Kunt u bewijzen wat uw AI deed, en waarom?

Voert het systeem een verboden praktijk uit?

Voorbeelden: manipulatie die schade veroorzaakt, uitbuiting van kwetsbare groepen, verboden biometrische of emotiegerelateerde praktijken.

Art. 5 · Directe stopzetting of herontwerp vereist.

Is dit een van de veelvoorkomende AI-toepassingen met hoog risico, zoals werving, onderwijs, krediet, verzekeringen, overheidsdiensten, wetshandhaving, grenscontrole, justitie of kritieke infrastructuur?

Antwoord Ja als het systeem wordt gebruikt in een van deze gevoelige beslissings- of veiligheidscontexten. Dit noemt de AI Act een bijlage III-toepassing met hoog risico.

Art. 6, bijlage III · Belangrijkste trigger voor classificatie als hoog risico.

Kan het de gezondheid, veiligheid of fundamentele wettelijke rechten van mensen significant beïnvloeden?

Antwoord Ja als de AI op betekenisvolle wijze beslissingen, toegang, behandeling, veiligheidsuitkomsten, privacy, gelijke behandeling of andere belangrijke effecten op mensen beïnvloedt.

Art. 6 · Bevestigt de behandeling als hoog risico.

Ondersteunt de AI mensen alleen op een beperkte of laagimpact manier, zonder het menselijk oordeel te vervangen?

Antwoord alleen Ja als het duidelijk beperkt is tot ondersteunende taken, zoals het verbeteren van een eerdere menselijke activiteit, het afhandelen van een beperkte procedurele stap, of het detecteren van patronen zonder de uiteindelijke beslissing te sturen.

Art. 6(3) · Kan een mogelijke indeling als hoog risico verminderen.

Heeft het interactie met mensen, genereert het AI-content, of gebruikt het biometrische of emotiegerelateerde functies?

Voorbeelden: chatbots, door AI gegenereerde tekst, beelden, audio of video, gezichts- of stemanalyse, biometrische categorisering, of emotieherkenning.

Art. 50 · Activeert transparantieverplichtingen.

Is dit gebouwd op, of levert u, een AI-model voor algemene doeleinden dat in veel verschillende toepassingen wordt gebruikt?

Denk aan foundation models of breed inzetbare modellen die in veel downstream producten kunnen worden hergebruikt, niet aan een intern regelsysteem met een beperkt toepassingsgebied of een model voor één doel.

Art. 53-56 · Activeert GPAI-specifieke verplichtingen indien van toepassing.

Houdt u een duidelijke inventaris bij van AI-systemen, hun doel, en of u optreedt als aanbieder, deployer, of beide?

Hoe goed eruitziet AI-register met benoemde systeemeigenaar en rolindeling.

Art. 3, 6, 26 · Van toepassing op Aanbieders en deployers

Is AI-compliance toegewezen aan verantwoordelijke rollen binnen juridische, business-, technische en operationele teams?

Hoe goed eruitziet Benoemde eigenaren, escalatiepad en governanceforum.

Art. 17, 26 · Van toepassing op Aanbieders en deployers

Bevatten uw bestaande managementsystemen expliciet AI-specifieke controles en beoordelingsmomenten?

Hoe goed eruitziet AI geïntegreerd in kwaliteitsmanagementsysteem, compliance, beveiliging en changemanagement.

Art. 17, 26 · Van toepassing op Aanbieders en deployers

Bestaat er een gedocumenteerd proces om AI-risico's te identificeren en te beoordelen, met betrekking tot het beoogde gebruik, voorzienbaar misbruik en betrokken personen?

Hoe goed eruitziet Risicoregister en beoordelingscyclus die de impact op veiligheid en rechten dekt.

Art. 9 · Van toepassing op Hoog risico, bepaald beperkt risico

Zijn mitigerende maatregelen gedefinieerd, getest en gecommuniceerd voor bekende risico's, inclusief voor kwetsbare groepen?

Hoe goed eruitziet Gedocumenteerde controles, communicatie over restrisico en groepsspecifieke waarborgen.

Art. 9 · Van toepassing op Hoog risico

Valideert u prestaties, robuustheid en cyberbeveiliging onder omstandigheden die het werkelijke gebruik weerspiegelen?

Hoe goed eruitziet Testplan, drempelwaarden, veerkrachtcontroles en bewijs van beveiligingsverharding.

Art. 15 · Van toepassing op Hoog risico

Zijn databronnen, selectiecriteria, aannames en modelontwerpkeuzes gedocumenteerd en beheerst?

