Wat is een hoog-risico AI-systeem?

De twee categorieën

De AI Act onderscheidt twee soorten hoog-risico systemen, met verschillende deadlines.

Bijlage III — zelfstandige systemen. AI-toepassingen in specifiek benoemde domeinen: werving en selectie en andere beslissingen in de arbeidsrelatie, toegang tot onderwijs, kredietbeoordeling, toegang tot essentiële publieke en private diensten, rechtshandhaving, migratie, en bepaalde vormen van biometrie. Deadline: 2 december 2027.

Bijlage I — ingebed in gereguleerde producten. AI als onderdeel van producten die al onder Europese productveiligheidswetgeving vallen: medische hulpmiddelen, machines, liften, speelgoed. Deadline: 2 augustus 2028.

Wat de status betekent voor een gebruiker

Ook als gebruiksverantwoordelijke — dus als je het systeem niet zelf bouwt — krijg je bij hoog-risico toepassingen extra taken: het systeem gebruiken volgens de instructies, menselijk toezicht beleggen bij iemand met de bevoegdheid en kennis om in te grijpen, invoergegevens relevant en representatief houden, logs bewaren, en betrokkenen informeren dat er een hoog-risico systeem wordt gebruikt.

Dat is beduidend meer dan het lichte pakket dat voor gewone AI-toepassingen geldt, maar nog steeds veel minder dan wat de aanbieder moet doen.

De praktische toets voor MKB-bedrijven

Loop bijlage III langs met één vraag: neemt of ondersteunt deze AI een beslissing over een individuele persoon die gevolgen heeft voor diens werk, geld of toegang tot iets?

Bij vrijwel alle MKB-bedrijven is het antwoord één keer ja, en dan gaat het om recruitmentsoftware. Wie cv's laat voorsorteren of kandidaten laat scoren door AI, zit in deze categorie — ook als de leverancier dat niet prominent vermeldt.

De verstandige volgorde: vraag je leverancier schriftelijk of het systeem als hoog risico is geclassificeerd en hoe zij zich op december 2027 voorbereiden. Dat antwoord bepaalt of je zelf iets moet inrichten of dat je kunt aanhaken bij wat de aanbieder levert.