De EU AI Act is op 1 augustus 2024 in werking getreden, met een gefaseerde inwerkingtreding tot augustus 2027. Voor de meeste enterprise-klanten zijn drie deadlines kritiek: februari 2025 (verboden praktijken), augustus 2025 (general-purpose AI-verplichtingen) en augustus 2026 (hoog-risico systemen onder Annex III). Wij structureren onze aanpak rond die deadlines en niet rond willekeurige interne mijlpalen.
Risicoclassificatie als eerste stap
Iedere AI-systeem in uw portefeuille wordt geclassificeerd onder Art. 5 (verboden praktijken), Art. 6 jo. Annex III (hoog risico), of buiten beide categorieën. Voor systemen die scope-relevante taken uitvoeren — kredietbeoordeling, werving, onderwijs, kritieke infrastructuur, rechtshandhaving, biometrie — geldt vaak de hoog-risicoclassificatie. Artificial Intelligence Consultant levert per systeem een classificatie-memo van vier tot acht pagina's, getoetst tegen de meest recente richtsnoeren van de Europese Commissie en de AI Office.
Het technisch dossier conform Annex IV
Voor ieder hoog-risico systeem wordt een technisch dossier opgesteld volgens Annex IV. Dat dossier omvat onder meer: een algemene beschrijving, een ontwerpdocumentatie, een gedetailleerd risicomanagement-rapport conform Art. 9, datasheets met datakwaliteitsspecificaties (Art. 10), logging-strategie (Art. 12), menselijk-toezicht-mechanismen (Art. 14) en een nauwkeurigheids- en robuustheidsanalyse (Art. 15). Wij bouwen het dossier mee op tijdens de ontwikkeling, niet erna. Voor systemen die op GPT-4o of Claude 3.5 leunen, integreren wij ook de provider-documentatie zodat de keten van verantwoordelijkheid traceerbaar blijft.
Conformiteitsbeoordeling en aangemelde instantie
Voor de meeste hoog-risico systemen is een interne conformiteitsbeoordeling voldoende; voor biometrie en enkele andere categorieën is een aangemelde instantie verplicht. Wij begeleiden beide trajecten. Bij interne beoordeling structureren wij het dossier zodanig dat directie, juridisch en interne audit het binnen twee weken kunnen valideren. Bij externe beoordeling werken wij met aangemelde instanties die actief zijn in Nederland, Duitsland en België, en zorgen wij voor een dossier dat in eerste indiening wordt geaccepteerd.
Doorlopende monitoring
Compliance is geen eenmalig dossier. Art. 17 vereist een kwaliteitsmanagement-systeem, Art. 19 een logregistratie-regime van minimaal zes maanden (in praktijk doorgaans langer), en Art. 72 een post-market monitoring plan. Wij implementeren die monitoring als onderdeel van uw bestaande MLOps-stack — meestal op Azure OpenAI of AWS Bedrock — zodat het dossier zichzelf bijwerkt naarmate het systeem evolueert.
