Onderwerp

Hoog-risico AI

De zwaarste plichten van de AI Act gelden voor hoog-risico systemen. De eerste vraag is niet wat u moet doen, maar of u er überhaupt onder valt: een systeem kan in een Bijlage III-domein zitten en toch buiten de hoog-risico categorie vallen. Hieronder staat wat daarover officieel is vastgelegd, plus de route naar de classificatie zelf.

Officiële uitleg over dit onderwerp

Samenloop tussen de verordeningen medische hulpmiddelen en de AI-verordeningVraag-en-antwoorddocument met 36 vragen over de gezamenlijke toepassing van de AI-verordening en de verordeningen voor medische hulpmiddelen en in-vitrodiagnostiek. Het document introduceert de term Medical Device Artificial Intelligence en legt uit dat fabrikanten hun AI-testen, documentatie en meldprocessen mogen integreren in de bestaande MDR- en IVDR-procedures. Het is niet formeel een Commissiedocument en niet juridisch bindend, maar is bekrachtigd door de AI Board en de MDCG. Op het document staat juni 2025 vermeld, zonder exacte dag.GepubliceerdRichtsnoerenAI Board (AIB) en Medical Device Coordination Group (MDCG), Europese Commissie
NEN webinarpresentatie: Europese AI-normen, werkprogramma en tijdlijnen JTC 21Officiele NEN-presentatie met het complete werkprogramma van CEN-CENELEC JTC 21 en de tijdlijn per norm. De sheets koppelen de gevraagde normen expliciet aan artikelen: risicobeheer bij artikel 9, data en datagovernance bij artikel 10, registratie bij artikel 12, transparantie bij artikel 13, menselijk toezicht bij artikel 14, nauwkeurigheid, robuustheid en cyberbeveiliging bij artikel 15, kwaliteitsbeheer bij artikel 17 en conformiteitsbeoordeling bij artikel 43. De deck benoemt de werkitems prEN 18228 risicomanagement, prEN 18229-1 en 18229-2 AI-betrouwbaarheidsraamwerk, prEN 18282 cyberbeveiliging, prEN 18283 bias, prEN 18284 datasets, prEN 18285 conformiteitsbeoordeling, prEN 18286 kwaliteitsmanagement en prEN 18281 computer vision, en waarschuwt uitdrukkelijk dat publicatie door CEN-CENELEC iets anders is dan citatie in het Publicatieblad, wat weken tot maanden extra kan duren. De exacte datum van deze presentatie is op de bron niet eenduidig vast te stellen en is daarom leeg gelaten.GepubliceerdRichtsnoerenNEN, normcommissie Artificial Intelligence en Big Data
AI PactVrijwillig initiatief van het AI Office dat organisaties helpt om vooruit te lopen op de toepassing van de AI-verordening. Het bestaat uit twee pijlers: een kennisnetwerk met webinars en uitwisseling van praktijkervaring, en een set vrijwillige toezeggingen waarin bedrijven zich committeren aan concrete stappen zoals het opzetten van een AI-governancestrategie, het in kaart brengen van mogelijk hoog-risico systemen en het bevorderen van AI-geletterdheid onder personeel. Ruim 230 organisaties hebben de niet-bindende toezeggingen ondertekend. Het initiatief startte in september 2024. De datum 7 augustus 2026 is de laatst-bijgewerkt-datum op de pagina.GepubliceerdPraktijkcodeEuropese Commissie / AI Office7 aug 2026
Uitvoeringsbesluit met het normalisatieverzoek aan CEN en CENELEC voor hoog-risico AI-systemenHet geactualiseerde normalisatieverzoek (M/613, opvolger van M/593 uit besluit C(2023) 3215). Het dekt tien gebieden: risicobeheer, datagovernance, registratie, transparantie, menselijk toezicht, nauwkeurigheid, robuustheid, cyberbeveiliging, kwaliteitsbeheer en conformiteitsbeoordeling. CEN en CENELEC moesten de gevraagde normen uiterlijk 31 augustus 2025 opleveren, het eindrapport uiterlijk 31 augustus 2026, en het besluit vervalt op 28 februari 2027. De opleverdeadline is niet gehaald, wat verklaart waarom de normen pas in 2026 en 2027 beschikbaar komen.GepubliceerdUitvoeringshandelingEuropese Commissie23 jun 2025
