Een klantenservicechatbot is hoog-risico onder de EU AI Act wanneer hij beslissingen neemt of ondersteunt die aanzienlijke gevolgen hebben voor de rechten van mensen of hun toegang tot essentiële diensten. Dat geldt niet voor de meeste standaard FAQ-bots, maar wel voor chatbots die bijvoorbeeld kredietwaardigheid beoordelen, uitkeringen verwerken of noodoproepen afhandelen. In dit artikel beantwoorden we de meest gestelde vragen over wanneer een AI chatbot in klantenservice onder de hoog-risico categorie valt en wat dat betekent voor jouw organisatie.
Welke criteria bepalen of een AI-systeem hoog-risico is?
Een AI-systeem is hoog-risico onder de AI Act wanneer het valt onder één van de acht gebruikssituaties van Annex III, of wanneer het een veiligheidscomponent vormt van een gereguleerd product dat een conformiteitsbeoordeling door een derde partij vereist. De wet hanteert twee onafhankelijke routes naar de hoog-risico classificatie, en het is voldoende dat een systeem aan één van beide voldoet.
De acht domeinen van Annex III zijn concreet omschreven en omvatten: biometrie, kritieke infrastructuur, onderwijs en beroepsopleiding, werkgelegenheid en personeelsbeheer, toegang tot essentiële diensten (zoals kredietwaardigheid, verzekeringen en noodoproepen), rechtshandhaving, migratie en grenscontrole, en rechtsbedeling en democratische processen.
Er bestaat wel een uitzondering: een Annex III-systeem dat uitsluitend een enge procedurele of voorbereidende taak vervult en geen significant risico voor grondrechten vormt, kan buiten de hoog-risico categorie vallen. Maar de aanbieder moet dit dan onderbouwd documenteren. Bovendien geldt een harde grens: systemen die profilering van natuurlijke personen uitvoeren, zijn altijd hoog-risico, zonder uitzondering.
Concreet betekent dit dat de vraag "is dit systeem hoog-risico?" nooit puur technisch beantwoord kan worden. Het gaat om het beoogde gebruik en de potentiële impact op mensen, niet om de technologie zelf.
Valt een klantenservice chatbot onder een hoog-risico categorie van de AI Act?
De meeste klantenservicechatbots vallen niet automatisch onder een hoog-risico categorie. Een chatbot die veelgestelde vragen beantwoordt, openingstijden doorgeeft of een terugbelverzoek registreert, heeft doorgaans minimale impact op grondrechten en valt buiten de acht Annex III-domeinen. Zulke systemen worden beschouwd als minimaal-risico AI.
De classificatie verandert echter zodra een chatbot taken uitvoert die raken aan de beschermde domeinen van Annex III. Een chatbot bij een verzekeraar die meebeoordeelt of iemand in aanmerking komt voor een polis, of een bot bij een gemeente die bepaalt of een burger recht heeft op een uitkering, opereert in het domein van toegang tot essentiële diensten. Dat plaatst hem direct in de hoog-risico categorie.
Relevant is ook of de chatbot profilering uitvoert. Als het systeem op basis van gespreksdata of gebruikersgedrag een profiel opbouwt waarmee toekomstige beslissingen worden beïnvloed, dan is het systeem altijd hoog-risico, ongeacht in welke sector het wordt ingezet.
Wat maakt een chatbot in de publieke sector hoog-risico?
Een chatbot in de publieke sector is hoog-risico wanneer hij een rol speelt in beslissingen over toegang tot overheidsdiensten, uitkeringen, vergunningen of andere rechten van burgers. Overheidsinstellingen opereren in domeinen die de AI Act expliciet als hoog-risico aanmerkt, waardoor de drempel voor classificatie lager ligt dan in commerciële omgevingen.
