AI Act gap-analyse: grip op de AI Act in zeven stappen

Gap-analyse, readiness assessment of compliance-check: wat is het verschil?

De termen worden door elkaar gebruikt, maar ze leggen een ander accent:

• Gap-analyse: het verschil tussen de huidige en de vereiste situatie, verplichting voor verplichting.
• Readiness assessment: hoe volwassen uw governance, mensen en processen zijn om op tijd klaar te zijn.
• Compliance-check: een momentopname van één systeem tegen concrete eisen.

Geen van drieën is een conformiteitsbeoordeling. Dat is de formele procedure die een aanbieder van een AI-systeem met een hoog risico moet doorlopen voordat het systeem in de handel komt, soms met een aangemelde instantie. Een gap-analyse laat zien of u daarmee te maken krijgt en wat er dan klaar moet liggen.

De zeven stappen van een AI Act gap-analyse

Stap 1: Baken af en breng al uw AI in kaart

Bepaal welke rechtspersonen, bedrijfsonderdelen en landen meedoen. Kijk niet alleen naar het hoofdkantoor: de AI-verordening geldt ook voor partijen buiten de EU als de output van hun AI hier wordt gebruikt. Maak daarna een lijst van elk AI-systeem dat u ontwikkelt, koopt, inbouwt of door medewerkers laat gebruiken. Denk aan de voor de hand liggende tools, zoals Microsoft 365 Copilot, de klantenservicechatbot van uw webshop en de selectiemodule in het sollicitatiesysteem, maar ook aan AI-functies die leveranciers standaard aanzetten, browserextensies en modellen die ontwikkelaars via een API aanroepen. Hoe u ook de verborgen tools vindt, leest u in onze blog over schaduw-AI opsporen en een eigen AI-register opzetten.

Stap 2: Classificeer elk systeem op risico

Plaats elk systeem in een van de vier risiconiveaus: verboden, hoog risico, transparantierisico of minimaal risico. De lastige keuzes zitten bijna altijd op de grens van hoog risico. Een tool die sollicitanten rangschikt valt onder bijlage III, punt 4 (werkgelegenheid); een tool die vacatureteksten schrijft doorgaans niet. Leg uw redenering vast, niet alleen de uitkomst. Een aanbieder die concludeert dat een systeem uit bijlage III toch geen hoog risico vormt, moet die beoordeling documenteren.

Stap 3: Bepaal per systeem uw rol

De AI-verordening verdeelt de plichten over rollen. De aanbieder ontwikkelt het systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke gebruikt het onder eigen verantwoordelijkheid in een beroepsmatige context; in de praktijk zegt men vaak ‘gebruiker’. Uw rol kan per systeem verschillen. Bij Copilot bent u meestal gebruiksverantwoordelijke, bij een chatbot die uw eigen team op een taalmodel heeft gebouwd bent u aanbieder. Let op artikel 25: wie een systeem met een hoog risico onder eigen naam zet, het wezenlijk wijzigt of het doel zo verandert dat het hoog risico wordt, wordt zelf aanbieder.

Stap 4: Toets elk systeem aan de verplichtingen

Neem nu per systeem de risicoklasse en de rol en leg die naast de bijbehorende plichten. Voor een gebruiksverantwoordelijke van een AI-systeem met een hoog risico is artikel 26 de kernlijst: gebruik volgens de gebruiksaanwijzing van de aanbieder, menselijk toezicht door mensen met de nodige bekwaamheid en bevoegdheid, relevante invoerdata voor zover u die beheert, monitoring, bewaren van automatisch gegenereerde logs gedurende ten minste zes maanden, werknemers en hun vertegenwoordigers vooraf informeren en betrokkenen vertellen dat een AI-systeem meebeslist. Overheidsorganen, private partijen die openbare diensten leveren en partijen die kredietwaardigheid beoordelen of levens- en ziektekostenverzekeringen prijzen, moeten daarnaast een beoordeling van de gevolgen voor de grondrechten maken. Hoe die zich verhoudt tot het Nederlandse IAMA leest u in ons artikel over FRIA en IAMA.

Noteer per verplichting drie dingen: wat er nu is, wat ontbreekt en welk bewijs aantoont dat het geregeld is. ‘We hebben menselijk toezicht’ is een huidige situatie. ‘Een getrainde senior recruiter met bevoegdheid om de rangschikking te overrulen, en die beslissing wordt gelogd’ is een doelsituatie.

Stap 5: Prioriteer op deadline en impact

Niet elk gat is even urgent. Rangschik op de datum waarop de verplichting geldt en op de schade die een fout kan veroorzaken.

Binnen elke band schuiven systemen met veel impact op mensen naar boven, zoals kredietbeoordeling bij een bank of een model dat fraudesignalen bij uitkeringen genereert.

Stap 6: Maak een herstelplan met eigenaren

Zet de gerangschikte gaten om in een plan met eigenaren, budget en data. Groepeer het werk in sporen, zodat u het kunt bemensen: beleid en governance (raamwerk, gebruiksbeleid, rollen), mensen (training in AI-geletterdheid en menselijk toezicht), techniek (logging, toegangsbeheer, AI-melding in de chatbot) en leveranciers (contractclausules, vragenlijsten). Koppel elk herstelpunt voor een systeem met een hoog risico aan een vastgelegde risicoanalyse, zodat u kunt uitleggen waarom u een maatregel koos.

