AI-verordening: welke verplichtingen heeft een bedrijf dat LLM's gebruikt?
Laatst bijgewerkt op
Voor een bedrijf dat LLM's via een API of als assistent gebruikt, betekent de AI-verordening vooral verplichtingen als gebruiksverantwoordelijke: AI-geletterdheid van het personeel (artikel 4, sinds 2 februari 2025), transparantie bij deepfakes en bij door AI gegenereerde tekst over aangelegenheden van algemeen belang (artikel 50, vanaf 2 augustus 2026) en, alleen bij gebruik met een hoog risico uit bijlage III, de verplichtingen van artikel 26 vanaf 2 december 2027, waaronder het minstens zes maanden bewaren van automatisch gegenereerde logs.
Standard Compute regelt het praktische deel: model, serverende provider en geldende regioregel van elk verzoek, 12 maanden bewaard en exporteerbaar, plus een beheerdersauditlog, lijsten met toegestane modellen en providers en de Europa-regel.
Deze pagina vat de officiële teksten samen, met artikel en datum. Wat voor uw bedrijf geldt, beslist uw juridische afdeling.
Bedrijfsworkspace aanmakenof mail naar contact@standardcompute.com
Korte antwoorden
- Wat vraagt de AI-verordening van een bedrijf dat LLM's intern gebruikt?
- Als gebruiksverantwoordelijke neemt u maatregelen zodat het personeel dat met AI werkt over voldoende AI-geletterdheid beschikt (artikel 4, sinds 2 februari 2025). Vanaf 2 augustus 2026 maakt u bekend wanneer u deepfakes of door AI gegenereerde tekst over aangelegenheden van algemeen belang publiceert (artikel 50). Gebruikt u AI voor een doel met een hoog risico uit bijlage III, zoals werving of kredietwaardigheid, dan komen daar vanaf 2 december 2027 de verplichtingen van artikel 26 bij.
- Wie draagt de verplichtingen voor AI-modellen voor algemene doeleinden?
- De aanbieders van de modellen. Hun verplichtingen uit hoofdstuk V gelden sinds 2 augustus 2025. Een bedrijf dat GPT, Claude of Gemini via een API gebruikt, is gebruiksverantwoordelijke van het AI-systeem dat het daarmee inzet.
- Moeten we het gebruik van LLM's loggen?
- De verordening stelt een logplicht voor gebruik met een hoog risico: volgens artikel 26, lid 6, bewaren gebruiksverantwoordelijken de automatisch gegenereerde logs van een AI-systeem met een hoog risico, voor zover die onder hun controle staan, minstens zes maanden, tenzij het Unie- of nationale recht, met name over gegevensbescherming, anders bepaalt. Daarnaast is een overzicht van welke modellen en providers elke applicatie gebruikt het startpunt van een AI-inventaris, en dat overzicht houdt een gateway bij.
Welke data uit de AI-verordening gelden voor bedrijven?
De data komen uit artikel 113 en artikel 111 van Verordening (EU) 2024/1689, zoals gewijzigd door de digitale omnibus over AI.
| Datum | Wat geldt | Officiële bron |
|---|---|---|
| 1 augustus 2024 | Wat geldt: De AI-verordening, Verordening (EU) 2024/1689, treedt in werking. | Officiële bron: EUR-Lex |
| 2 februari 2025 | Wat geldt: Hoofdstuk I is van toepassing, met de plicht tot AI-geletterdheid in artikel 4. | Officiële bron: Artikel 113, artikel 4 |
| 2 augustus 2025 | Wat geldt: De verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden (hoofdstuk V) gelden. | Officiële bron: Artikel 113 |
| 2 augustus 2026 | Wat geldt: De verordening is algemeen van toepassing, inclusief de transparantieverplichtingen van artikel 50. | Officiële bron: Artikel 113, artikel 50 |
| 2 december 2026 | Wat geldt: Einde van de overgangstermijn van artikel 111, lid 4: aanbieders van systemen die vóór 2 augustus 2026 in de handel zijn gebracht, moeten synthetische output machineleesbaar markeren (artikel 50, lid 2). | Officiële bron: Artikel 111 |
| 2 december 2027 | Wat geldt: Verplichtingen voor AI-systemen met een hoog risico uit bijlage III, zoals werving, werkgelegenheid, kredietwaardigheid en onderwijs, inclusief die van de gebruiksverantwoordelijke in artikel 26. | Officiële bron: Artikel 113, artikel 26 |
| 2 augustus 2028 | Wat geldt: Verplichtingen voor AI in producten onder de harmonisatiewetgeving van bijlage I. | Officiële bron: Artikel 113 |
Samenvatting van de officiële teksten, gecontroleerd op 9 november 2026. Geen juridisch advies.