Wegwijs in de AI-verordening (vragen en antwoorden)De brede officiele Q&A over de AI-verordening als geheel, opgebouwd rond reikwijdte en doelstellingen, hoog-risico AI, AI-modellen voor algemene doeleinden, governance en handhaving, en innovatie en duurzaamheid. De pagina behandelt onder meer op wie de verordening van toepassing is, hoe hoog-risico systemen worden geidentificeerd, welke verplichtingen aanbieders en gebruiksverantwoordelijken hebben, hoe het toezicht en de boetestructuur werken, en welke rol het AI Pact en de Service Desk spelen. De datum 7 augustus 2026 is de laatst-bijgewerkt-datum op de pagina zelf.GepubliceerdVraag en antwoordEuropese Commissie, DG CNECT7 aug 2026
Vragen en antwoorden over AI-geletterdheidOfficiele Q&A met ongeveer veertig vragen over artikel 4, oorspronkelijk gepubliceerd in mei 2025 en laatst bijgewerkt op 27 juli 2026, de dag waarop de Digital Omnibus op AI in werking trad. De Commissie bevestigt dat aanbieders en gebruiksverantwoordelijken maatregelen moeten nemen om de AI-geletterdheid van hun personeel en van anderen die namens hen met AI werken te bevorderen, afgestemd op kennis, ervaring, opleiding en gebruikscontext. De eis van een 'voldoende' niveau is geschrapt: het is een maatregelenplicht geworden, zonder verplichting kennisniveaus te meten of te garanderen, en de bepaling is niet vervallen. Enkel verwijzen naar de gebruiksaanwijzing volstaat in de regel niet. Voor gebruiksverantwoordelijken van hoog-risico AI blijft de eis van training in menselijk toezicht staan. De pagina beschrijft ook de sterkere rol van Commissie en lidstaten en noemt toezicht en handhaving vanaf 3 augustus 2026.GepubliceerdVraag en antwoordEuropese Commissie, DG CNECT27 jul 2026
Ontwerprichtsnoeren van de Commissie over de classificatie van hoog-risico AI-systemenDrie samenhangende conceptdocumenten: algemene beginselen, de route via bijlage I en de route via bijlage III. De bijlage I-route ziet op AI die een veiligheidscomponent is van of zelf een product is onder EU-harmonisatiewetgeving met conformiteitsbeoordeling door een derde. De bijlage III-route loopt de acht gebruiksgebieden langs met niet-uitputtende voorbeelden van systemen die wel en niet hoog-risico zijn, plus de uitzonderingen van artikel 6, lid 3. Nog niet vastgesteld; de gerichte consultatie is gesloten en de finale versie volgt later. Elke tijdlijn in het concept moet tegen de Digital Omnibus worden gelegd: bijlage III standalone geldt per 2 december 2027, bijlage I ingebed per 2 augustus 2028.ConsultatieRichtsnoerenEuropese Commissie (AI Office)19 mei 2026
Compliance Checker bij de AI-verordeningInteractieve vragenlijst die helpt bepalen welke regels van Verordening (EU) 2024/1689 op een AI-systeem van toepassing kunnen zijn, en welke verplichtingen daarbij horen voor aanbieders, gebruiksverantwoordelijken en andere operatoren. De tool staat expliciet als betaversie op de site en wordt gepresenteerd als doorlopend project, met een oproep om feedback te sturen naar CNECT-AIOFFICE@ec.europa.eu. De uitkomst is dus richtinggevend en geen formeel oordeel over de status van een systeem.ConceptVraag en antwoordEuropese Commissie (AI Act Service Desk)
