Artikel 9 van 1138%
Artikel 9: Systeem voor risicobeheer
EU Official:
⏳Van toepassing vanaf 2 aug 2026
Titel III: Hoog-risico AI-systemenInwerkingtreding: 2026-08-02
Officiële tekst
||
Bron: EUR-Lex, Verordening (EU) 2024/1689 — tekst ongewijzigd overgenomen.
📥 Download AI Act (PDF)🎯 Wat betekent dit voor u?
🏭 Aanbieder (Provider)▼
U moet een doorlopend risicomanagementsysteem opzetten dat risico's identificeert, analyseert en mitigeert gedurende de hele levenscyclus. Dit is geen eenmalig assessment maar een continu proces. Documenteer alles in uw technische documentatie (Art. 11).
🏢 Deployer (Gebruiksverantwoordelijke)▼
Zorg dat u het risicomanagementsysteem van uw aanbieder begrijpt en monitort. Bij afwijkingen van verwacht gedrag: meld dit aan de aanbieder. Houd een logboek bij van incidenten en afwijkingen.
🏪 MKB / Startup▼
Begin klein: maak een risico-inventarisatie van uw AI-gebruik. Welke data gaat erin? Welke beslissingen komen eruit? Wat kan er misgaan? Gebruik onze FRIA Generator als startpunt.
🏛️ Overheid▼
Combineer uw AI-risicomanagement met bestaande frameworks zoals de IAMA (Impact Assessment Mensenrechten en Algoritmes). De AI Act-eisen sluiten aan bij wat veel overheden al doen.
✅ Compliance Checklist
- ☐Risicomanagementsysteem opgezet en gedocumenteerd
- ☐Risico-identificatie en -analyse uitgevoerd
- ☐Risicobeperkende maatregelen geïmplementeerd
- ☐Restrisico's beoordeeld en aanvaardbaar bevonden
- ☐Testprocedures uitgevoerd vóór ingebruikname
- ☐Systeem voor continue monitoring ingericht
Wil je je voortgang opslaan? Maak een gratis account aan
📖 Relevante overwegingen
Overweging 65Primair
Het systeem voor risicobeheer moet bestaan uit een tijdens de gehele levensduur van een AI-systeem met een hoog risico doorlopend en gepland iteratief proces. Dit proces moet gericht zijn op het vasts…
Overweging 66Primair
Op AI-systemen met een hoog risico moeten eisen van toepassing zijn met betrekking tot risicobeheer, de kwaliteit en relevantie van de gebruikte datasets, technische documentatie en registratie, trans…
Overweging 67Primair
Kwalitatief hoogwaardige data en de toegang hiertoe is van wezenlijk belang voor het bieden van structuur en het waarborgen van de prestaties van veel AI-systemen, met name wanneer technieken worden g…
🛠 Relevante tools
⚖️ Gerelateerde handhaving
Nog geen handhavingsacties voor dit artikel. Volg ontwikkelingen via de Enforcement Tracker.
Kruisverwijzingen
Bijlagen
Veelgestelde vragen
Wat houdt het risicomanagementsysteem voor AI in?▼
Artikel 9 vereist een doorlopend, iteratief risicomanagementsysteem dat risico's identificeert, analyseert, evalueert en mitigeert gedurende de hele levenscyclus van het AI-systeem.
Is een risicobeoordeling eenmalig of doorlopend?▼
Het risicomanagement moet doorlopend zijn. Het is geen eenmalige check maar een continu proces dat regelmatig wordt bijgewerkt, vooral bij significante wijzigingen aan het AI-systeem.
Moet ik als MKB ook voldoen aan artikel 9 van de AI Act?▼
Artikel 9 van de AI Act maakt geen algemene uitzondering voor het MKB. Wel voorziet de AI Act in ondersteunende maatregelen en eventueel verlichte verplichtingen voor kleine en middelgrote ondernemingen, afhankelijk van hun rol in de AI-waardeketen.
