Je AI voldoet aan de EU AI Act en je kunt dat aantonen.

Er staat een chatbot op je website. Iemand op de administratie laat een model facturen uitlezen. Op personeelszaken draait een tool die sollicitaties voorsorteert, en niemand weet meer precies wie die ooit heeft aangezet. Zolang er niemand naar vraagt, valt dat niet op. De EU AI Act maakt van die vraag een verplichting, met termijnen die al lopen, en degene die het vraagt is meestal een klant of een aanbestedende partij en niet een toezichthouder. Wij zorgen dat je weet wat je draait en dat je het kunt laten zien.

Welke risicoklasse geldt voor jou

De wet sorteert AI-systemen op wat er misgaat als ze het fout hebben. Een handvol toepassingen is helemaal verboden. Een tweede groep heet hoog risico: systemen die meebeslissen over werk, onderwijs, kredietwaardigheid of toegang tot voorzieningen. Daarvoor gelden zware eisen aan documentatie, datakwaliteit en toezicht. Voor een derde groep geldt vooral transparantie: je moet vertellen dat iemand met een machine praat of dat beeld gegenereerd is. De rest valt onder het normale regime en vraagt weinig meer dan gezond verstand.

Het verschil tussen die groepen is groot, en veel bedrijven schatten zichzelf verkeerd in. Een chatbot die openingstijden voorleest is licht spul. Diezelfde chatbot die bepaalt of een aanvraag doorgaat naar een medewerker, zit ineens in een andere categorie. Wij lopen je toepassingen langs, kijken naar wat het systeem feitelijk beslist in plaats van naar hoe de leverancier het noemt, en zetten per systeem op papier waarom het in die klasse valt. Zit je in de lichtste categorie, dan vertellen we je dat direct en houdt het daar op.

Van transparantie naar bewijs

Voldoen aan de wet is één ding, het kunnen laten zien is een tweede. Voor de zwaardere klassen moet je kunnen tonen waar je data vandaan komt, welke versie van welk model op welk moment draaide, en wat het systeem heeft geantwoord. Dat lukt niet met een document dat je een keer per jaar bijwerkt. Het moet uit je systemen zelf komen.

Daarom richten we de logging in op het moment dat we de toepassing bouwen. Elke aanroep krijgt een tijdstempel, de gebruikte modelversie en de uitkomst, en die gegevens bewaren we net zolang als nodig is en geen dag langer. Wat je in een model stopt zijn vaak persoonsgegevens, dus de bewaartermijnen en de verwerkersovereenkomsten lopen mee met het werk dat we onder Compliance & AVG doen. Draait het model bij een leverancier buiten de EU, dan zeggen we wat dat betekent en wat het alternatief is: een model dat in een EU-datacenter draait, waarbij jouw data niet gebruikt wordt om een publiek model te trainen.

Menselijk toezicht dat echt werkt

Bij hoog risico eist de wet dat een mens erop toeziet. In de praktijk wordt dat vaak ingevuld met een vinkje: iemand klikt op akkoord en het systeem gaat verder. Dat is geen toezicht, dat is een handtekening onder iets wat je niet hebt gelezen. Toezicht werkt alleen als degene die kijkt ook echt kan zien waarop het advies gebaseerd is, tijd heeft om ernaar te kijken, en zonder gedoe kan afwijken.

Dat is voor een groot deel een ontwerpvraag. We zorgen dat het scherm laat zien welke gegevens de doorslag gaven, dat afwijken één handeling is en geen aanvraagformulier, en dat elke afwijking wordt vastgelegd. Die vastlegging is meteen je beste bron van informatie: als mensen in een bepaald type geval structureel afwijken, klopt er iets niet aan het model. Daarnaast vraagt de wet dat je medewerkers weten waar ze mee werken. Dat is geen cursus van drie dagen, maar een korte instructie per rol, zodat iemand weet wat het systeem wel en niet kan.

Wat we van jou nodig hebben

We beginnen met een gratis intake en een rondgang langs de afdelingen. AI zit zelden alleen op de plek waar je het verwacht: er zit een stuk in je CRM, in je mailfilter en in de tool die je marketingbureau gebruikt. We hebben iemand nodig die weet welke leveranciers er zijn, en toegang tot de systemen waarin de modellen draaien.

Daarna krijg je binnen tien werkdagen een eerste versie van het register en de risico-indeling, zodat je meteen ziet waar het schuurt. De rest is inrichten en vastleggen. Werk je in een sector die ook onder NIS2 valt, dan gebruiken we dezelfde inventarisatie voor beide trajecten, want het is grotendeels hetzelfde huiswerk. Je bent de eigenaar van het dossier en van de code die we schrijven, dus je kunt er zonder ons mee verder.