EDPS-orientaties over generatieve AI en gegevensbescherming (versie 2)Herziene versie van de EDPS-orientaties over generatieve AI en persoonsgegevens, primair gericht op EU-instellingen onder Verordening (EU) 2018/1725 maar praktisch bruikbaar voor iedere organisatie. Behandeld worden onder meer het bepalen van rollen en verantwoordelijkheden in de keten, wanneer het gebruik van een generatief systeem persoonsgegevens verwerkt, de rol van de functionaris gegevensbescherming, wanneer een DPIA nodig is, doelbinding, dataminimalisatie, juistheid, bias en geautomatiseerde besluitvorming. De EDPS geeft deze orientaties uitdrukkelijk in zijn rol als gegevensbeschermingstoezichthouder en niet als markttoezichthouder onder de AI Act, en zegt dat ze de AI Act onverlet laten.GepubliceerdRichtsnoerenEDPS (Europese Toezichthouder voor gegevensbescherming)28 okt 2025
Gezamenlijk advies 1/2026 van EDPB en EDPS over de Digital Omnibus op AIGezamenlijk advies (vastgesteld 20 januari 2026, gepubliceerd 21 januari 2026) op het Commissievoorstel dat later Verordening (EU) 2026/1744 werd. De toezichthouders onderschrijven vereenvoudiging maar stellen dat dit niet ten koste mag gaan van grondrechten en effectief toezicht. Zij gaan onder meer in op het uitstel van de hoog-risicoregels, dat voortkomt uit het ontbreken van geharmoniseerde normen en vertraging bij het aanwijzen van nationale bevoegde autoriteiten en conformiteitsbeoordelingsinstanties, en waarschuwen voor een beschermingsgat. Het is een advies bij het wetgevingsproces, geen uitleg van geldend recht.GepubliceerdAdviesEDPB en EDPS gezamenlijk21 jan 2026
EDPB-verklaring 3/2024 over de rol van privacytoezichthouders onder de AI-verordeningHet EDPB stelt dat de AI Act en het EU-gegevensbeschermingsrecht elkaar aanvullen en samenhangend moeten worden uitgelegd, en verwijst daarbij expliciet naar artikel 2(7) en de overwegingen 9 en 10. Het adviseert lidstaten om nationale privacytoezichthouders aan te wijzen als markttoezichthouder, verplicht voor de hoog-risicosystemen uit Annex III punten 1, 6, 7 en 8 en bij voorkeur ook breder. Ook wijst het EDPB op de nauwe band tussen de gegevensbeschermingseffectbeoordeling (DPIA) en de grondrechteneffectbeoordeling (FRIA), en op het ontbreken van geregelde coördinatie tussen het AI Office en de privacytoezichthouders bij GPAI-modellen.GepubliceerdAdviesEDPB (Europees Comité voor gegevensbescherming)16 jul 2024
EDPB-werkprogramma 2026-2027 met aangekondigde gezamenlijke richtsnoeren AI-verordening en AVGHet EDPB-werkprogramma 2026-2027, vastgesteld op 11 februari 2026, kondigt gezamenlijke richtsnoeren aan over de samenhang tussen de AI Act en de AVG. Deze richtsnoeren bestaan nog niet; de Commissie bevestigt in haar artikel 50-richtsnoeren van 20 juli 2026 dat ze samen met het EDPB in voorbereiding zijn. Verwacht wordt dat ze ingaan op transparantie, risicobeoordelingen, biasdetectie en verantwoordingsplicht, met concrete voorbeelden.AangekondigdRichtsnoerenEDPB (Europees Comité voor gegevensbescherming)11 feb 2026
NEN-EN-ISO/IEC 42001:2026 Artificiele intelligentie - ManagementsysteemDe internationale norm voor een AI-managementsysteem is inmiddels ook als Europese norm overgenomen: NEN-EN-ISO/IEC 42001:2026 is definitief en heeft publicatiedatum 1 maart 2026, en vervangt NEN-ISO/IEC 42001:2025. De norm stelt eisen aan het opzetten, invoeren, onderhouden en verbeteren van een AI-managementsysteem en is certificeerbaar. Belangrijk onderscheid: deze norm is niet ontwikkeld onder het normalisatieverzoek M/593 of M/613 en is dus geen geharmoniseerde norm onder de AI-verordening. Hij geeft daarmee geen vermoeden van conformiteit; die rol is voor EN 18286 zodra die in het Publicatieblad wordt geciteerd.GepubliceerdNormISO/IEC JTC 1/SC 42, Europese overname via CEN-CENELEC, Nederlandse overname door NEN1 mrt 2026
