Bijna elke organisatie koopt inmiddels AI in, vaak zonder dat het zo heet: een slimme functie in het HR-systeem, een chatbot op de website, een tool die contracten samenvat. Onder de AI-verordening (Verordening (EU) 2024/1689, de AI Act) ben je dan geen toeschouwer. Je bent gebruiksverantwoordelijke, en dat brengt plichten mee. Een deel daarvan regel je in het contract met je leverancier.
In dit artikel: wat je rol is, welke data gelden na het uitstel van 2026, wat AI-geletterdheid inhoudt en welke afspraken je met AI-leveranciers maakt.
Kort antwoord: koop je een AI-tool in, dan ben je onder de AI Act een gebruiksverantwoordelijke (deployer). AI-geletterdheid (art. 4) en de verboden praktijken gelden al, de transparantieplichten uit artikel 50 sinds 2 augustus 2026. De eisen voor hoog-risicosystemen uit bijlage III zijn uitgesteld naar 2 december 2027. Leg in je contracten vast waar het systeem voor bedoeld is, wat er met je data gebeurt, welke documentatie je krijgt, hoe incidenten gemeld worden en wie aansprakelijk is.
Aanbieder of gebruiksverantwoordelijke?
De AI Act verdeelt de verplichtingen over rollen. De twee die er voor de meeste organisaties toe doen:
| Rol | Wie | Belangrijkste plichten |
|---|---|---|
| Aanbieder (provider) | Wie een AI-systeem ontwikkelt en onder eigen naam op de markt brengt | Bij hoog risico: risicobeheer, technische documentatie, conformiteitsbeoordeling, gebruiksinstructies, CE-markering |
| Gebruiksverantwoordelijke (deployer) | Wie een AI-systeem onder eigen verantwoordelijkheid gebruikt | AI-geletterdheid, transparantie in bepaalde gevallen, bij hoog risico: gebruik volgens instructies, menselijk toezicht, logs bewaren |
Let op: je kunt van rol wisselen. Zet je je eigen naam op een hoog-risicosysteem, wijzig je het wezenlijk, of gebruik je een systeem voor een hoog-risicodoel waar het niet voor bedoeld was, dan word je volgens artikel 25 zelf als aanbieder behandeld. Een algemene AI-assistent inzetten om sollicitanten te selecteren is daar een voorbeeld van.
Wanneer is AI "hoog risico"?
De meeste AI-tools die je inkoopt zijn geen hoog-risicosysteem. Hoog risico gaat over toepassingen in bijlage III, zoals AI voor werving en selectie, het beoordelen of volgen van werknemers, kredietwaardigheid, toegang tot onderwijs of essentiële overheidsdiensten, en over AI in producten die onder bijlage I vallen (bijvoorbeeld medische hulpmiddelen en machines).
Gebruik je een hoog-risicosysteem, dan moet je als gebruiksverantwoordelijke volgens artikel 26 onder meer:
- het systeem gebruiken volgens de gebruiksinstructies van de aanbieder;
- menselijk toezicht beleggen bij mensen die daarvoor bekwaam zijn en de bevoegdheid hebben;
- zorgen dat de invoerdata relevant en representatief zijn, voor zover je die zelf aanlevert;
- de werking monitoren en ernstige incidenten melden;
- de automatisch gegenereerde logs minstens zes maanden bewaren, voor zover die onder jouw controle zijn;
- werknemers en hun vertegenwoordigers informeren voordat je een hoog-risicosysteem op de werkvloer inzet.
Veel van deze plichten kun je alleen nakomen als je leverancier meewerkt. Daarom horen ze in het contract.
De tijdlijn, na het uitstel van 2026
De AI Act is op 1 augustus 2024 in werking getreden en gaat in fases gelden. In 2026 is die tijdlijn aangepast door Verordening (EU) 2026/1744, de zogeheten Digital Omnibus over AI. De Raad gaf op 29 juni 2026 de laatste goedkeuring; de verordening is op 27 juli 2026 in werking getreden.
| Datum | Wat geldt |
|---|---|
| 2 februari 2025 | Verboden AI-praktijken (art. 5) en AI-geletterdheid (art. 4) |
| 2 augustus 2025 | Regels voor AI-modellen voor algemene doeleinden, toezicht en boetes |
| 2 augustus 2026 | Het grootste deel van de verordening, waaronder de transparantieplichten (art. 50) |
| 2 december 2026 | Nieuwe verboden (o.a. niet-consensuele intieme beelden) en einde overgangstermijn voor het markeren van AI-content bij systemen die al op de markt waren |
| 2 december 2027 | Eisen voor hoog-risicosystemen uit bijlage III (was 2 augustus 2026) |
| 2 augustus 2028 | Eisen voor hoog-risico-AI in producten uit bijlage I (was 2 augustus 2027) |
Het uitstel geeft lucht, maar geen vrijstelling. Contracten die je nu sluit met een looptijd van drie of vier jaar lopen gewoon door na december 2027. Spreek dus nu al af wat je dan nodig hebt.
