EU AI-wet risiconiveaus: een handleiding voor beoefenaars

Hoe de risicopyramide in de praktijk werkt

De Wet is een risicogebaseerde wet. Zwaardere toepassingen hebben zwaardere verplichtingen; verboden praktijken hebben geen conformiteitspad. Het overzicht van de Commissie is het kortste officiële ingangspunt voordat u dieper ingaat op de artikelen (Europese Commissie — AI Act). Houd de tekst van het Publicatieblad open wanneer een leveranciersdia in conflict komt met de primaire wetgeving (Verordening (EU) 2024/1689).

Data verandert. Het Digital Omnibus-pakket heeft enkele hoge-risicotoepassingsdata verschoven na de oorspronkelijke kalender bleek onwerkbaar te zijn voor normen en richtlijnen. Behandel elke datatabel — inclusief de onze — als een momentopname en controleer een onderhouden tijdslijn voordat u budget toewijst (EU AI Act-implementatietijdlijn). "We hadden gepland voor augustus 2026" is geen verweer als de bindende datum later is — en het is ook geen reden om het werk te bevriezen.

Leverancier versus implementator in één zin

Leveranciers plaatsen het systeem op de markt of brengen het in dienst onder hun naam; implementators gebruiken het onder hun autoriteit. Veel enterprise-agentstacks combineren beide rollen. Classificeer het systeem eerst, wijs vervolgens toe wie welke verplichting heeft. Het mengen van deze twee gesprekken is hoe teams een "checklist" afmaken die niemand kan ondertekenen.

Onaanvaardbaar risico: verboden

Artikel 5 verbiedt praktijken zoals sociale scoring door overheidsinstanties, bepaalde real-time remote biometrische identificatie in openbare ruimtes (met enkele smalle uitzonderingen) en emotieherkenning op werkplekken en scholen in de contexten die het artikel definieert. Deze verboden zijn van toepassing vanaf 2 februari 2025. Er is geen conformiteitspad: als uw systeem hieronder valt, kan het niet op de EU-markt worden geplaatst.

Productteams verzinnen soms een "beperkte modus" voor een verboden praktijk. Dat creëert geen wettelijk pad. Als het beoogde doel de verboden praktijk is, stop dan. Als een functie op deze manier gebruikt kan worden als een voorzienbare misbruik, documenteer het misbruik en de technische of contractuele controles die het blokkeren — en raadpleeg een advocaat wanneer de grens vaag is.

Checklist — prohibited-use screen

- Verklaring van het beoogde doel beoordeeld tegen de categorieën van Artikel 5 - Lijst van voorzienbare misbruiken geschreven (niet alleen happy-path-demos) - Plan voor uitschakeling of uitschakeling als een functie in het verboden gebied terechtkomt - Geen verkooptaal die een "conformiteitsversie" van een verboden praktijk impliceert

Hoog risico: de documentatie- en monitoreerlast

Een systeem is hoogrisico via twee paden in Artikel 6: het is een veiligheidscomponent van een product dat valt onder de EU-harmonisatiewetgeving vermeld in Bijlage I, of de beoogde doelstelling valt onder een van de domeinen van Bijlage III — waaronder biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid, toegang tot essentiële private en openbare diensten (krediet en verzekeringen zijn frequente triggers), handhaving van de wet, migratie en bestuur van justitie. De volledige hoogrisicohoofdstukverplichtingen voor zelfstandige Bijlage III-systemen zijn nu van toepassing vanaf 2 december 2027 onder de Digital Omnibus-amendementen (de oorspronkelijke algemene datum was 2 augustus 2026). Bijlage I product-embedded hoogrisicosystemen zijn van toepassing vanaf 2 augustus 2028. Bevestig de live-tijdlijn voordat u een bordslide afdrukt.

Wanneer u hoogrisico bent, omvat de last een risicobeheersysteem (Art. 9), gegevensbeheer (Art. 10), technische documentatie (Art. 11), automatische logging (Art. 12), transparantie voor implementeerders (Art. 13), menselijke toezicht (Art. 14) en nauwkeurigheid/cyberbeveiligingsverwachtingen (Art. 15). Ons zusterartikel behandelt de documentatiegaten die teams het vaakst missen.