Stap 7: Leg bewijs vast en houd het actueel

Een gesloten gat zonder bewijs is een open gat. Bewaar wat elke maatregel aantoont: presentielijsten van trainingen, het vastgestelde gebruiksbeleid, taakomschrijvingen voor menselijk toezicht, instellingen voor logbewaring, antwoorden van leveranciers en de tekst van uw AI-meldingen. Plan daarna een herhaling, minstens jaarlijks en bij elke nieuwe tool, nieuwe richtsnoeren of een wijziging van de AI-verordening.

De tien gaten die we het vaakst tegenkomen

De eerste vier gaten dicht u in weken, niet maanden. Het zijn ook precies de onderwerpen die een klant of auditor als eerste uitvraagt. Voor de AI-geletterdheid kunt u steunen op de handreikingen van de Autoriteit Persoonsgegevens; hoe dat er in de praktijk uitziet, beschrijven we in ons artikel over AI-geletterdheid op de werkvloer.

Wie controleert straks in Nederland?

De AI-verordening werkt rechtstreeks, maar Nederland moet nog vastleggen wie toezicht houdt. Het kabinet bracht het wetsvoorstel voor de Uitvoeringswet AI-verordening op 20 april 2026 in internetconsultatie. Het concept kiest voor tien markttoezichtautoriteiten. De Autoriteit Persoonsgegevens krijgt verboden AI-praktijken, transparantie en een groot deel van de hoog-risicotoepassingen, zoals AI bij werk, onderwijs en overheid. De RDI wordt centraal contactpunt en coördineert samen met de AP. AFM en DNB houden toezicht op AI bij financiële instellingen. Per oktober 2026 is de wet nog niet aangenomen. Wat dit voor uw sector betekent, staat in ons overzicht van het Nederlandse toezicht op de AI-verordening.

Voor uw gap-analyse betekent dit vooral: noteer per systeem welke toezichthouder waarschijnlijk bevoegd is. Een bank heeft met de AFM en DNB te maken, een gemeente en een HR-afdeling met de AP. Dat bepaalt ook welke richtsnoeren u in de gaten houdt.

Zelf doen, scan gebruiken of hulp inschakelen?

Een kleine organisatie met een handvol tools kan de analyse prima zelf doen met een spreadsheet en twee of drie workshops met IT, HR, juridische zaken en de business. Heeft u veel systemen, of zitten er hoog-risicotoepassingen tussen, dan loont een gestructureerde aanpak. Begin dan met een scan die uw volwassenheid meet en de basisdocumenten oplevert, en zet daarna capaciteit in op de systemen met het meeste risico. Wilt u ondersteuning bij het herstelplan of bij de leveranciersgesprekken, dan helpt Opsio met AI governance consulting.

Veelgestelde vragen

Wat is een AI Act gap-analyse precies?

Een gap-analyse vergelijkt per AI-systeem uw huidige situatie met de verplichtingen uit de AI-verordening die voor uw rol en risicoklasse gelden. U ziet welke maatregelen ontbreken, wie ze moet regelen en voor welke datum. Het eindproduct is een lijst met tekortkomingen, een prioriteit per tekortkoming en een herstelplan met eigenaren en bewijsstukken.

Hoe lang duurt een gap-analyse voor de AI Act?

Dat hangt vooral af van het aantal systemen en hoe goed u ze al kent. Een mkb-bedrijf met vijf tot tien tools heeft vaak genoeg aan een paar weken doorlooptijd. Een grote organisatie met tientallen systemen en hoog-risicotoepassingen moet rekenen op enkele maanden. De inventarisatie kost meestal de meeste tijd, omdat AI vaak via leveranciers en privéaccounts binnenkomt.

Moeten we een gap-analyse doen als we alleen ChatGPT en Copilot gebruiken?

Een formele plicht om een gap-analyse te maken bestaat niet. Maar ook als u alleen generatieve AI gebruikt, gelden de plicht om AI-geletterdheid te bevorderen en de verboden AI-praktijken. Publiceert u AI-content of zet u een chatbot in voor klanten, dan komt artikel 50 erbij. Een lichte analyse laat zien of u die punten aantoonbaar heeft geregeld.

Is het uitstel door de digitale omnibus een reden om te wachten?

Nee. De omnibus verschoof alleen de eisen voor AI-systemen met een hoog risico, naar 2 december 2027 en 2 augustus 2028. Verboden, AI-geletterdheid, GPAI-regels en transparantie bleven staan, en er kwamen nieuwe verboden bij vanaf 2 december 2026. Gebruik de extra tijd voor leveranciers en logging; daar zitten de lange doorlooptijden.

Wat kost het als we niet compliant zijn?

Artikel 99 noemt maxima: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden praktijken, tot 15 miljoen euro of 3 procent voor de meeste andere plichten en tot 7,5 miljoen euro of 1 procent voor onjuiste informatie aan toezichthouders. Voor het mkb geldt het lagere van de twee bedragen. In Nederland worden de boetebevoegdheden in de uitvoeringswet geregeld.

Begin uw gap-analyse vandaag, gratis

De snelste weg naar grip op de AI Act is een eerlijke nulmeting. Met de gratis AI Act-scan en AI-beleidsdocumenten van Opsio beantwoordt u in veertien stappen, ongeveer 40 minuten, vragen over uw AI-gebruik. Zodra u verzendt, krijgt u een volwassenheidsbeeld over tien domeinen en vier documenten die op uw antwoorden zijn gebaseerd: een AI-gebruiksbeleid, een AI governance-raamwerk, een Checklist AI-leveranciersbeoordeling en een Sjabloon AI-risicoanalyse. De vragen zijn in het Nederlands, de documenten worden in het Engels geleverd als bewerkbare Word-bestanden. Gratis, vrijblijvend, en de bestanden zijn van u.

Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744. Datums en gegevens over Nederlandse toezichthouders: stand oktober 2026.