Hoe goed eruitziet Gedocumenteerde herkomst, goedkeuringsstappen en modelonderbouwing.

Art. 10, bijlage IV · Van toepassing op Aanbieders, deployers die data beheren

Beoordeelt u data op kwaliteit, representativiteit, bias en geschiktheid voor het beoogde gebruik?

Hoe goed eruitziet Kwaliteitscriteria, biasbeoordeling en herstel van datahiaten.

Art. 10 · Van toepassing op Hoog risico

Zijn, wanneer gevoelige data worden gebruikt, de juridische waarborgen en technische beschermingsmaatregelen duidelijk vastgelegd?

Hoe goed eruitziet Beperkte toegang, motivering en AVG-conforme waarborgen.

Art. 10(5) · Van toepassing op Voorwaardelijk

Worden gebruikers, operators en betrokken personen duidelijk geïnformeerd wanneer AI wordt gebruikt of wanneer beslissingen door AI worden ondersteund?

Hoe goed eruitziet Duidelijke kennisgevingen, informatie voor gebruikers en instructies voor deployers.

Art. 13, 50 · Van toepassing op Alle relevante systemen

Kunnen verantwoordelijke personen de grenzen van het systeem begrijpen en het indien nodig overrulen of stopzetten?

Hoe goed eruitziet Toezichtprocedures, stopvoorzieningen en overrulepaden.

Art. 14 · Van toepassing op Hoog risico

Zijn teams getraind om overmatig vertrouwen op AI te vermijden en het systeem uitsluitend binnen het beoogde doel te gebruiken?

Hoe goed eruitziet Trainingsregistraties, gebruiksregels en waarborgen tegen automatiseringsbias.

Art. 14, 26 · Van toepassing op Aanbieders en deployers

Houdt u actuele technische en operationele documentatie bij die het doel, het ontwerp, de beperkingen en de verwachte prestaties omvat?

Hoe goed eruitziet Technisch kerndossier met geversioneerde updates.

Art. 11, bijlage IV · Van toepassing op Voornamelijk aanbieders

Kan het gedrag van het systeem worden getraceerd via registraties of logs die laten zien hoe outputs zijn gegenereerd en gebruikt?

Hoe goed eruitziet Traceerbare logvelden en toegankelijke operationele registraties.

Art. 12, 26(5) · Van toepassing op Hoog risico, relevante deployers

Worden documentatie en logs bewaard, beschermd en toegankelijk gehouden voor audits, incidenten en verzoeken van toezichthouders?

Hoe goed eruitziet Bewaarregels, integriteitsbescherming en ophaalproces.

Art. 12, 17 · Van toepassing op Aanbieders en deployers

Monitort u prestaties, drift, misbruik, klachten en andere operationele signalen na implementatie?

Hoe goed eruitziet Monitoringplan, feedbackkanalen en beoordelingsfrequentie.

Art. 72 · Van toepassing op Hoog risico, GPAI waar relevant

Beschikt u over drempelwaarden en workflows voor corrigerende maatregelen, terugdraaien, opschorting of hertraining?

Hoe goed eruitziet Incidentdraaiboeken en triggers voor herstelmaatregelen.

Art. 72, 73 · Van toepassing op Hoog risico

Worden ernstige incidenten en interacties met toezichthouders afgehandeld via een gedefinieerd meld- en escalatieproces?

Hoe goed eruitziet Meldproces aan de autoriteit en voorbereiding van het bewijsdossier.

Art. 73 · Van toepassing op Hoog risico, GPAI waar relevant

Als u AI met hoog risico inzet in publieke of overheidsdienstcontexten, hebt u de impact op betrokken groepen beoordeeld en waarborgen vastgesteld?

Hoe goed eruitziet FRIA-proces, analyse van betrokken groepen en mitigerende maatregelen.

Art. 27 · Van toepassing op Voorwaardelijk

Als systemen synthetische content genereren of biometrische of emotiegerelateerde functies gebruiken, zijn de aanvullende transparantieverplichtingen dan operationeel gemaakt?

Hoe goed eruitziet Labeling, kennisgevingen en operationele afhandeling van bijzondere gevallen.

Art. 50 · Van toepassing op Voorwaardelijk

Als u GPAI levert of erop voortbouwt, beheert u dan de modeldocumentatie, downstream-informatie, auteursrecht en verplichtingen rond systeemrisico?

Hoe goed eruitziet GPAI-documentatiepakket en governance van systeemrisico.

Art. 53-56 · Van toepassing op GPAI-aanbieders