Denk aan een chatbot bij een gemeente die vragen afhandelt over bijstandsaanvragen, of een bot bij een uitvoeringsinstantie die burgers begeleidt bij bezwaarprocedures. Zelfs als de chatbot zelf geen eindbeslissing neemt maar wel de informatie filtert of de routing bepaalt die tot een beslissing leidt, kan hij als onderdeel van een hoog-risico AI-systeem worden beschouwd.
Een bijkomend risico in de publieke sector is de combinatie van schaal en kwetsbaarheid. Overheidsdiensten bedienen grote aantallen burgers, waaronder mensen in financieel of sociaal kwetsbare situaties. De AI Act hecht juist aan die combinatie van bereik en impact extra gewicht bij de risicobeoordeling.
Hoe verschilt een hoog-risico chatbot van een minimaal-risico chatbot?
Het kernverschil tussen een hoog-risico en een minimaal-risico chatbot zit in de impact van de output op mensen. Een minimaal-risico chatbot geeft informatie, beantwoordt vragen of ondersteunt een gesprek zonder dat de uitkomst directe gevolgen heeft voor iemands rechten, kansen of toegang tot diensten. Een hoog-risico chatbot beïnvloedt of ondersteunt beslissingen die dat wel doen.
Praktisch gezien kun je het onderscheid als volgt duiden:
- Minimaal-risico: een chatbot die productinformatie geeft, een FAQ afhandelt, een afspraak inplant of een klacht registreert
- Hoog-risico: een chatbot die meebeoordeelt of iemand in aanmerking komt voor een lening, verzekering of uitkering; die noodoproepen verwerkt; of die profilering uitvoert op basis van gespreksdata
Een belangrijk nuancepunt: de classificatie is niet statisch. Een chatbot die vandaag als minimaal-risico wordt ingezet, kan hoog-risico worden zodra de functionaliteit wordt uitgebreid of het beoogde doel verandert. De AI Act bepaalt expliciet dat een deployer of derde partij zelf aanbieder wordt, met alle bijbehorende verplichtingen, wanneer hij het beoogde doel van een systeem zodanig wijzigt dat het hoog-risico wordt.
Welke verplichtingen gelden voor hoog-risico AI in klantenservice?
Voor hoog-risico AI-systemen in klantenservice gelden uitgebreide verplichtingen op het gebied van documentatie, toezicht, transparantie en risicobeheer. De meeste van deze verplichtingen voor Annex III-systemen worden actief vanaf 2 augustus 2026, maar voorbereiding is nu al noodzakelijk.
De kernverplichtingen voor aanbieders van hoog-risico AI omvatten onder andere:
- Een robuust risicobeheersysteem opzetten en onderhouden gedurende de hele levenscyclus van het systeem
- Technische documentatie opstellen die aantoont dat het systeem voldoet aan de eisen van de AI Act
- Gegevens- en databeheer waarborgen, inclusief kwaliteitscontrole van trainingsdata
- Logging en traceerbaarheid inbouwen zodat het systeem achteraf gecontroleerd kan worden
- Menselijk toezicht mogelijk maken: een mens moet het systeem altijd kunnen overrulen of stopzetten
- Nauwkeurigheid, robuustheid en cybersecurity op voldoende niveau garanderen
- Registratie in de EU-databank voor hoog-risico AI-systemen
Voor deployers (organisaties die een hoog-risico AI-systeem van een ander gebruiken) gelden aanvullende plichten: het uitvoeren van een grondrechteneffectbeoordeling vóór ingebruikname, het informeren van medewerkers over de werking van het systeem, en het monitoren van de prestaties in de praktijk.
Wanneer is een transparantieverplichting van toepassing op chatbots?
Een transparantieverplichting geldt voor vrijwel elke chatbot die contact heeft met mensen, ongeacht of het systeem hoog-risico is. De AI Act schrijft voor dat gebruikers geïnformeerd moeten worden wanneer ze met een AI-systeem in gesprek zijn, tenzij dit al duidelijk blijkt uit de context. Dit is een basisverplichting die al van kracht is en niet wacht op de hoog-risico classificatie.