Artikel 6-test — hoe we het uitvoeren in een workshop

- Schrijf de beoogde doelstelling in één eenvoudig paragraph. Verbied marketingbijvoeglijke naamwoorden. - Vraag: is dit een veiligheidscomponent van een Bijlage I-product? Als dat zo is, volg dan het Bijlage I-pad en sectorale productwet-interacties. - Anders loop je de Bijlage III-domeinen een voor een door. Werkgelegenheidsscreening, werknemerbeheer, kredietwaardigheid en onderwijsbeoordeling zijn de ondernemingsagent-magneten. - Noteer de beslissing, de eigenaar en de datum. Herbezoek wanneer de doelstelling of de implementeerderklasse verandert. - Als het antwoord "misschien" is, behandel het als hoogrisico voor planningsdoeleinden totdat een advocaat anders zegt. Ambiguïteit is geen vrijbrief om niets te doen.

Tier | Typische voorbeelden | Kernplichtvorm | Kalendernotitie (verifieer live) Onaanvaardbaar | Sociale scoring door overheidsinstanties; verboden biometrisch/emotionele gebruiken in Art. 5 | Verbod — geen conformiteitspad | Vanaf 2 februari 2025 Hoog risico (Bijlage III) | Wervingsagenten, kredietbeoordelingshulpmiddelen, onderwijsbeoordelingsinstrumenten | Documenten, logging, toezicht, risicobeheer, conformiteitspad | Vanaf 2 december 2027 (Omnibus) Hoog risico (Bijlage I) | AI als veiligheidscomponent in gereglementeerde producten | Hetzelfde hoogrisicohoofdstuk + sectorale productwet | Vanaf 2 augustus 2028 (Omnibus) Beperkt risico | Veel chatbots; synthetische media met transparantieplichten | Onthul AI / label synthetische inhoud (Art. 50-familie) | Transparantie nog steeds op 2026-spoor — controleer de tijdlijn opnieuw Minimaal risico | Spamfilters; veel interne opmaakhulpmiddelen | Geen verplichte AI Act-plichten; vrijwillige codes alleen | Classificeer nog steeds — ga er niet van uit

Beperkt risico: transparantieplichten

Chatbots, deepfake-generatoren en emotieherkenning buiten hoogrisicovolle contexten belanden hier vaak. De belangrijkste plicht is transparantie: gebruikers moeten weten dat ze met AI omgaan, en synthetische inhoud moet worden gelabeld waar de wet dit vereist. Er is geen conformiteitsbeoordeling voor gewone beperkt-risicochatbots. Boetes voor bepaalde informatiefouten en transparantiefouten zitten op een lager niveau dan verboden-praktijkboetes (Artikel 99 gebruikt tiers; zie de regelgevingstekst voor de exacte plafonds).

Behandel "beperkt risico" niet als "negeer de kalender." Verschillende transparantieplichten bleven op het 2026-spoor, zelfs toen de hoogrisicodatums veranderden. Watermerken en gerelateerde technische markeringen voor systemen die al op de markt zijn, hebben hun eigen subdatums op de openbare tijdlijnen. Lees de implementatietijdlijnpagina voordat u een klant vertelt "alles is doorgeschoven naar 2027."

Controlelijst — beperkt-risicohonesty

- Gebruikergerichte onthulling dat de interlocutor AI is (waar vereist) - Synthetische medialabelplan voor gegenereerde audio/video/afbeeldingen - Geen claim van "hoogrisicogekeurd" voor een beperkt-risicochatbot - Afzonderlijke notitie als een chatbotfunctie later een Bijlage III-beslissing voedt

Minimale risico's: grotendeels niet gereglementeerd onder de Wet

Spamfilters, veel aanbevelingsmotoren en de meeste interne conceptassistenten vallen hieronder. De Wet legt geen verplichte verplichtingen op, hoewel er vrijwillige gedragscodes bestaan. De meeste ondernemingsbrede AI-agents die consequente beslissingen nemen of beïnvloeden, vallen niet in deze categorie — dat is de kloof die teams onderschatten wanneer ze naar een schrijfassistent wijzen en concluderen dat het hele bedrijf "buiten scope" valt.

Als uw agent alleen concepten maakt en een mens altijd opnieuw intypt in een ander systeem zonder AI-beïnvloede beslissing, kunt u dichter bij minimale risico's zitten. Als de score, rang of aanbeveling van de agent de feitelijke beslissing is, moet u Annex III opnieuw bekijken. Doel en gebruik zijn belangrijker dan architectuurdiagrammen.

