EU AI Act audit
Een EU AI Act audit toetst of uw AI-systemen voldoen aan Verordening (EU) 2024/1689: risicoklasse, verplichtingen en bewijs.
Over deze norm
EU AI Act audit in het kort
De AI-verordening stelt eisen aan aanbieders én gebruikers van AI-systemen, met zwaardere eisen naarmate het risico hoger is. Sinds 2 februari 2025 gelden het verbod op bepaalde AI-praktijken en de plicht tot AI-geletterdheid; de regels voor AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2025.
In de Audirium-bibliotheek staan de 113 artikelen van de verordening en 27 controls die ze vertalen naar toetsbare maatregelen, gekoppeld aan de gedeelde controlset waar ook ISO 42001 op mapt. Een audit loopt zo van wetsartikel naar maatregel naar bewijs.
Welke risicoklasse heeft uw AI-systeem?
De verordening deelt AI in lagen in. De klasse bepaalt wat u moet regelen en hoe zwaar het toezicht is.
- Verboden AI-praktijken die onaanvaardbaar zijn, zoals manipulatieve technieken en sociale scoring (art. 5). Verboden sinds 2 februari 2025.
- Hoog risico Systemen uit bijlage III, onder meer voor werving en selectie, kredietbeoordeling en onderwijs, en AI als veiligheidscomponent van gereguleerde producten (art. 6). Hier zit het zwaartepunt van de eisen.
- Transparantieplicht Systemen die met personen communiceren, deepfakes en gegenereerde content moeten dat kenbaar maken (art. 50).
- AI-modellen voor algemene doeleinden Aanbieders leggen technische documentatie en een auteursrechtbeleid vast; bij systeemrisico komen modelevaluatie en incidentmelding erbij (art. 53 en 55). Geldt sinds 2 augustus 2025.
- Overig De overige systemen kennen geen specifieke systeemeisen. De plicht tot AI-geletterdheid van uw personeel geldt voor alle aanbieders en gebruikers (art. 4).
Wat vraagt een hoog-risicosysteem?
De eisen aan het systeem staan in artikel 8 tot en met 15. Aanbieders en gebruikers hebben daarnaast eigen plichten.
- Risicobeheer Een doorlopend risicomanagementsysteem over de hele levensduur van het systeem (art. 9).
- Data Datagovernance voor trainings-, validatie- en testdata, inclusief onderzoek naar mogelijke vooringenomenheid (art. 10).
- Documentatie en logging Technische documentatie en automatische registratie van gebeurtenissen (art. 11 en 12).
- Transparantie en menselijk toezicht Gebruiksinstructies voor de gebruiker en toezicht door mensen die het systeem begrijpen en kunnen ingrijpen (art. 13 en 14).
- Nauwkeurigheid en beveiliging Passende nauwkeurigheid, robuustheid en cyberbeveiliging (art. 15).
- Gebruiksverantwoordelijken Volgen de gebruiksaanwijzing en beleggen het toezicht bij bekwame personen (art. 26). In bepaalde gevallen volgt een effectbeoordeling grondrechten (art. 27).
Wanneer gelden de verplichtingen?
De verordening is van toepassing met ingang van 2 augustus 2026, met uitzonderingen en uitstel (art. 113). Onderdelen gelden al.
- 2 februari 2025 Verboden praktijken (art. 5) en AI-geletterdheid (art. 4).
- 2 augustus 2025 Regels voor AI-modellen voor algemene doeleinden, governance en sancties.
- 2 augustus 2026 Algemene toepassing, waaronder de transparantieverplichtingen van artikel 50.
- 2 december 2027 en 2 augustus 2028 Hoog-risicosystemen uit bijlage III respectievelijk AI in gereguleerde producten uit bijlage I, na de verschuiving door de Digital Omnibus (juni 2026 aangenomen).
Wat kost niet-naleving?
Artikel 99 kent drie boetetrappen. Voor een onderneming geldt het bedrag of het percentage van de wereldwijde jaaromzet, het hoogste van de twee.
- Verboden praktijken Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet.
- Overige verplichtingen Tot 15 miljoen euro of 3%, voor aanbieders, gebruiksverantwoordelijken en andere operatoren, onder meer bij de transparantieplicht.
- Onjuiste informatie Tot 7,5 miljoen euro of 1% bij onjuiste, onvolledige of misleidende informatie aan autoriteiten.
Hoe loopt een EU AI Act audit?
Een audit volgt de lijn van de verordening: eerst weten wat u hebt, dan toetsen wat daarvoor geldt.
- 1. Inventaris Welke AI-systemen zijn in gebruik of in ontwikkeling, en wie is aanbieder of gebruiksverantwoordelijke?
- 2. Classificatie Per systeem de risicoklasse met onderbouwing, vastgelegd zodat een toezichthouder de redenering kan volgen.
- 3. Toetsing Per toepasselijke verplichting de maatregel en het bewijs ervan: beleid, documentatie, logging, toezicht en testresultaten.
- 4. Rapportage en opvolging Bevindingen met eigenaar en termijn, en een nieuwe toets bij elke wezenlijke wijziging van het systeem.
In de bibliotheek
Geverifieerde aantallen
27 controls
Verordening (EU) 2024/1689: Artificial Intelligence Act (versie 2024).
113 artikelen
Verordening (EU) 2024/1689 - Verordening artificiële intelligentie.
106 koppelingen
Naar 41 gedeelde controls, de brug naar andere kaders.
62 frameworks
Deze norm staat niet op zichzelf: de bibliotheek telt 4.044 controls en 4.291 kruisverwijzingen.
Opbouw
Domeinen in EU AI Act
- Toeleveringsketen (3)
- Logging & monitoring (3)
- Transparantie (2)
- Incidentrespons (2)
- Governance (2)
- GPAI (2)
- Documentatie (2)
- Compliance (2)
- Aanbieder (2)
- Toezicht (1)
Officiële tekst: Verordening (EU) 2024/1689 - Verordening artificiële intelligentie
Verwante normen
ISO 27001 · NIS2 en de Cyberbeveiligingswet · AVG · DORA · BIO en BIO2 · NEN 7510 · ISO 42001 · Wpg · Alle normen
Aan de slag met EU AI Act audit
Vraag een demo aan of bekijk hoe CRAFT deze norm ondersteunt.
Veelgestelde vragen
Wat is een EU AI Act audit?
De verordening kent geen verplichte audit onder die naam. Wel eist ze voor hoog-risicosystemen een conformiteitsbeoordeling (art. 43) en voor aanbieders een kwaliteitsmanagementsysteem (art. 17). Een EU AI Act audit is de onafhankelijke toetsing waarmee u aantoont dat u daaraan voldoet, intern of door een externe partij.
Voor wie geldt de AI-verordening?
Voor aanbieders die AI-systemen in de EU in de handel brengen en voor gebruiksverantwoordelijken, de organisaties die AI inzetten. Ook aanbieders en gebruikers buiten de EU vallen eronder als de output van het systeem in de EU wordt gebruikt (art. 2).
Wat is het verschil met ISO 42001?
De AI-verordening is wetgeving met verplichtingen per risicoklasse. ISO 42001 is een certificeerbaar managementsysteem. Een ISO 42001-certificaat bewijst niet dat u aan de verordening voldoet, maar geeft wel het fundament van beleid, risicobeoordeling en toezicht waarop u de eisen borgt.