Checklist AI-verordening voor bedrijven die AI gebruiken
Bijgewerkt op 9 november 2026. Vrij te kopiëren en te gebruiken. Artikelteksten uit EUR-Lex en de AI Act Service Desk.
Een bedrijf dat AI-systemen onder eigen verantwoordelijkheid gebruikt, is gebruiksverantwoordelijke in de zin van de AI-verordening (artikel 3, punt 4). Deze checklist zet op een rij wat de verordening van gebruiksverantwoordelijken vraagt, uit welk artikel elke verplichting komt en welk bewijs laat zien dat ze is nagekomen: AI-geletterdheid sinds 2 februari 2025, transparantie vanaf 2 augustus 2026 en de verplichtingen uit artikel 26 en 27 voor gebruik met een hoog risico vanaf 2 december 2027.
Download haar als Markdown-bestand of als CSV met lege kolommen voor eigenaar, status en bewijs, en loop haar door met uw juridische en securityteams.
14 oktober 2026: de eerste geharmoniseerde norm onder de AI-verordening, EN 18286 (kwaliteitsbeheer voor aanbieders van AI-systemen met een hoog risico), is bekendgemaakt in het Publicatieblad. Wat dat betekent voor gebruiksverantwoordelijken.
Checklist downloaden (.md)Spreadsheet (.csv)
De CSV opent in Excel, Google Sheets of Numbers, met kolommen voor eigenaar, status en link naar het bewijs.
De checklist
Begin met deel 1, dat voor elk bedrijf geldt. Deel 2 geldt alleen voor AI-systemen met een hoog risico volgens artikel 6 en bijlage III. Deel 3 hangt af van wat u publiceert, deel 4 van de modellen waarop u bouwt.
1. Elk bedrijf dat AI gebruikt
Geldt voor elk hulpmiddel: chatassistenten, AI-functies in andere software, codeeragents en modellen via een API.
| Nr. | Wat te doen | Artikel | Hoe u het aantoont |
|---|---|---|---|
| 1 | AI-geletterdheid. Maatregelen nemen om de AI-geletterdheid te bevorderen van het personeel en van anderen die namens u AI-systemen bedienen of gebruiken, afgestemd op hun kennis, ervaring en opleiding en de context van het gebruik. | ArtikelArt. 4 (sinds 2 feb. 2025, gewijzigd bij Vo. 2026/1744) | Hoe u het aantoontOpleidingsregistratie per rol (datum, deelnemers, inhoud), het door medewerkers bevestigde AI-beleid en richtlijnen over risico's zoals hallucinaties. Een certificaat is niet vereist. |
| 2 | Inventaris. Elk AI-systeem en elke toepassing vastleggen: doel, eigenaar, gebruikers, modellen en aanbieders en de ingevoerde gegevens. | ArtikelBasis voor art. 4, 6, 26 en 50 | Hoe u het aantoontEen AI-register met eigenaar, doel, gebruikers, modellen, aanbieders, gegevenscategorieën, of uitvoer wordt gepubliceerd en de datum van de laatste controle. Een export van de gebruikte modellen en aanbieders per toepassing of sleutel. |
| 3 | Risico-indeling. Elke toepassing toetsen aan de acht gebieden van bijlage III: biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid en personeelsbeheer, essentiële particuliere en openbare diensten (waaronder kredietwaardigheid en risico en prijzen bij levens- en ziektekostenverzekeringen), rechtshandhaving, migratie en grenstoezicht, rechtsbedeling en democratische processen. Teksten opstellen, vertalen, samenvatten en programmeerhulp zijn geen gebieden van bijlage III. Zulk gebruik krijgt een hoog risico wanneer de AI een genoemd doel dient, bijvoorbeeld het filteren van sollicitaties. | ArtikelArt. 6, lid 2 en 3, bijlage III | Hoe u het aantoontEen indelingsnotitie per toepassing met het getoetste punt van bijlage III en de redenering, een eventueel gebruikte uitzondering uit artikel 6, lid 3, akkoord van juridische zaken en een nieuwe toets bij elke wijziging van het doel. Profilering van natuurlijke personen in een gebied van bijlage III heeft altijd een hoog risico. |
| 4 | Rolcontrole. Bevestigen dat u gebruiksverantwoordelijke blijft. U krijgt de verplichtingen van een aanbieder als u uw naam of merk op een systeem met een hoog risico zet, het ingrijpend wijzigt of het doel van een AI-systeem zo wijzigt dat het een hoog risico krijgt. | ArtikelArt. 25, lid 1 | Hoe u het aantoontEen notitie per systeem in het register: eigen merk of niet, aangebrachte wijzigingen, eigen doel vergeleken met dat van de aanbieder. |
2. Alleen als u een AI-systeem met een hoog risico gebruikt
Gebruik volgens bijlage III, vanaf 2 december 2027 (artikel 113 zoals gewijzigd door de digitale omnibus over AI).