De transparantieplichten uit artikel 50 zijn niet uitgesteld. Gebruik je AI om bijvoorbeeld deepfakes te maken, of zet je emotieherkenning in, dan gelden er nu al informatieplichten voor jou als gebruiksverantwoordelijke.
AI-geletterdheid: artikel 4
Sinds 2 februari 2025 moeten aanbieders en gebruiksverantwoordelijken zorgen voor AI-geletterdheid van de mensen die namens hen met AI-systemen werken. Met de wijziging van 2026 is die plicht verzacht: je moet maatregelen nemen om AI-geletterdheid te ondersteunen, maar je hoeft geen bepaald niveau per medewerker te garanderen.
In de praktijk betekent dat:
- Weet welke AI je gebruikt. Maak een lijst van tools met AI-functies, per afdeling. Je contractregister is daarvoor het beste startpunt.
- Leg per tool uit wat hij kan en niet kan, en waar de risico's zitten: verzonnen antwoorden, verouderde informatie, vooringenomenheid.
- Spreek af wie de uitkomst controleert voordat er een besluit op wordt genomen.
- Leg vast wat je hebt gedaan: een korte instructie, een sessie, een intranetpagina. Dan kun je het laten zien als erom gevraagd wordt.
Welke afspraken maak je met een AI-leverancier?
De AI Act schrijft voor gebruiksverantwoordelijken geen vaste contractbepalingen voor, zoals DORA dat wel doet. Maar zonder afspraken kun je je eigen plichten niet nakomen. Dit zijn de onderwerpen die in een contract met een AI-leverancier thuishoren:
| Onderwerp | Wat je vastlegt |
|---|---|
| Beoogd doel en classificatie | Waarvoor het systeem bedoeld is, of de leverancier het als hoog risico aanmerkt, en de garantie dat hij je informeert als dat verandert |
| Documentatie | Gebruiksinstructies, beschrijving van beperkingen en bekende foutmarges, en bij hoog risico de informatie uit artikel 13 |
| Data | Waar je data wordt opgeslagen en verwerkt, of je invoer wordt gebruikt om modellen te trainen (en zo ja, of je dat kunt uitzetten), en een verwerkersovereenkomst als er persoonsgegevens in zitten |
| Transparantie | Wanneer en hoe gebruikers zien dat ze met AI werken of AI-content krijgen |
| Menselijk toezicht | Hoe de tool het mogelijk maakt om uitkomsten te controleren, te corrigeren of te negeren |
| Logs | Welke logs er zijn, hoe lang ze bewaard worden en hoe je erbij kunt |
| Incidenten | Binnen welke termijn de leverancier fouten, storingen en ernstige incidenten meldt, en hoe hij meewerkt aan jouw meldplicht |
| Wijzigingen | Melding vooraf als het onderliggende model of de werking wezenlijk verandert |
| Aansprakelijkheid | Wie instaat voor schade door foute uitkomsten, en of de aansprakelijkheidsbeperking daarbij past |
| Medewerking en exit | Hulp bij vragen van toezichthouders, en je data terug in een bruikbaar formaat bij beëindiging |
Voor de data-afspraken is de verwerkersovereenkomst het vertrekpunt; de AVG blijft naast de AI Act gewoon gelden. Hoe je leveranciers daarna blijft volgen, lees je in leveranciersbeheer.
Checklist voor je AI-contracten
- Staan al je AI-tools in je contractregister, met eigenaar en afdeling?
- Weet je per tool waarvoor hij gebruikt wordt, en is dat een toepassing uit bijlage III?
- Gebruik je een tool voor een ander doel dan de leverancier bedoelde?
- Heb je de gebruiksinstructies en een beschrijving van de beperkingen?
- Is vastgelegd of je data wordt gebruikt voor training?
- Is er een verwerkersovereenkomst als er persoonsgegevens in gaan?
- Is er een meldtermijn voor incidenten en voor wezenlijke wijzigingen?
- Past de aansprakelijkheidsregeling bij het risico?
- Heb je een AI-geletterdheidsmaatregel voor de mensen die de tool gebruiken?