NEN-EN 18286:2026 Kwaliteitsmanagementsysteem voor regelgevende doeleinden onder de AI-verordeningDit is de eerste Europese norm die specifiek is geschreven voor regelgevende doeleinden onder de AI-verordening. De norm beschrijft eisen en richtlijnen voor het inrichten, invoeren en onderhouden van een kwaliteitsmanagementsysteem bij organisaties die AI-systemen leveren, met name aanbieders die hoog-risico AI-systemen op de markt brengen of in gebruik nemen. CEN-CENELEC kondigde de publicatie aan op 31 juli 2026; NEN publiceerde de Nederlandse overname NEN-EN 18286:2026 (51 paginas) met publicatiedatum 1 juli 2026. Let op: gepubliceerd door CEN-CENELEC is niet hetzelfde als geciteerd in het Publicatieblad van de EU, en op de geraadpleegde officiele bronnen is die citatie nog niet terug te vinden.GepubliceerdNormCEN-CENELEC (JTC 21), Nederlandse overname door NEN31 jul 2026
NEN-ISO/IEC 42005:2025 Impactbeoordeling van AI-systemenRichtlijnnorm (39 paginas) voor het uitvoeren van impactbeoordelingen van AI-systemen op individuen en de samenleving: wanneer en in welke levenscyclusfase, hoe documenteren, en hoe koppelen aan AI-risicomanagement en het AI-managementsysteem. Directe ISO-overname door NEN, geen Europese norm en geen invulling van de grondrechtenbeoordeling van artikel 27; die verplichting volgt pas per 2 december 2027 en heeft een eigen juridische reikwijdte. Hooguit een hulpmiddel, geen conformiteitsroute.GepubliceerdNormISO/IEC JTC 1/SC 42, Nederlandse overname door NEN1 jun 2025
NEN-EN-ISO/IEC 23894:2024 Artificiele intelligentie - Richtlijn voor risicomanagementRichtlijnnorm voor risicomanagement rond AI, gebaseerd op de systematiek van ISO 31000. De norm helpt organisaties die AI ontwikkelen, produceren, leveren of gebruiken om AI-specifieke risicobronnen te identificeren en risicomanagement in te bedden in hun bestaande processen. De Europese overname NEN-EN-ISO/IEC 23894:2024 heeft publicatiedatum 1 februari 2024 en verving NEN-ISO/IEC 23894:2023. Het is een richtlijn, geen eisennorm, en het is geen geharmoniseerde norm onder de AI-verordening; die rol is voorzien voor prEN 18228.GepubliceerdNormISO/IEC JTC 1/SC 42, Europese overname via CEN-CENELEC, Nederlandse overname door NEN1 feb 2024
Tijdlijn AI-verordening (Algoritmekader)Nederlandse tijdlijn van BZK waarin per ingangsdatum staat welke vereisten gelden, gekoppeld aan genummerde vereisten in het Algoritmekader. Levende pagina, laatst bijgewerkt 3 augustus 2026, met verwerking van het uitstel: nieuwe standalone hoog-risico systemen per 2 december 2027, hoog-risico in producten per 2 augustus 2028, met een uitzondering tot 2030 voor systemen die op 2 december 2027 al bij overheidsorganisaties in gebruik zijn. Waarschuwing: de tijdlijn is incompleet, want 2 augustus 2026 ontbreekt als mijlpaal voor de transparantieplichten van artikel 50. Niet gebruiken als volledige timeline-bron.GepubliceerdNationale uitlegMinisterie van Binnenlandse Zaken en Koninkrijksrelaties (Algoritmekader)17 jul 2025
Over het AlgoritmeregisterToelichting op het Nederlandse Algoritmeregister, waarin overheidsorganisaties informatie over hun algoritmes publiceren. Publicatie is op dit moment nog niet wettelijk verplicht, maar die verplichting is aangekondigd. Het register hangt samen met het Algoritmekader van BZK en met de coordinerende toezichtrol van de AP. Het Algoritmekader stelt daarnaast als vereiste bzk-01 dat bestuursorganen impactvolle algoritmes en hoog-risico-AI-systemen in dit register publiceren, tenzij er uitsluitingsgronden zijn.GepubliceerdNationale uitlegMinisterie van Binnenlandse Zaken en Koninkrijksrelaties (Algoritmeregister, Overheid.nl)