| Nr. | Wat te doen | Artikel | Hoe u het aantoont |
|---|---|---|---|
| 5 | Gebruik volgens de gebruiksaanwijzing. Technische en organisatorische maatregelen nemen om het systeem te gebruiken volgens de gebruiksaanwijzing van de aanbieder. | ArtikelArt. 26, lid 1 | Hoe u het aantoontDe gebruiksaanwijzing met versie in het archief en een interne procedure die aan elke instructie een beheersmaatregel koppelt. |
| 6 | Menselijk toezicht. Het toezicht opdragen aan personen met de nodige bekwaamheid, opleiding en bevoegdheid, en hun de nodige ondersteuning geven. | ArtikelArt. 26, lid 2 | Hoe u het aantoontAangewezen toezichthouders per systeem, hun opleidingsregistratie, hun bevoegdheid om het systeem te stoppen of te overrulen en de escalatieroute. |
| 7 | Inputdata. Voor zover u de inputdata beheert, zorgen dat die relevant en voldoende representatief zijn voor het beoogde doel. | ArtikelArt. 26, lid 4 | Hoe u het aantoontEen beschrijving van de gegevensbronnen en een gedateerde toets van relevantie en representativiteit. |
| 8 | Monitoring. De werking monitoren op basis van de gebruiksaanwijzing. Bij een mogelijk risico de aanbieder of distributeur en de markttoezichtautoriteit informeren en het gebruik opschorten. Ernstige incidenten melden. | ArtikelArt. 26, lid 5 | Hoe u het aantoontEen monitoringlog, een incidentprocedure met de contactgegevens van aanbieder en autoriteit en vastlegging van elke melding of opschorting. |
| 9 | Logs bewaren. De logs die het systeem met een hoog risico automatisch genereert, voor zover u die beheert, bewaren gedurende een periode die past bij het beoogde doel en ten minste zes maanden, tenzij Unierecht of nationaal recht, met name over gegevensbescherming, anders bepaalt. | ArtikelArt. 26, lid 6 | Hoe u het aantoontDe bewaarinstelling en opslaglocatie van de systeemlogs, het verwijderschema en een voorbeeldexport over zes maanden of langer. |
| 10 | Werknemers informeren. Voordat een systeem met een hoog risico op de werkplek in gebruik wordt genomen of wordt gebruikt, informeren werkgevers de werknemersvertegenwoordigers en de betrokken werknemers. | ArtikelArt. 26, lid 7 | Hoe u het aantoontHet gedateerde bericht aan medewerkers en het verslag of de brief aan de ondernemingsraad of andere werknemersvertegenwoordiging. |
| 11 | Betrokkenen informeren. Wanneer een systeem uit bijlage III besluiten over natuurlijke personen neemt of helpt nemen, die personen informeren dat het systeem op hen wordt toegepast. | ArtikelArt. 26, lid 11 | Hoe u het aantoontDe tekst van de mededeling en waar en wanneer die aan de betrokkenen wordt getoond. |
| 12 | Effectbeoordeling op het gebied van grondrechten, waar verplicht: publiekrechtelijke organen, particuliere entiteiten die openbare diensten verlenen en gebruiksverantwoordelijken van systemen voor kredietwaardigheid of risico en prijzen bij levens- en ziektekostenverzekeringen (bijlage III, punt 5, b en c) beoordelen de gevolgen vóór het eerste gebruik en melden de resultaten aan de markttoezichtautoriteit. Kritieke infrastructuur (bijlage III, punt 2) is uitgezonderd. | ArtikelArt. 27, art. 26, lid 9 | Hoe u het aantoontDe uitgevoerde beoordeling (processen, periode en frequentie van gebruik, betrokken groepen, risico's, toezicht, maatregelen en klachtenregeling), de verzonden melding en verwijzingen naar uw DPIA volgens artikel 35 AVG. |
3. Transparantie
Artikel 50 geldt vanaf 2 augustus 2026.