Zijn we aanbieder of gebruiksverantwoordelijke als we een LLM via een API gebruiken?
De verordening noemt elke persoon of organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt een gebruiksverantwoordelijke (artikel 3, punt 4), behalve bij persoonlijk, niet-beroepsmatig gebruik. Een bedrijf dat GPT, Claude of Gemini via een API aanroept, of zijn medewerkers een AI-assistent geeft, is gebruiksverantwoordelijke van dat systeem.
De verplichtingen voor AI-modellen voor algemene doeleinden in hoofdstuk V, zoals technische documentatie en informatie voor aanbieders verderop in de keten, liggen bij de bedrijven die de modellen ontwikkelen en in de handel brengen.
Wat vraagt artikel 50 vanaf 2 augustus 2026?
Aanbieders van AI-systemen die synthetische audio-, beeld-, video- of tekstinhoud genereren, markeren de output in een machineleesbaar formaat als kunstmatig gegenereerd of gemanipuleerd (artikel 50, lid 2). Voor systemen die vóór 2 augustus 2026 in de handel zijn gebracht, geldt dat volgens artikel 111, lid 4, vanaf 2 december 2026.
Gebruiksverantwoordelijken maken bekend dat beeld-, audio- of video-inhoud die een deepfake is, kunstmatig is gegenereerd of gemanipuleerd (artikel 50, lid 4). Hetzelfde geldt voor door AI gegenereerde of gemanipuleerde tekst die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, tenzij de tekst menselijk is beoordeeld of redactioneel is gecontroleerd en iemand de redactionele verantwoordelijkheid draagt. Gebruiksverantwoordelijken van systemen voor emotieherkenning of biometrische categorisering informeren de betrokken personen (artikel 50, lid 3).
Hoe lang bewaart een gebruiksverantwoordelijke de logs?
Alleen bij gebruik met een hoog risico. Wie AI inzet voor een doel uit bijlage III, zoals het selecteren van sollicitanten, het aansturen van werknemers, het beoordelen van kredietwaardigheid of onderwijs, gebruikt een AI-systeem met een hoog risico. Artikel 26 vraagt dan vanaf 2 december 2027 onder meer om het systeem te gebruiken volgens de gebruiksaanwijzing van de aanbieder, het menselijk toezicht toe te wijzen aan bekwame personen en de werking te monitoren.
Artikel 26, lid 6: gebruiksverantwoordelijken bewaren de logs die automatisch worden gegenereerd door het AI-systeem met een hoog risico, voor zover die onder hun controle staan, gedurende een periode die past bij het beoogde doel en van ten minste zes maanden, tenzij het toepasselijke Unie- of nationale recht, met name over de bescherming van persoonsgegevens, anders bepaalt.
Welk bewijs levert een AI-gateway?
Standard Compute zet Claude, GPT, Gemini en open modellen onder één bedrijfsaccount, met een sleutel voor elke persoon en elke applicatie. AI-inventaris, gebruiksbeleid en bewijs staan dan op één plek.
Elke wijziging door een beheerder wordt vastgelegd met de waarden ervoor en erna, en u exporteert een overzicht van elk verzoek met het model, de provider die het bediende en de geldende regioregel, 12 maanden bewaard. Verzoeklogs bevatten alleen metadata (model, provider, tokens, kosten, status), nooit uw prompts of output.
Bepaal welke modellen elke sleutel mag gebruiken en welke inference-providers uw data mogen verwerken, voor het hele bedrijf, een team of één sleutel. Lagere niveaus kunnen de regels alleen aanscherpen, en fallbacks kunnen uw lijst nooit omzeilen. Met een Europa-regel wordt elk verzoek, inclusief nieuwe pogingen en fallbacks, alleen bediend door goedgekeurde Europese inference-endpoints.