Boetes in gewone cijfers (verifieer nog steeds in Art. 99)

Artikel 99 stelt plafonds vast op basis van ernst: verboden praktijken tot 35 miljoen euro of 7% van de wereldwijde jaaromzet (wat het hoogst is); hoge-risiconon-conformiteit tot 15 miljoen euro of 3%; bepaalde onjuiste informatie / transparantiefouten tot 7,5 miljoen euro of 1,5%. Dit zijn maxima, geen automatische facturen. Toch zijn dit de redenen waarom classificatie een onderwerp is voor het bestuur, niet een vrijdagmiddagklus.

Voor procesvocabulaire buiten de EU-wetgeving lenen teams soms de NIST AI Risk Management Framework. Dat is prima voor intern governance-taal (NIST AI RMF). Het verandert echter niets aan uw categorie onder Verordening (EU) 2024/1689. De bredere digitale beleidscontext van de EU zit ook rond de Wet; de pagina's van de Commissie over "Europa klaar voor de digitale eeuw" helpen de AI-regels naast naburige digitale dossiers te plaatsen (Europa klaar voor de digitale eeuw), maar categorisatie begint nog steeds bij de artikelen 5-6 en de bijlagen.

Gangbare classificatiefouten

- Het classificeren van het model in plaats van het gebruik. Hetzelfde basismodel kan een spamfilter en een wervingsranker aandrijven. Het gebruik bepaalt de tier. - Ervan uitgaan dat "alleen intern" minimale risico's betekent. Interne werkgelegenheidstools zijn een klassieke Annex III-trigger. - De kalender vastzetten op 2 augustus 2026 voor alle hoge-risicofuncties. De Omnibus heeft de Annex III-/Annex I-hoge-risicotoepassingsdata verplaatst; de transparantieplichten zijn niet allemaal mee verplaatst. - Het laten kiezen van de tier door de verkoopafdeling. De verkoopafdeling wil "laag risico." Engineering en juridische zaken zijn verantwoordelijk voor de kaart. - Het overslaan van een schriftelijke beslissing. Als u niet kunt aantonen waarom u geen hoog risico bent, zal een reviewer aannemen dat u nooit hebt gekeken.

Besliscriteria: wat te doen dit kwartaal

Als u in 2026 EU-georiënteerde AI bouwt of koopt:

- Inventarisatie van systemen die invloed hebben op werkgelegenheid, krediet, onderwijs of essentiële diensten - Voer de Artikel 6-test uit en bewaar het schriftelijke resultaat - Houd verboden gebruik en transparantiewerk op de nabije kalender - Gebruik de hoge-risicoperiode 2027/2028 om documentatie, logging en toezicht op te bouwen — wacht niet tot de week voor de datum - Wijs elke externe claim naar EUR-Lex of de Commissiepagina, niet naar een podcastsamenvatting

Wat dit niet is

Deze primer is geen juridisch advies, geen conformiteitsbeoordeling en geen garantie dat VendorVet (of enig checklist-instrument) een correcte classificatie garandeert of "nooit een hoog-risicogebruik mist". We verzinnen geen klantmetrieken of claimen een boete die u "zeker zult vermijden". De datums in dit artikel weerspiegelen de Digital Omnibus-shift voor hoog-risicotoepassingen zoals algemeen gerapporteerd na de adoptie van medio 2026; verifieer altijd tegen het Publicatieblad en een onderhouden implementatietijdlijn voordat u een conformiteitsprogramma bindt.

Afronding

Kaart eerst de tier. Open vervolgens de juiste checklist. Verboden praktijken stoppen; hoog-risicosystemen verzamelen bewijs; beperkt-risicosystemen vertellen de waarheid aan gebruikers; minimaal-risicosystemen hebben nog steeds een eerlijke inventaris nodig. Wanneer de documentatiebelasting begint, lees dan de technische documentatiechecklist als volgende — dat is waar de meeste teams de lacunes ontdekken die classificatie alleen niet kan verhelpen.

Referenties

- Verordening (EU) 2024/1689 (EUR-Lex) - Europese Commissie — AI Act - EU AI Act — Implementatietijdlijn - NIST AI Risk Management Framework - Europese Commissie — Europa klaar voor de digitale eeuw

Gerelateerde artikelen

- Technische documentatie onder de AI Act: waar teams meestal mee worstelen - Verken de volledige AI micro-SaaS onderwerpmatrix →