| Nr. | Wat te doen | Artikel | Hoe u het aantoont |
|---|---|---|---|
| 13 | Markering door de aanbieder. Aanbieders van AI-systemen die synthetische audio-, beeld-, video- of tekstinhoud genereren, markeren de output in een machineleesbaar formaat als kunstmatig gegenereerd of gemanipuleerd. Dat is een plicht van de aanbieder. Voor systemen die vóór 2 augustus 2026 in de handel zijn gebracht, geldt ze vanaf 2 december 2026. | ArtikelArt. 50, lid 2, art. 111, lid 4 | Hoe u het aantoontVoor elk generatief hulpmiddel in het register de verklaring of documentatie van de aanbieder over de markering, met de datum van uw controle. |
| 14 | Deepfakes en teksten van algemeen belang. Bekendmaken dat deepfake-beeld, -audio of -video kunstmatig is gegenereerd of gemanipuleerd. Bekendmaken dat tekst die is gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang door AI is gegenereerd of gemanipuleerd, tenzij die menselijk is beoordeeld of redactioneel is gecontroleerd en een persoon de redactionele verantwoordelijkheid draagt. | ArtikelArt. 50, lid 4 | Hoe u het aantoontEen labelregel in het publicatieproces, voorbeelden van gelabelde inhoud en de naam van de persoon met redactionele verantwoordelijkheid voor beoordeelde tekst. |
| 15 | Emotieherkenning en biometrische categorisering. De personen die aan zo'n systeem worden blootgesteld, informeren. | ArtikelArt. 50, lid 3 | Hoe u het aantoontDe tekst van de mededeling en waar die wordt getoond, of een notitie in het register dat zo'n systeem niet wordt gebruikt. |
4. Documenten om bij modelaanbieders op te vragen
De verplichtingen voor AI-modellen voor algemene doeleinden liggen bij de aanbieders en gelden sinds 2 augustus 2025.
| Nr. | Wat te doen | Artikel | Hoe u het aantoont |
|---|---|---|---|
| 16 | Documentatie van AI-modellen voor algemene doeleinden. Integreert u zo'n model in uw eigen AI-systeem, vraag dan de informatie en documentatie op die de aanbieder beschikbaar moet stellen aan aanbieders verderop in de keten, plus de openbare samenvatting van de trainingsinhoud en het auteursrechtbeleid. Opensourcemodellen zijn vrijgesteld van de documentatieplicht, behalve bij systeemrisico. | ArtikelArt. 53, lid 1, b, c, d, bijlage XII | Hoe u het aantoontEen map per model met de documentatie van de aanbieder, de link naar de samenvatting van de trainingsinhoud, het auteursrechtbeleid, de verwerkingsvoorwaarden en de datum van ophalen, gelinkt vanuit het register. |
Hoe een gateway helpt bij het bewijs
Meerdere regels hierboven vragen hetzelfde: een actueel overzicht van welke modellen en aanbieders elke toepassing gebruikt, en een geschiedenis van wie de regels heeft gewijzigd. Lopen alle AI-verzoeken via één gateway, dan ontstaat dat overzicht vanzelf.
Standard Compute brengt Claude, GPT, Gemini en open modellen samen in één bedrijfsaccount, met een sleutel voor elke persoon en elke toepassing. Elke wijziging door een beheerder wordt vastgelegd met de oude en de nieuwe waarde. Voor elk verzoek exporteert u een record met het model, de aanbieder die het verwerkte en de geldende regioregel, 12 maanden bewaard. Verzoekrecords bevatten alleen metadata (model, aanbieder, tokens, kosten en status), nooit uw prompts of uitvoer.
