14 okt 2026 De AI-verordening voor softwareteams: wat moet je kunnen aantonen?
In het kort: De AI-verordening vraagt softwareteams om aan te tonen dat hun AI doet wat het moet doen, en dat blijft doen. Voor AI met een hoog risico betekent dat: een risicoanalyse, geteste data, documentatie, logs, menselijk toezicht, tests op nauwkeurigheid en beveiliging, en monitoring na livegang. Het meeste bewijs komt uit testen. De regels voor hoog risico, zoals bij werving en krediet, gelden vanaf 2 december 2027.
De meeste artikelen over de AI-verordening zijn geschreven door juristen, voor juristen. Ze leggen risicocategorieën en boetes uit. Nuttig, maar een softwareteam houdt één vraag over: wat moeten we eigenlijk bouwen, testen en bewaren? Het antwoord is bewijs, en het meeste daarvan komt uit testen. Wat volgt is geen juridisch advies. Of je systeem een hoog risico heeft, bepaal je met je juristen. Wat je daarna moet kunnen aantonen, is een vraag voor je testers.
Wat is de AI-verordening?
De AI-verordening is een Europese wet die regels stelt aan AI-systemen, op basis van hun risico. Het gaat om Verordening (EU) 2024/1689, in het Engels de AI Act. De wet is op 1 augustus 2024 in werking getreden en verdeelt AI in vier groepen. Onaanvaardbaar risico is verboden, zoals social scoring door overheden. Hoog risico mag, maar met strenge regels, zoals AI die sollicitanten selecteert of kredietaanvragen beoordeelt. Beperkt risico heeft vooral transparantieplichten, zoals mensen vertellen dat ze met een chatbot praten. Minimaal risico, zoals een spamfilter, heeft geen extra plichten. De meeste plichten liggen bij de aanbieder: de organisatie die het AI-systeem bouwt of laat bouwen en onder eigen naam op de markt brengt. Organisaties die een systeem met hoog risico gebruiken, heten gebruiksverantwoordelijken. Zij hebben eigen, lichtere plichten.
Valt jouw software onder de AI-verordening?
Je software valt onder de AI-verordening als er een AI-systeem in zit dat in de EU wordt gebruikt. De vraag is vooral: in welke mate? Drie checks geven een eerste antwoord. Ten eerste: staat je toepassing op de lijst met hoog risico in bijlage III? Daarop staan onder meer biometrie, kritieke infrastructuur, onderwijs, werving en personeelsbeheer, toegang tot essentiële diensten zoals krediet en verzekeringen, rechtshandhaving, migratie en rechtspraak. AI die een veiligheidsonderdeel is van een gereguleerd product, zoals een medisch hulpmiddel of een machine, heeft ook een hoog risico. Ten tweede: praat je AI met mensen of maakt hij content? Dan gelden transparantieplichten: mensen moeten weten dat ze met AI te maken hebben. Ten derde: ben je aanbieder of gebruiksverantwoordelijke? Bouw je een chatbot op een model van een grote leverancier, dan ben je meestal de aanbieder van die chatbot. De leverancier heeft aparte plichten voor zijn model.
Wat moet je kunnen aantonen?
Bij een systeem met hoog risico moet je kunnen laten zien dat je de risico’s kent, erop hebt getest en blijft controleren. De tabel vertaalt de belangrijkste artikelen naar het bewijs dat een team maakt. Bijna elke regel leunt op testen.
| Verplichting | Wat je moet kunnen aantonen | Wie in het team het maakt |
|---|---|---|
| Risicobeheer (art. 9) | Een lijst met risico’s, en tests die laten zien dat elk risico beheerst is | Product owner en testers |
| Data en datagovernance (art. 10) | Controles op de kwaliteit van trainings- en testdata, ook op mogelijke vooroordelen | Datateam en testers |
| Technische documentatie (art. 11) | Hoe het systeem werkt, hoe het is getest en wat eruit kwam | Ontwikkelaars en testers |
| Registratie (art. 12) | Automatische logs van wat het systeem deed, en bewijs dat het loggen werkt | Ontwikkelaars |
| Menselijk toezicht (art. 14) | Een mens kan het systeem begrijpen, stoppen of overrulen, en dat is getest | Product owner en testers |
| Nauwkeurigheid, robuustheid, cyberbeveiliging (art. 15) | Gemeten nauwkeurigheid, tests met foute of onverwachte invoer, beveiligingstests zoals prompt injection | Testers en security |
| Monitoring na het in de handel brengen (art. 72) | Een monitoringplan en de resultaten, zolang het systeem bestaat | Testers en beheer |
| Transparantie (art. 50) | Mensen horen dat ze met AI te maken hebben; AI-content is herkenbaar gemaakt | Product owner en testers |
Het patroon is duidelijk. Een jurist vertelt je welke regels gelden. Het bewijs voor elke regel komt uit je tests, je logs en je resultaten over tijd.