Hoe verhoudt artikel 9 van de AI Act zich tot de AVG/GDPR?▼
Artikel 9 van de AI Act werkt aanvullend op de AVG. Waar de AVG persoonsgegevens beschermt, richt de AI Act zich op de veiligheid en betrouwbaarheid van AI-systemen. Organisaties moeten aan beide regelgevingen voldoen wanneer hun AI-systeem persoonsgegevens verwerkt.
Wat zijn de deadlines voor artikel 9 van de AI Act?▼
De AI Act kent een gefaseerde invoering. Verboden AI-praktijken gelden vanaf februari 2025, verplichtingen voor hoog-risico AI-systemen vanaf augustus 2026, en overige bepalingen worden geleidelijk van kracht. De specifieke deadline voor artikel 9 hangt af van de categorie van de verplichting.
Geldt artikel 9 van de AI Act ook voor AI-systemen die ik inkoop?▼
Ja, artikel 9 van de AI Act kan ook relevant zijn wanneer u AI-systemen inkoopt. Als gebruiksverantwoordelijke (deployer) heeft u eigen verplichtingen onder de AI Act, ongeacht of u het systeem zelf heeft ontwikkeld of ingekocht bij een aanbieder.
Wat is het verschil tussen provider en deployer bij artikel 9 van de AI Act?▼
Bij artikel 9 van de AI Act is de provider (aanbieder) degene die het AI-systeem ontwikkelt of op de markt brengt, terwijl de deployer (gebruiksverantwoordelijke) degene is die het systeem onder eigen verantwoordelijkheid inzet. Beide rollen hebben verschillende verplichtingen.
Welke documentatie vereist artikel 9 van de AI Act?▼
Artikel 9 van de AI Act vereist dat relevante documentatie wordt bijgehouden als onderdeel van het compliance-proces. Dit kan technische documentatie, gebruiksaanwijzingen, logs of conformiteitsverklaringen omvatten, afhankelijk van de classificatie van het AI-systeem.
Hoe vaak moet het risicomanagementsysteem worden bijgewerkt?▼
Het risicomanagementsysteem moet een continu, iteratief proces zijn gedurende de gehele levenscyclus van het AI-systeem. Het moet worden bijgewerkt wanneer er wezenlijke wijzigingen aan het systeem worden aangebracht, bij nieuwe inzichten over risico's, of wanneer post-market monitoring nieuwe informatie oplevert.
Wat is het verschil tussen een DPIA (AVG) en het risicomanagementsysteem van artikel 9?▼
Een DPIA onder de AVG richt zich op risico's voor privacy en gegevensbescherming. Het risicomanagementsysteem van artikel 9 is breder en omvat risico's voor gezondheid, veiligheid en alle grondrechten. Beide assessments zijn complementair en kunnen gedeeltelijk overlappen, maar vervangen elkaar niet.
Moet ik restrisico's expliciet documenteren?▼
Ja, artikel 9 vereist dat restrisico's die na het nemen van risicobeperkende maatregelen overblijven, expliciet worden geïdentificeerd en gedocumenteerd. Deze restrisico's moeten als aanvaardbaar worden beoordeeld en worden gecommuniceerd aan de gebruiksverantwoordelijke via de gebruiksinstructies.
Kan ik het risicomanagementsysteem van de AI Act combineren met ISO 31000 of ISO 23894?▼
Ja, bestaande risicobeheerkaders zoals ISO 31000 (risicomanagement) en ISO/IEC 23894 (AI risicomanagement) kunnen als basis dienen. U moet wel zorgen dat alle specifieke vereisten van artikel 9 worden afgedekt, waaronder de focus op grondrechten en de verplichting tot testen met representatieve data.
📬 AI Act Weekly
Ontvang elke week de belangrijkste AI Act ontwikkelingen in je inbox.
Aanmelden