| Regel van de checklist | Wat Standard Compute vastlegt of afdwingt |
|---|---|
| 2. Inventaris | Een sleutel per persoon en per toepassing, de modellen die elke sleutel mag gebruiken, en het model en de aanbieder van elk verzoek. |
| 3 en 4. Indeling en rol | Toegestane modellen per sleutel, zodat een toepassing alleen draait op de modellen die u ervoor hebt goedgekeurd. |
| 9. Logs | Een verzoeklog met model, aanbieder en regioregel voor elke aanroep, 12 maanden bewaard en exporteerbaar. |
| 1 en 16. Beleid en keuze van aanbieders | Toegestane aanbieders voor het bedrijf, een team of een sleutel. Nieuwe aanbieders komen er nooit bij zonder goedkeuring van een beheerder, en fallbacks kunnen uw lijst nooit omzeilen. |
| Geschiedenis van het beleid | Een auditlog van beheerders met de oude en de nieuwe waarde bij elke wijziging aan personen, sleutels en regels. |
| Gegevensbescherming | Een Europa-regel: elk verzoek, ook nieuwe pogingen en fallbacks, wordt alleen bediend door goedgekeurde Europese inferentie-endpoints. Zero data retention: verzoeken gaan alleen naar endpoints die toezeggen geen kopie van uw gegevens te bewaren. |
Dit zijn gatewayrecords van het gebruik van modellen en aanbieders. De logs uit artikel 26, lid 6, zijn de logs die een systeem met een hoog risico zelf genereert. Wat de verordening van uw bedrijf vraagt, beslist uw juridische afdeling. Deze checklist is geen juridisch advies.
Vragen
- Heeft het gebruik van ChatGPT, Claude of een codeeragent voor kantoorwerk een hoog risico volgens de AI-verordening?
- Een hoog risico hebben de systemen uit artikel 6, lid 1, en de toepassingen in bijlage III, zoals werving, personeelsbeheer, kredietwaardigheid, onderwijs en toegang tot essentiële diensten. Teksten opstellen, vertalen, samenvatten en programmeerhulp staan niet op die lijst. Hetzelfde hulpmiddel krijgt een hoog risico als het voor een genoemd doel wordt gebruikt, bijvoorbeeld om sollicitaties te filteren of medewerkers te beoordelen.
- Hoe lang moet een gebruiksverantwoordelijke AI-logs bewaren?
- Voor systemen met een hoog risico vraagt artikel 26, lid 6, de automatisch gegenereerde logs, voor zover de gebruiksverantwoordelijke die beheert, te bewaren gedurende een periode die past bij het beoogde doel en ten minste zes maanden, tenzij Unierecht of nationaal recht, met name over gegevensbescherming, anders bepaalt.
- Wie moet een effectbeoordeling op het gebied van grondrechten uitvoeren?
- Volgens artikel 27 publiekrechtelijke organen, particuliere entiteiten die openbare diensten verlenen en gebruiksverantwoordelijken van systemen uit bijlage III voor kredietwaardigheid of risico en prijzen bij levens- en ziektekostenverzekeringen. De beoordeling gebeurt vóór het eerste gebruik en de resultaten gaan naar de markttoezichtautoriteit. Ze kan verwijzen naar de DPIA onder de AVG.
- Wanneer gelden de transparantieverplichtingen van artikel 50?
- Vanaf 2 augustus 2026. Gebruiksverantwoordelijken maken deepfakes en door AI gegenereerde tekst over aangelegenheden van algemeen belang bekend (artikel 50, lid 4). Aanbieders markeren synthetische output machineleesbaar (artikel 50, lid 2). Voor systemen die vóór 2 augustus 2026 in de handel zijn gebracht, geeft artikel 111, lid 4, hun tot 2 december 2026.
- Wat voegt een AI-gateway toe aan deze checklist?
- Eén overzicht van welke modellen en aanbieders elke toepassing gebruikt, en één plek om de goedgekeurde lijst af te dwingen. Standard Compute exporteert een verzoeklog met model, aanbieder en regioregel, 12 maanden bewaard, legt elke beheerderswijziging vast met oude en nieuwe waarde en dwingt toegestane modellen en aanbieders af.
Bronnen
- Verordening (EU) 2024/1689, de AI-verordening, EUR-Lex
- Verordening (EU) 2026/1744, digitale omnibus over AI, EUR-Lex
- AI Act Service Desk, geconsolideerde tekst: artikel 4, artikel 6, artikel 25, artikel 26, artikel 27, artikel 50, artikel 53, artikel 111, artikel 113, bijlage III
Gerelateerde pagina's
Laat elk AI-verzoek via één bedrijfsaccount lopen, en houd inventaris en records op één plek.