Wanneer gelden de verplichtingen?
De verplichtingen gaan in fases in, en in 2026 zijn er data verschoven. Het verbod op onaanvaardbare AI en de plicht om AI-geletterdheid te bevorderen gelden sinds 2 februari 2025. De regels voor AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2025. De transparantieregels, zoals melden dat iemand met AI praat, gelden vanaf augustus 2026. Daarna kwam de AI-omnibus, die op 27 juli 2026 in werking trad. Die verschoof de regels voor hoog risico in de gebieden van bijlage III, zoals werving, krediet en onderwijs, naar 2 december 2027. Voor AI met hoog risico in gereguleerde producten geldt 2 augustus 2028. Ook werd de plicht rond AI-geletterdheid voor bedrijven vereenvoudigd. Check de pagina van de Europese Commissie over de AI Act voor de actuele planning voordat je gaat plannen.
Wat betekent dit voor je testaanpak?
December 2027 klinkt ver weg, maar bewijs opbouwen kost tijd. Een jaar aan monitoringresultaten maak je niet in de maand voor een deadline. Begin met de onderdelen die je hoe dan ook helpen. Schrijf de risico’s van je AI-systeem op. Maak van elk risico testvragen met duidelijke criteria. Draai ze op vaste momenten en bewaar de resultaten. Dat is dezelfde cirkel die we beschrijven in ons model in vijf stappen voor AI testen na livegang.
AI testen is doorlopend werk, en de wet verwacht nu dat je dat kunt laten zien. Daarom hebben we VeritasAI gebouwd, onze eigen tool om AI-toepassingen te testen. Daarmee testen we je AI-toepassing als dienst. VeritasAI draait je testvragen doorlopend en koppelt elk fout antwoord aan de wet, regelgeving of het raamwerk waar het bij hoort, met een prioriteitsscore. Een managementdashboard laat zien hoe je AI-toepassing het over tijd doet: het overzicht waar een compliance officer om vraagt. Een operationeel dashboard laat je team zien welke vragen fout gaan, met de prompt en het antwoord. Lees meer op onze pagina over AI Compliance Testing.
Bouw het bewijs voor de AI-verordening op terwijl je het product bouwt.
Veelgestelde vragen
Is AI-geletterdheid verplicht?
Sinds februari 2025 vraagt de AI-verordening organisaties om AI-geletterdheid te bevorderen bij medewerkers die met AI werken. De AI-omnibus van juli 2026 heeft die plicht voor bedrijven vereenvoudigd en de Commissie en lidstaten een grotere rol gegeven. De mensen die je AI gebruiken trainen blijft verstandig, wat het wettelijke minimum ook is.
Wat is een AI-systeem met een hoog risico?
Een AI-systeem heeft een hoog risico als het wordt gebruikt in een van de gebieden uit bijlage III, zoals werving, krediet, onderwijs of kritieke infrastructuur. AI die een veiligheidsonderdeel is van een gereguleerd product telt ook mee. Sommige systemen in die gebieden vallen erbuiten als ze alleen een smalle, voorbereidende taak doen.
Geldt de AI-verordening voor een chatbot op onze website?
Meestal geldt alleen de transparantieplicht: mensen moeten weten dat ze met AI praten. Neemt of bereidt de chatbot beslissingen voor in een gebied met hoog risico, zoals krediet of sollicitaties, dan gelden ook de regels voor hoog risico.
Hoe hoog zijn de boetes?
Boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden AI. De meeste andere overtredingen kosten tot 15 miljoen euro of 3%. Onjuiste informatie aan toezichthouders geven kost tot 7,5 miljoen euro of 1%. Voor kleine bedrijven gelden lagere maxima.