Provider vs Deployer

De EU AI Act maakt een fundamenteel onderscheid tussen providers (aanbieders) en deployers (gebruiksverantwoordelijken). Een provider is degene die een AI-systeem ontwikkelt of laat ontwikkelen en het op de markt brengt onder eigen naam. Een deployer is een organisatie die een AI-systeem professioneel gebruikt. Dit onderscheid bepaalt welke verplichtingen voor jou gelden.

Gebruik deze beslisboom om te bepalen of je provider of deployer bent. Vraag 1: Heb je het AI-systeem zelf ontwikkeld of laten ontwikkelen? Zo nee → je bent waarschijnlijk deployer. Zo ja → ga naar vraag 2. Vraag 2: Breng je het op de markt onder eigen naam/merk? Zo ja → je bent provider. Zo nee → vraag 3. Vraag 3: Gebruik je het alleen intern? Zo ja → je bent nog steeds provider (ook voor intern gebruik). Let op: als je een AI-tool koopt, significant aanpast, en onder eigen naam doorverkoopt, ben je zowel deployer als provider.

Als provider van een hoog-risico AI-systeem heb je uitgebreide verplichtingen. Je moet een risicobeheersysteem implementeren dat gedurende de hele levenscyclus actief blijft. Technische documentatie moet worden opgesteld vóór marktintroductie. Je bent verantwoordelijk voor de conformiteitsbeoordeling, CE-markering en registratie in de EU-database. Na lancering moet je post-market monitoring uitvoeren en ernstige incidenten melden.

Als deployer van een hoog-risico AI-systeem heb je minder verplichtingen dan een provider, maar ze zijn niet minder belangrijk. Je moet de gebruiksinstructies van de provider nauwgezet volgen. Voor publieke organisaties en bepaalde hoog-risico toepassingen moet je een Fundamental Rights Impact Assessment (FRIA) uitvoeren. Betekenisvol menselijk toezicht is verplicht, net als het monitoren van de inputdata. Ernstige incidenten moeten worden gemeld.

Er zijn situaties waarin je rol niet direct duidelijk is. Als je een AI-systeem koopt, significant aanpast, en onder eigen naam op de markt brengt, ben je zowel deployer (van het originele systeem) als provider (van het aangepaste systeem). Als je General Purpose AI zoals ChatGPT integreert in je eigen systeem, kun je provider worden van het gecombineerde systeem. Importeurs en distributeurs van AI-systemen van buiten de EU hebben speciale verplichtingen onder Artikelen 26 en 27.

Het Digital Omnibus on AI-voorstel van 19 november 2025 bevat meerdere wijzigingen die direct raken aan provider- en deployer-verplichtingen. Voor providers: de registratieplicht voor AI-systemen die via Art. 6(3) zijn vrijgesteld van hoog-risico classificatie vervalt. In plaats daarvan volstaat een gedocumenteerde zelfbeoordeling. De EDPB en EDPS waarschuwen in hun Joint Opinion 1/2026 dat dit de verantwoordingsplicht ondermijnt en een ongewenste prikkel creëert om vrijstellingen te claimen. Voor deployers: de hoog-risico verplichtingen worden uitgesteld tot 6 of 12 maanden nadat geharmoniseerde standaarden beschikbaar zijn, met een uiterste deadline van december 2027 of augustus 2028. Het AI Office wordt exclusief verantwoordelijk voor toezicht op AI-systemen gebaseerd op GPAI-modellen. Daarnaast wordt het voor zowel providers als deployers mogelijk om (gevoelige) persoonsgegevens te verwerken voor bias-detectie bij alle AI-systemen, niet alleen hoog-risico. De MKB-uitzonderingen worden uitgebreid naar small mid-caps.