Provider vs Deployer

De EU AI Act maakt een fundamenteel onderscheid tussen providers (aanbieders) en deployers (gebruiksverantwoordelijken). Een provider is degene die een AI-systeem ontwikkelt of laat ontwikkelen en het op de markt brengt onder eigen naam. Een deployer is een organisatie die een AI-systeem professioneel gebruikt. Dit onderscheid bepaalt welke verplichtingen voor jou gelden.

Gebruik deze beslisboom om te bepalen of je provider of deployer bent. Vraag 1: Heb je het AI-systeem zelf ontwikkeld of laten ontwikkelen? Zo nee → je bent waarschijnlijk deployer. Zo ja → ga naar vraag 2. Vraag 2: Breng je het op de markt onder eigen naam/merk? Zo ja → je bent provider. Zo nee → vraag 3. Vraag 3: Gebruik je het alleen intern? Zo ja → je bent nog steeds provider (ook voor intern gebruik). Let op: als je een AI-tool koopt, significant aanpast, en onder eigen naam doorverkoopt, ben je zowel deployer als provider.

Als provider van een hoog-risico AI-systeem heb je uitgebreide verplichtingen. Je moet een risicobeheersysteem implementeren dat gedurende de hele levenscyclus actief blijft. Technische documentatie moet worden opgesteld vóór marktintroductie. Je bent verantwoordelijk voor de conformiteitsbeoordeling, CE-markering en registratie in de EU-database. Na lancering moet je post-market monitoring uitvoeren en ernstige incidenten melden.

Als deployer van een hoog-risico AI-systeem heb je minder verplichtingen dan een provider, maar ze zijn niet minder belangrijk. Je moet de gebruiksinstructies van de provider nauwgezet volgen. Voor publieke organisaties en bepaalde hoog-risico toepassingen moet je een Fundamental Rights Impact Assessment (FRIA) uitvoeren. Betekenisvol menselijk toezicht is verplicht, net als het monitoren van de inputdata. Ernstige incidenten moeten worden gemeld.

Er zijn situaties waarin je rol niet direct duidelijk is. Als je een AI-systeem koopt, significant aanpast, en onder eigen naam op de markt brengt, ben je zowel deployer (van het originele systeem) als provider (van het aangepaste systeem). Als je General Purpose AI zoals ChatGPT integreert in je eigen systeem, kun je provider worden van het gecombineerde systeem. Importeurs en distributeurs van AI-systemen van buiten de EU hebben speciale verplichtingen onder Artikelen 26 en 27.