Concreet betekent dit dat een chatbot die een mens imiteert, altijd moet melden dat het een AI-systeem betreft. Dit geldt ook voor spraakgestuurde systemen en voor bots die in naam van een organisatie communiceren via WhatsApp, chat of e-mail. De mededeling moet helder en begrijpelijk zijn, niet verstopt in kleine lettertjes.
Voor hoog-risico chatbots gaan de transparantieverplichtingen verder. Deployers moeten gebruikers informeren dat ze met een hoog-risico AI-systeem interacteren, en in bepaalde gevallen ook uitleggen welke logica het systeem hanteert. Wanneer een chatbot een beslissing ondersteunt die significante gevolgen heeft voor een persoon, heeft die persoon het recht op een betekenisvolle uitleg.
Een praktisch aandachtspunt: de transparantieverplichting geldt ook voor interne toepassingen. Als je medewerkers ondersteund worden door een AI-systeem dat hun prestaties beoordeelt of hun taken toewijst, dan valt dat eveneens onder de informatieplicht van de AI Act.
Hoe Pegamento helpt met AI-compliance in klantenservice
Navigeren door de AI Act is complex, zeker als je ook nog een klantenservice wilt draaien die écht werkt. Bij Pegamento begrijpen we die spanning. We helpen organisaties om slimme AI-gedreven oplossingen te implementeren die niet alleen effectief zijn, maar ook aansluiten op de vereisten van de AI Act.
Wat we voor je kunnen betekenen:
- Risicoclassificatie in kaart brengen: we analyseren samen welke AI-toepassingen in jouw klantenservice onder welke risicocategorie vallen
- Transparantie inbouwen: we zorgen ervoor dat chatbots en AI-assistenten voldoen aan de basisverplichtingen rondom transparantie en menselijk toezicht
- Documentatie en logging: we richten systemen in met de juiste traceerbaarheid en audittrails die je nodig hebt voor compliance
- Oplossingen op maat met standaard bouwblokken: geen kostbaar maatwerk, maar een slimme combinatie van bewezen modules die je snel en beheersbaar kunt inzetten
- Alles onder één dak: van advies en implementatie tot beheer en ondersteuning, één aanspreekpunt voor het totaalpakket
Onze AI-assistenten zijn gebouwd op het principe van Agentic AI: een evolutie van uitvoerende bots naar zelfdenkende assistenten die niet alleen instructies opvolgen, maar zelfstandig initiatief nemen en handelen. Dat maakt ze krachtig én vraagt om de juiste governance. Wil je weten waar jouw organisatie staat en hoe je AI verantwoord inzet in klantenservice? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Hoe weet ik of mijn bestaande chatbot opnieuw beoordeeld moet worden na een functie-uitbreiding?
Zodra je de functionaliteit van een chatbot uitbreidt — bijvoorbeeld door hem te koppelen aan een beslissingsmodule of door klantprofielen op te laten bouwen — moet je de risicoclassificatie opnieuw uitvoeren. De AI Act stelt expliciet dat een wijziging in het beoogde doel kan leiden tot een nieuwe classificatie, waarbij de deployer zelf aanbieder wordt met alle bijbehorende verplichtingen. Praktisch advies: documenteer bij elke significante update het beoogde doel en toets dit aan de Annex III-domeinen voordat je de wijziging live zet.
Wat is het verschil tussen een aanbieder en een deployer onder de AI Act, en waarom maakt dat uit voor mijn organisatie?
Een aanbieder is de partij die het AI-systeem ontwikkelt en op de markt brengt, terwijl een deployer de organisatie is die het systeem in gebruik neemt voor een specifiek doel. Dit onderscheid is cruciaal omdat deployers eigen verplichtingen hebben, zoals het uitvoeren van een grondrechteneffectbeoordeling vóór ingebruikname en het monitoren van de prestaties in de praktijk. Bovendien kan een deployer automatisch de rol van aanbieder overnemen — met alle zwaardere compliance-eisen — als hij het beoogde doel van een ingekocht systeem zodanig aanpast dat het hoog-risico wordt.