prEN 18281 Europese ontwerpnorm voor evaluatie van computer visionOntwerpnorm met methoden en meetcriteria voor het evalueren van computer vision-systemen: kiezen, toepassen en interpreteren van evaluatiemethoden voor AI die visuele data analyseert. NEN opende de Nederlandse commentaarronde op 7 april 2026; die sloot op 11 mei 2026. In het JTC 21-werkprogramma heet het werkitem 'Evaluation methods for accurate computer vision systems'. Domeinspecifieke aanvulling, nog geen vastgestelde norm.ConceptNormCEN-CENELEC JTC 21, nationale consultatie via NEN7 apr 2026
prEN 18283 Europese ontwerpnorm voor het beheersen van bias in AI-systemenOntwerpnorm die begrippen, maatregelen en eisen vastlegt voor het beoordelen en beperken van bias in AI-systemen, formeel gevraagd door de Commissie ter ondersteuning van de eisen rond data en datagovernance. De hier gebruikte bron is een CEN-CENELEC nieuwsbriefitem van 27 mei 2026 over de inbreng van het Europees Vakverbond, geen normdocument; die datum zegt dus niets over de fase van de norm zelf. Het werkitem is onafhankelijk bevestigd in het JTC 21-werkprogramma. Nog in ontwikkeling.ConceptNormCEN-CENELEC JTC 2127 mei 2026
prEN 18282 Europese ontwerpnorm voor cybersecurity onder de AI-verordeningOntwerpnorm met organisatorische en technische maatregelen om AI-systemen te beveiligen tegen cyberdreigingen. De norm gaat expliciet in op AI-specifieke aanvalsvormen zoals datavergiftiging, aanvallen op het model zelf en kwaadaardige invoer. NEN publiceerde de oproep tot commentaar op 19 mei 2026, met sluiting op 30 juni 2026. De norm wordt ontwikkeld in werkgroep 5 van JTC 21 en is nog niet vastgesteld.ConceptNormCEN-CENELEC JTC 21, nationale consultatie via NEN19 mei 2026
prEN 18228 Europese ontwerpnorm voor risicomanagement onder de AI-verordeningOntwerpnorm voor risicomanagement van AI-systemen. De norm beschrijft terminologie, principes en een proces voor het identificeren, beoordelen en behandelen van risicos voor gezondheid, veiligheid en grondrechten. NEN opende de Nederlandse commentaarronde op 18 mei 2026 met sluiting op 30 juni 2026; de CEN-CENELEC nieuwsbrief van 27 mei 2026 bevestigt dat de Europese enquete tot eind juli 2026 liep en dat de norm artikel 9 ondersteunt. Dit is nog nadrukkelijk een ontwerp en geeft dus geen vermoeden van conformiteit.ConceptNormCEN-CENELEC JTC 21, nationale consultatie via NEN18 mei 2026
Toezicht op AI wordt concreet: sleutelrol voor de AP en de RDIReactie van de AP op het conceptwetsvoorstel. De AP maakt expliciet welke onderdelen zij zelf gaat handhaven: verboden AI-praktijken, de transparantieverplichtingen zoals herkenbaarheid van chatbots en deepfakes, en een groot deel van de hoog-risico-toepassingen in werk, onderwijs en overheid. AP en RDI verzorgen samen coordinatie, kennisopbouw en harmonisatie, en richten vanaf 2026 een AI regulatory sandbox in. De AP benadrukt dat delen van de verordening al gelden terwijl de uitvoeringswet nog niet in werking is.GepubliceerdNationale uitlegAutoriteit Persoonsgegevens (Directie Coordinatie Algoritmes)20 apr 2026
