meer tijd dan je denkt.
Wat moet ik doen als ik er niet zeker van ben of mijn AI-systeem hoog-risico is?
Begin met een gestructureerde risicoanalyse aan de hand van de criteria in Annex III van de EU AI Act: in welke sector wordt het systeem ingezet, welke beslissingen ondersteunt of neemt het, en wie zijn de betrokkenen? Als je na deze analyse nog twijfelt, is het raadzaam juridisch of technisch advies in te winnen bij een specialist in AI-regelgeving. De Europese Commissie heeft daarnaast een interactieve tool beschikbaar gesteld om organisaties te helpen bij de classificatie van hun systemen.
Kan een AI-systeem van risicocategorie veranderen als het op een andere manier wordt ingezet?
Absoluut, en dit is een van de meest onderschatte risico's in de praktijk. Als je een AI-systeem inzet voor een doel dat afwijkt van het oorspronkelijk beoogde gebruik — of als je het systeem substantieel wijzigt — kan dit de risicocategorie veranderen. In dat geval word je als deployer of aanpasser juridisch gezien de aanbieder van het systeem, met alle bijbehorende verplichtingen. Leg daarom altijd contractueel vast voor welk specifiek doel een systeem wordt ingezet en informeer je leverancier bij elke wijziging in het gebruik.
Hoe richt ik menselijk toezicht in de praktijk in voor een hoog-risico AI-systeem?
Menselijk toezicht betekent concreet dat er altijd een bevoegde medewerker is die de output van het systeem kan begrijpen, beoordelen en zo nodig corrigeren of overschrijven. Dit vereist drie dingen: technische maatregelen (zoals een 'human-in-the-loop' mechanisme of een stop-functie), organisatorische maatregelen (heldere procedures over wanneer en hoe een mens ingrijpt), en competentieontwikkeling (medewerkers moeten voldoende AI-geletterd zijn om de output kritisch te beoordelen). Leg deze afspraken vast in beleid en zorg dat ze aantoonbaar worden nageleefd.
Wat is het verschil tussen een aanbieder en een deployer onder de EU AI Act, en waarom maakt dat uit?
Een aanbieder is de partij die een AI-systeem ontwikkelt en op de markt brengt, terwijl een deployer het systeem van een aanbieder afneemt en in de eigen organisatie inzet. Het onderscheid is cruciaal omdat beide partijen eigen verplichtingen hebben: aanbieders zijn verantwoordelijk voor de technische conformiteit en documentatie, deployers voor het correcte gebruik, menselijk toezicht en incidentmelding. Bovendien kan een deployer onder bepaalde omstandigheden — zoals het wijzigen van het beoogde doel of het toevoegen van de eigen naam aan het systeem — de juridische status van aanbieder krijgen, met alle zwaardere verplichtingen van dien.
Welke stappen kan ik nu al zetten om mijn organisatie voor te bereiden op de verplichtingen per augustus 2026?
Start met een volledige inventarisatie van alle AI-systemen die je organisatie gebruikt of van plan is te gebruiken, en classificeer elk systeem aan de hand van de Annex III-criteria. Stel vervolgens prioriteiten: systemen die waarschijnlijk hoog-risico zijn, vragen directe actie op het gebied van documentatie, risicobeheer en leverancierscontracten. Wijs intern een verantwoordelijke aan voor AI-compliance en zorg dat contracten met leveranciers duidelijk de verantwoordelijkheidsverdeling vastleggen. Hoe eerder je begint, hoe meer ruimte je hebt om eventuele knelpunten op te lossen zonder tijdsdruk.
Gelden de verplichtingen van de EU AI Act ook voor organisaties buiten de EU die AI-systemen aan Europese gebruikers aanbieden?
Ja. De EU AI Act heeft een extraterritoriale werking, vergelijkbaar met de AVG. Als een AI-systeem wordt ingezet in de EU of de output ervan gevolgen heeft voor mensen in de EU, zijn de regels van toepassing — ongeacht waar de aanbieder of deployer gevestigd is. Organisaties buiten de EU die systemen aan Europese klanten leveren, moeten dus eveneens voldoen aan de vereisten voor hoog-risico AI. In de praktijk betekent dit dat zij een gemachtigde vertegenwoordiger in de EU moeten aanwijzen.