Moet ik al actie ondernemen, of kan ik wachten tot de verplichtingen voor hoog-risico AI in augustus 2026 ingaan?
Wachten tot augustus 2026 is een risico, geen strategie. De voorbereidingstijd voor hoog-risico compliance — denk aan het opzetten van een risicobeheersysteem, het inrichten van logging en het opstellen van technische documentatie — is aanzienlijk en loopt al snel op tot meerdere maanden. Bovendien geldt de transparantieverplichting voor chatbots al nu: gebruikers moeten vandaag al geïnformeerd worden dat ze met een AI-systeem communiceren. Begin dus nu met een risicoclassificatie van je huidige AI-toepassingen.
Wat houdt een grondrechteneffectbeoordeling precies in, en hoe voer ik die uit?
Een grondrechteneffectbeoordeling (Fundamental Rights Impact Assessment, FRIA) is een gestructureerde analyse waarbij je in kaart brengt welke grondrechten van mensen mogelijk geraakt worden door jouw hoog-risico AI-systeem, hoe groot die impact is en welke maatregelen je neemt om risico's te beperken. De beoordeling moet worden uitgevoerd vóórdat je een hoog-risico systeem in gebruik neemt en dient gedocumenteerd te worden. Concreet kijk je naar zaken als non-discriminatie, privacy, toegang tot rechtsmiddelen en de bescherming van kwetsbare groepen — en je legt vast hoe het systeem elk van deze aspecten beïnvloedt.
Geldt de transparantieverplichting ook als mijn chatbot duidelijk als 'virtuele assistent' is gelabeld op de website?
Een label zoals 'virtuele assistent' of 'chatbot' in de interface kan voldoende zijn als het voor een gemiddelde gebruiker onmiskenbaar duidelijk is dat hij met een AI-systeem communiceert. De AI Act stelt dat de melding niet verplicht is wanneer dit 'evident blijkt uit de context'. Toch is voorzichtigheid geboden: de beoordeling of iets 'evident' is, ligt bij de toezichthouder, niet bij jou. Een expliciete, begrijpelijke vermelding aan het begin van het gesprek — zoals 'U spreekt met een AI-assistent' — is de veiligste aanpak en voorkomt discussie.
Wat zijn de meest gemaakte fouten bij het classificeren van een klantenservice chatbot onder de AI Act?
De meest voorkomende fout is redeneren vanuit de technologie in plaats van vanuit het gebruik: organisaties concluderen dat hun chatbot 'gewoon een taalmodel' is en daarmee minimaal-risico, terwijl de daadwerkelijke toepassing wel degelijk in een Annex III-domein valt. Een tweede veelgemaakte fout is het negeren van indirecte invloed: een chatbot die niet zelf beslist, maar die de informatie filtert of de routing bepaalt die tot een beslissing leidt, kan alsnog als onderdeel van een hoog-risico systeem worden aangemerkt. Ten slotte onderschatten veel organisaties het profilerings-criterium — zodra een systeem op basis van gespreksdata een gebruikersprofiel opbouwt, is het altijd hoog-risico.
Hoe ga ik om met een chatbot die zowel minimaal-risico als hoog-risico taken uitvoert binnen één platform?
Als één chatbot zowel eenvoudige FAQ-vragen beantwoordt als taken uitvoert die raken aan Annex III-domeinen, dan geldt de strengste classificatie voor het gehele systeem. Je kunt dit oplossen door de hoog-risico functionaliteit architectureel te scheiden in een afzonderlijk systeem met eigen governance, logging en documentatie, terwijl de minimaal-risico component lichter beheerd wordt. Dit vraagt om een bewuste ontwerpkeuze en heldere functionele grenzen tussen de twee componenten — iets wat je het beste vastlegt in de technische documentatie die de AI Act toch al vereist voor hoog-risico systemen.