| Functie | Wat het doet | Ondersteunt |
|---|---|---|
| Export van het verzoeklog | Wat het doet: Model, serverende provider en regioregel van elk verzoek, 12 maanden bewaard en exporteerbaar | Ondersteunt: Bewijs van gebruik, AI-inventaris |
| Beheerdersauditlog | Wat het doet: Elke wijziging door een beheerder met de waarden ervoor en erna | Ondersteunt: Geschiedenis van het gebruiksbeleid |
| Toegestane modellen | Wat het doet: Alleen de modellen die u per applicatie of persoon goedkeurt | Ondersteunt: Gebruiksbeleid |
| Toegestane providers | Wat het doet: Alleen goedgekeurde inference-providers; een nieuwe vraagt een beheerder | Ondersteunt: Keuze van providers |
| Een sleutel per persoon en applicatie | Wat het doet: Gebruik vanaf het eerste verzoek gekoppeld aan een persoon of applicatie | Ondersteunt: AI-inventaris |
| Europa-regel | Wat het doet: Verzoeken, nieuwe pogingen en fallbacks alleen via goedgekeurde Europese inference-endpoints | Ondersteunt: AVG-werk |
| Single sign-on | Wat het doet: Microsoft Entra ID of elke SAML-identiteitsprovider | Ondersteunt: Bewijs van toegang |
Deze registraties zijn gatewaybewijs van het gebruik van modellen en providers. De logs in artikel 26, lid 6, zijn de logs die een AI-systeem met een hoog risico zelf genereert. Wat de verordening van uw bedrijf vraagt, beslist uw juridische afdeling, en het bewijs daarvoor staat bij Standard Compute op één plek.
Vragen van IT, security en inkoop
- We gebruiken LLM-API's intern. Wat is er in augustus 2026 veranderd?
- Sinds 2 augustus 2026 gelden de transparantieverplichtingen van artikel 50. De plicht tot AI-geletterdheid geldt sinds 2 februari 2025, en de verplichtingen voor gebruik met een hoog risico uit bijlage III beginnen op 2 december 2027.
- Neemt Standard Compute onze verplichtingen onder de AI-verordening over?
- De verplichtingen liggen bij uw bedrijf als gebruiksverantwoordelijke. Standard Compute levert het bewijs en de regels waarop dat werk steunt: een verzoeklog met model, provider en regioregel over 12 maanden, een beheerdersauditlog, lijsten met toegestane modellen en providers en de Europa-regel.
- Bewaart het verzoeklog onze prompts?
- Nee. Verzoeklogs bevatten alleen metadata (model, provider, tokens, kosten, status), nooit uw prompts of output. We verwerken uw prompts in het geheugen om elk verzoek te bedienen en schrijven ze nooit naar opslag of logs.
- Wat vraagt inkoop een LLM-leverancier over de AI-verordening en de AVG?
- Waar prompts worden verwerkt, of inhoud wordt bewaard of gebruikt voor training, wie de subverwerkers zijn en welk bewijs u krijgt. Standard Compute antwoordt met de Europa-regel, zero data retention, een verwerkersovereenkomst die u in het dashboard ondertekent, een openbare lijst van subverwerkers met 14 dagen vooraankondiging en een verzoeklog over 12 maanden.
- Maakt het aanroepen van Claude, GPT of Gemini via een API ons tot modelaanbieder?
- Nee. De verordening noemt een bedrijf dat een AI-systeem onder eigen verantwoordelijkheid gebruikt een gebruiksverantwoordelijke. Aanbieder van een model is het bedrijf dat het ontwikkelt en in de handel brengt.
Gerelateerde pagina's
- Soevereine AI voor bedrijven
- Standard Compute voor bedrijven
- LLM-API en de AVG
- European AI gateway (Engels)
- Subverwerkers
- Verwerkersovereenkomst
Bronnen
- Verordening (EU) 2024/1689 (AI-verordening), EUR-Lex, Nederlandse versie, gecontroleerd op 9 november 2026
- Verordening (EU) 2026/1744 (digitale omnibus over AI), EUR-Lex, gecontroleerd op 9 november 2026
- Artikel 4, AI Act Service Desk van de Europese Commissie, gecontroleerd op 9 november 2026
- Artikel 26, AI Act Service Desk, gecontroleerd op 9 november 2026
- Artikel 50, AI Act Service Desk, gecontroleerd op 9 november 2026
- Artikel 111, AI Act Service Desk, gecontroleerd op 9 november 2026
- Artikel 113, AI Act Service Desk, gecontroleerd op 9 november 2026
Maak uw bedrijf aan, stel uw regels voor modellen en providers in en start het verzoeklog waarop uw werk voor de AI-verordening steunt.