Rapportage AI & Algoritmes Nederland (RAN) - maart 2026Zesde editie van de halfjaarlijkse rapportage waarin de AP de risico's en effecten van AI en algoritmes in Nederland analyseert via de AI-Impactbarometer. Vier van de negen graadmeters staan nu op rood, tegen twee in de vorige editie. De drie hoofdpunten zijn dat AI in werving en selectie snel groeit met grote risico's, dat transparantie en uitlegbaarheid tekortschieten, en dat de voorbereiding op de AI-verordening achterblijft. De AP signaleert ook dat organisaties de regels proberen te ontduiken of zich er niet aan houden.GepubliceerdNationale uitlegAutoriteit Persoonsgegevens5 mrt 2026
AI-verordening (RDI)Vaste RDI-pagina over de eigen rol onder de AI-verordening en over de inrichting van het Nederlandse toezicht. Uitgangspunt is dat toezicht zoveel mogelijk bij bestaande sectorale toezichthouders wordt ondergebracht in plaats van bij een nieuwe instantie, waarbij RDI en AP samen een coordinerende expertrol vervullen. Toezicht op AI in CE-gemarkeerde producten zoals machines, liften en speelgoed blijft bij de bestaande productautoriteit. De pagina verwijst naar het eindadvies van 7 november 2024 en de twee tussenadviezen. Sinds 30 oktober 2025 niet inhoudelijk ververst: geen actuele stand na de consultatie van april 2026 en niets over de Digital Omnibus.GepubliceerdNationale uitlegRijksinspectie Digitale Infrastructuur (RDI)
Wetsvoorstel Uitvoeringswet AI-verordening (consultatiereactie en uitvoeringstoets)Brief van 8 juli 2026 van de voorzitter van de Afdeling bestuursrechtspraak aan het ministerie van Justitie en Veiligheid, met reactie en uitvoeringstoets op het conceptwetsvoorstel. De Afdeling onderschrijft dat markttoezicht op gerechtelijke instanties door gerechtelijke instanties gebeurt, maar adviseert de sandbox-taak en de afspraken over gelijkluidende begripsuitleg niet op haar voorzitter van toepassing te laten zijn omdat dat botst met rechterlijke onafhankelijkheid. Zij adviseert het eigen toezicht uit te breiden naar AI-systemen die alleen onder de transparantieverplichtingen vallen, en signaleert een competentievraag wanneer onduidelijk is of een systeem verboden dan wel hoog-risico is. De uitvoeringstoets raamt ongeveer 1 fte extra.GepubliceerdAdviesRaad van State, Afdeling bestuursrechtspraak8 jul 2026
Eindadvies Inrichting AI-toezicht NederlandGezamenlijk eindadvies van RDI en AP (34 paginas) over de inrichting van het Nederlandse toezicht op de AI-verordening. Kern: AI-toezicht sluit zoveel mogelijk aan bij het reguliere sectorale toezicht, producten met CE-markering blijven bij hun bestaande toezichthouder, en sectoroverstijgende toepassingen zoals werving en selectie, beoordeling in het onderwijs en risicoselectie door de overheid vragen om nauwe samenwerking. RDI en AP krijgen de coordinerende expertrol. Het kabinet nam dit advies vrijwel volledig over in het conceptwetsvoorstel van april 2026. Er is ook een Engelse versie.GepubliceerdAdviesRijksinspectie Digitale Infrastructuur (RDI) en Autoriteit Persoonsgegevens (AP)7 nov 2024
Consultatie Uitvoeringswet AI-verordeningHet Nederlandse wetsvoorstel dat de AI-verordening nationaal uitvoerbaar en handhaafbaar maakt. De consultatie liep van 20 april tot 1 juni 2026 en is gesloten. Het voorstel wijst tien markttoezichtautoriteiten aan: Autoriteit Persoonsgegevens, RDI, ILT, IGJ, NVWA, Nederlandse Arbeidsinspectie, AFM, DNB, de procureur-generaal bij de Hoge Raad en de voorzitter van de Afdeling bestuursrechtspraak van de Raad van State. Daarnaast regelt het bevoegdheden, samenwerking tussen deze autoriteiten en het opzetten van een AI-testomgeving. Bijlagen: wetsvoorstel, ontwerp-memorie van toelichting, visuele weergave van het toezichtstelsel, beleidskompas en effectentoets.ConsultatieNationale uitlegMinisterie van Justitie en Veiligheid / Rijksoverheid (via internetconsultatie.nl)20 apr 2026