Waarom de vragen binnenkomen
De EU AI Act (Verordening (EU) 2024/1689, in het Nederlands de verordening artificiële intelligentie) is in augustus 2024 in werking getreden en geldt in fasen. Eerst kwamen in februari 2025 de verboden praktijken en AI-geletterdheid. De regels voor AI-modellen voor algemene doeleinden volgden in augustus 2025, de transparantieverplichtingen in augustus 2026. AI-systemen die op dat moment al in de handel waren, hebben tot december 2026 om de inhoud die ze genereren op een machineleesbare manier te markeren.
De Digital Omnibus, de wijziging die in juli 2026 in werking is getreden, heeft drie dingen veranderd waar een leverancier naar gevraagd wordt. De verplichtingen voor AI met een hoog risico zijn verschoven naar december 2027 voor de genoemde toepassingen met een hoog risico en naar augustus 2028 voor AI die is ingebouwd in gereguleerde producten. De plicht rond AI-geletterdheid is afgezwakt: aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen die de AI-geletterdheid van hun personeel ondersteunen, in plaats van voor ieder persoon een toereikend niveau te waarborgen. En vanaf december 2026 komen er twee verboden praktijken bij: AI die zonder toestemming intieme beelden van een echt persoon genereert, en AI die materiaal van seksueel kindermisbruik genereert.
De meeste van uw klanten zijn onder de verordening gebruiksverantwoordelijke: ze gebruiken een AI-systeem in hun eigen werk en moeten er genoeg van weten om het binnen de regels te gebruiken. Hun inkoop- en beveiligingsteams hebben daarom een AI-deel aan de leveranciersvragenlijst toegevoegd, en dat bereikt elke leverancier wiens product iets opstelt, scoort, samenvat of aanbeveelt.
Wat een vragenlijst over de AI Act vraagt
De vragen verschillen per klant, maar dezelfde onderwerpen komen steeds terug:
- Welke functies AI gebruiken, wat elke functie doet, en of een klant die kan uitschakelen.
- Uw rol: of u de aanbieder van het AI-systeem bent, en op welke aanbieders van AI-modellen voor algemene doeleinden u bouwt.
- De risicoklasse: of een toepassing een verboden praktijk is of onder de lijst met hoog risico valt, en hoe u tot die conclusie bent gekomen.
- Transparantie: of gebruikers te horen krijgen dat ze met AI werken, en of gegenereerde inhoud als zodanig wordt gemarkeerd.
- Klantgegevens: of prompts, documenten of uitvoer worden gebruikt om een model te trainen, waar ze worden verwerkt en hoelang ze worden bewaard.
- Menselijk toezicht: of een mens de uitvoer controleert voordat die wordt gebruikt, en of die persoon de uitvoer kan corrigeren of terzijde kan schuiven.
- Nauwkeurigheid en testen: hoe u de uitvoer beoordeelt, hoe u met bekende foutpatronen omgaat, en wat u logt.
- Governance: wie in uw bedrijf verantwoordelijk is voor AI, of u een AI-beleid hebt of ISO 42001 volgt, en wat u doet voor de AI-geletterdheid van uw eigen medewerkers.
Antwoorden als leverancier
Begin met een inventaris, één regel per AI-functie: wat de functie doet, welk model en welke aanbieder ze aanroept, welke gegevens worden verstuurd, of er iets wordt bewaard of voor training gebruikt, wie de uitvoer controleert, en de risicoklasse met de onderbouwing in één zin. Vijf functies passen op één pagina, en elke rij in het AI-deel beantwoordt u daaruit.
Twee antwoorden vragen een besluit in plaats van een feit. Het eerste is uw rolverklaring: wat u levert, wat de klant beslist, en waar de eigen plichten van de klant als gebruiksverantwoordelijke beginnen. Het tweede is de risicoclassificatie. “Geen hoog risico” is pas een volledig antwoord als het de toepassing en de reden noemt, bijvoorbeeld “stelt antwoorden op die medewerkers van de klant controleren; geen toepassing uit bijlage III”. Stem beide af met degene die uw contracten tekent, zodat de vragenlijst en het contract hetzelfde zeggen.
Het AI-deel overlapt met twee delen die u al beantwoordt. Training op klantgegevens, verwerkingslocaties en subverwerkers zijn AVG-vragen die opnieuw worden gesteld voor de AI-aanbieders, en logging, toegang en incidentafhandeling zijn de beveiligingsantwoorden die u al hebt. Gebruik op beide plaatsen dezelfde tekst.
De antwoorden, en uw eigen AI
De antwoorden over de AI Act staan in de kennisbank zoals elk ander goedgekeurd antwoord, met de inventaris en uw AI-beleid als bewijs bijgevoegd, inclusief controledatums, en elke vragenlijst wordt daaruit opgesteld in de bewoordingen van de klant. Responsemate is zelf een AI-product, dus de eigen antwoorden zijn een praktijkvoorbeeld: elk concept toont zijn bronnen en een betrouwbaarheidsscore en wacht tot een mens het goedkeurt, de klant kiest zelf de AI-aanbieder en het model, en geen klantinhoud wordt gebruikt om een model te trainen. Het AI usage report toont welke bronnen zijn gebruikt. Hoe Responsemate zelf met AI en gegevens omgaat.
Veelgestelde vragen
Geldt de EU AI Act voor een SaaS-leverancier buiten de EU?
Ja, als het AI-systeem in de EU in de handel wordt gebracht of de uitvoer ervan in de EU wordt gebruikt. Een leverancier in de VS of het VK die aan EU-klanten verkoopt, valt eronder voor de systemen die deze klanten gebruiken.
Is ons product een AI-systeem met een hoog risico onder de AI Act?
Waarschijnlijk niet. Hoog risico is een vastgelegde lijst van toepassingen, zoals werving, kredietscores, toegang tot onderwijs of essentiële openbare diensten, en veiligheidscomponenten van gereguleerde producten. Tekst opstellen, documenten samenvatten of een kennisbank doorzoeken staat er niet op. Zeg in een of twee zinnen in welke categorie u valt en waarom.
De deadline voor hoog risico is naar 2027 verschoven. Kunnen we wachten met antwoorden?
Nee. Het uitstel geldt voor de verplichtingen voor AI met een hoog risico, en de meeste B2B-software heeft sowieso geen hoog risico. De verboden praktijken, de transparantieverplichtingen en de regels voor AI-modellen voor algemene doeleinden gelden al, en uw klanten verzamelen nu antwoorden van leveranciers, voor contracten die tot ver na 2027 lopen.
Hebben we ISO 42001 nodig om een vragenlijst over de AI Act te beantwoorden?
Nee. ISO/IEC 42001 is een vrijwillige norm voor een managementsysteem voor AI, en een certificaat is nuttig bewijs, maar de vragenlijst is ook zonder te beantwoorden. Klanten vragen ernaar zoals ze naar ISO 27001 vragen.