- Weet je wanneer het contract verlengt, zodat je ontbrekende afspraken op tijd kunt bijzetten?
Hoe Looop zelf AI gebruikt
Eerlijk vooraf, omdat het hier over gaat: Looop gebruikt Nora AI. Nora leest een geüpload contract uit en stelt de wederpartij, looptijd, opzegtermijn en een titel voor, telkens met het bronfragment uit het contract. In de Nora-console stel je vragen over je contracten, vergelijk je twee contracten met letterlijke citaten en toets je een contract aan je eigen contractrichtlijnen. De gebruiker beslist wat er wordt overgenomen, en Nora's antwoorden zijn geen juridisch advies. Meer over hoe dat werkt in Nora leest contracten uit en wat AI in contractbeheer wel en niet kan.
Looop doet in dit artikel geen uitspraak over een classificatie of conformiteit onder de AI Act. Heb je voor je eigen inventarisatie informatie over Nora nodig, vraag het ons.
Waar Looop wel bij helpt: al je AI-contracten op één plek, met eigenaar, afdeling, looptijd en opzegtermijn. Je krijgt een melding vóór de uiterste opzegdatum, zodat je ontbrekende afspraken kunt bijzetten voordat het contract stilzwijgend verlengt. Per contract leg je risico's vast, en met een contractrichtlijn als "het contract regelt of onze data wordt gebruikt voor training" laat je Nora controleren of een AI-contract die afspraak bevat.
Bronnen
- Verordening (EU) 2024/1689 (AI-verordening), EUR-Lex
- Verordening (EU) 2026/1744 (Digital Omnibus over AI), EUR-Lex
- Raad van de EU, persbericht 29 juni 2026: final green light to simplify and streamline rules on artificial intelligence
Dit artikel is geen juridisch advies. Controleer bij twijfel over de rol of classificatie van een AI-systeem de actuele tekst van de verordening of vraag een jurist.
Veelgestelde vragen
- Wat is een gebruiksverantwoordelijke onder de AI Act?
- Een gebruiksverantwoordelijke (in het Engels: deployer) is een organisatie die een AI-systeem onder eigen verantwoordelijkheid gebruikt, bijvoorbeeld een bedrijf dat een AI-tool van een leverancier inkoopt en inzet. De zwaarste verplichtingen liggen bij de aanbieder die het systeem maakt, maar ook de gebruiksverantwoordelijke heeft plichten, zoals AI-geletterdheid en, bij hoog-risicosystemen, menselijk toezicht en het bewaren van logs (artikel 26 van Verordening (EU) 2024/1689).
- Zijn de hoog-risico-eisen van de AI Act uitgesteld?
- Ja. Met Verordening (EU) 2026/1744, de Digital Omnibus over AI, zijn de eisen voor hoog-risicosystemen uit bijlage III uitgesteld van 2 augustus 2026 naar 2 december 2027. Voor AI in producten die onder bijlage I vallen geldt 2 augustus 2028. De verboden AI-praktijken gelden al sinds 2 februari 2025 en de transparantieplichten uit artikel 50 sinds 2 augustus 2026.
- Wat moet ik doen aan AI-geletterdheid?
- Artikel 4 van de AI-verordening vraagt aanbieders en gebruiksverantwoordelijken om maatregelen te nemen voor de AI-geletterdheid van medewerkers die met AI-systemen werken. Na de wijziging van 2026 hoef je geen bepaald niveau te garanderen, maar je moet wel aantoonbaar iets doen: uitleg over wat de tool kan en niet kan, waar de risico's zitten en wie de uitkomst controleert.
- Welke afspraken zet ik in een contract met een AI-leverancier?
- Leg vast waar het systeem voor bedoeld is en of het als hoog risico is aangemerkt, welke documentatie en gebruiksinstructies je krijgt, wat er met je data gebeurt (ook of die wordt gebruikt om modellen te trainen), hoe incidenten en storingen worden gemeld, hoe lang logs bewaard worden, wie aansprakelijk is en hoe je eruit kunt. Verwerkt de tool persoonsgegevens, dan hoort er ook een verwerkersovereenkomst bij.
- Valt Looop onder de AI Act?
- Looop gebruikt Nora AI om contracten uit te lezen en vragen over je contracten te beantwoorden. Nora toont daarbij het bronfragment uit het contract en de gebruiker beslist wat er wordt overgenomen. Looop doet in dit artikel geen uitspraak over een classificatie of conformiteit onder de AI Act; vraag ons gerust naar hoe Nora werkt als je dat voor je eigen AI-inventarisatie nodig hebt.
