De AI Act classificeert AI-systemen in 4 risiconiveaus. Werving, krediet, gezondheidszorg: ontdek of uw AI-tools als hoog risico worden beschouwd.
De Europese Verordening inzake kunstmatige intelligentie (Verordening 2024/1689) berust op een fundamenteel principe: de verplichtingen zijn evenredig met het risiconiveau. Hoe meer een AI-systeem het leven, de gezondheid, de grondrechten of de veiligheid van personen kan beïnvloeden, hoe strenger de eisen.
Deze geleidelijke aanpak onderscheidt de AI Act van meer binaire regelgeving. Ze voorkomt dat innovatie bij toepassingen met een laag risico wordt afgeremd, terwijl de meest gevoelige toepassingen stevig worden ingekaderd.
Overweging 26 — Règlement (UE) 2024/1689
AI-systemen die een hoog risiconiveau vormen voor de gezondheid, de veiligheid of de grondrechten van natuurlijke personen, moeten aan strenge eisen worden onderworpen voordat zij op de markt van de Unie kunnen worden gebracht.
Bepaalde toepassingen van AI zijn simpelweg verboden (Artikel 5). Sociale scoring, subliminale manipulatie, uitbuiting van kwetsbaarheden van personen en realtime biometrische identificatie op afstand in openbare ruimten (behoudens uitzonderingen) zijn verboden sinds 1 februari 2025.
Dit is de categorie die het grootste aantal bedrijven treft. AI-systemen met een hoog risico worden gedefinieerd in de Artikelen 6 en 7 en zijn gedetailleerd opgesomd in Bijlage III van de verordening. De bijbehorende verplichtingen zijn aanzienlijk: conformiteitsbeoordeling, technische documentatie, menselijk toezicht, risicobeheer, datagovernance.
Systemen zoals chatbots, contentgeneratoren (deepfakes, teksten) of emotieherkenningssystemen die niet onder het verbod vallen, zijn onderworpen aan transparantieverplichtingen. De gebruiker moet weten dat hij met een AI communiceert of dat de content door AI is gegenereerd.
De grote meerderheid van AI-systemen: spamfilters, productaanbevelingen, spellingcontrole. De AI Act legt geen specifieke beperkingen op, hoewel de naleving van Artikel 4 inzake AI-geletterdheid wel van toepassing blijft op alle gebruiksverantwoordelijken.
Bijlage III van de verordening somt de domeinen op waarin een AI-systeem als hoog risico wordt beschouwd. Hier zijn de concrete gevallen die de meeste bedrijven treffen.
Dit is het domein dat bedrijven het meest verrast. Bijlage III, punt 4 richt zich op AI-systemen die worden gebruikt bij:
Bijlage III, punt 4 — Règlement (UE) 2024/1689
Werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid, met name voor de werving en selectie van personen, voor het nemen van beslissingen over de arbeidsvoorwaarden, bevordering en beëindiging, en voor de toewijzing van taken, monitoring of evaluatie van de prestaties en het gedrag van personen.
Concreet worden als hoog risico beschouwd:
Als uw HR-afdeling een automatisch CV-screeningtool of een wervingschatbot gebruikt, betreft het waarschijnlijk een hoog-risicosysteem in de zin van de AI Act.
📄AI voor HR: complete gids voor de transformatie van HR→Bijlage III, punt 5(b) omvat AI-systemen die worden gebruikt voor:
Elke bank of verzekeraar die een AI-model gebruikt om te beslissen over het verlenen of weigeren van een krediet, of voor het vaststellen van een verzekeringspremie, valt eronder. In Nederland moeten grote banken als ING, ABN AMRO en Rabobank hun AI-scoringmodellen toetsen aan deze classificatie. Fraudedetectie is expliciet uitgesloten van hoog risico — maar let op: scoringsystemen die verder gaan dan eenvoudige detectie kunnen er wel onder vallen.
Bijlage III, punt 1 omvat AI-systemen die medische hulpmiddelen of accessoires van medische hulpmiddelen zijn in de zin van de Europese verordeningen. Dit omvat:
Bijlage III, punt 3 richt zich op AI-systemen die worden gebruikt voor:
Bijlage III, punten 6, 7 en 8 omvatten:
Bijlage III, punt 2 omvat veiligheidscomponenten van het beheer en de exploitatie van kritieke digitale infrastructuur, wegverkeer en de voorziening van water, gas, verwarming en elektriciteit.
Bijlage III, punt 7 omvat systemen die worden gebruikt voor de beoordeling van risico’s op irreguliere migratie, de behandeling van visumaanvragen en verblijfstitels, en de identificatie van personen in het kader van migratie.
Als een of meer van uw AI-systemen als hoog risico zijn geclassificeerd, is dit wat de verordening vereist:
Vóór het op de markt brengen of het in gebruik stellen moet het systeem een conformiteitsbeoordeling ondergaan die omvat:
Bedrijven die hoog-risico AI-systemen gebruiken (gebruiksverantwoordelijken) hebben eigen verplichtingen:
De eerste stap naar compliance is precies weten welke AI-systemen u gebruikt en in welke categorie ze vallen.
Lijst alle tools op die AI integreren in uw organisatie. Vergeet niet:
Bepaal voor elke geïdentificeerde tool:
Vergelijk voor elk hoog-risicosysteem uw huidige situatie met de eisen van de Artikelen 9 tot 15 en Artikel 26. Identificeer de hiaten en prioriteer de corrigerende maatregelen.
Stel een compliance-dossier per systeem samen, met de classificatie, de technische documentatie, de uitgevoerde beoordelingen en de getroffen controlemaatregelen. Deze gestructureerde documentatie is uw referentie bij een audit.
Voor elk hoog-risicosysteem moeten de personen die belast zijn met menselijk toezicht over de nodige competenties beschikken (Artikel 14). Dit sluit aan bij de verplichting van Artikel 4 inzake AI-geletterdheid, maar met een hoger eisenniveau: deze personen moeten de specifieke capaciteiten en beperkingen begrijpen van het systeem waarop zij toezicht houden.
AI-modellen voor algemene doeleinden (zoals GPT-4, Claude, Gemini) zijn onderworpen aan specifieke bepalingen (Artikelen 51 tot 56). Wanneer een model voor algemene doeleinden wordt geïntegreerd in een als hoog risico geclassificeerd AI-systeem, gelden de hoog-risicoverplichtingen voor het systeem als geheel — zelfs als het onderliggende model op zichzelf een generalistisch hulpmiddel is.
Dit betekent dat het gebruik van ChatGPT om kandidaten te beantwoorden in een wervingsproces een “generalistisch” hulpmiddel kan omvormen tot een component van een hoog-risicosysteem.
Ce que ça implique pour vous
De classificatie van uw AI-systemen is geen theoretische oefening — het is de hoeksteen van uw AI Act-compliance. Als u AI gebruikt bij werving, prestatie-evaluatie, kredietscoring of diagnostische ondersteuning, werkt u waarschijnlijk met hoog-risicosystemen. Elk betrokken systeem vereist een conformiteitsbeoordeling, technische documentatie, effectief menselijk toezicht en opgeleide personen om dit te waarborgen. Begin met de inventaris. Vandaag.