AI Act checklist: alle stappen voor uw organisatie (2026)

Deze AI Act checklist zet alle verplichtingen uit de AI-verordening op een rij in de volgorde waarin u ze aanpakt: inventariseren, rol en risico bepalen, oplossen wat nu al geldt, governance vastleggen en hoog-risicotoepassingen voorbereiden. Per stap ziet u voor wie hij geldt en sinds of vanaf wanneer, met de datums na de digitale omnibus.

Het belangrijkste in het kort

• Vier verplichtingen gelden al voor vrijwel iedere organisatie: geen verboden AI-praktijken, maatregelen voor AI-geletterdheid, transparantie bij chatbots en deepfakes, en de AVG zodra er persoonsgegevens meegaan.
• De zwaarste eisen, voor AI-systemen met een hoog risico, gelden vanaf 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I).
• Uw rol bepaalt het werk: een aanbieder heeft veel meer verplichtingen dan een gebruiksverantwoordelijke.
• Leg elke keuze vast. Bij een vraag van de AP of een klantaudit is uw documentatie het bewijs.

Hoe gebruikt u deze checklist?

Loop de checklist per AI-systeem door, niet één keer voor de hele organisatie. Een webshop-chatbot, een selectietool voor vacatures en Copilot in Microsoft 365 leveren elk een ander antwoord op. Begin met de systemen die het meest raken aan klanten, sollicitanten of burgers. Wilt u de vragen liever beantwoorden en de uitkomst als documenten terugkrijgen, dan kunt u de gratis AI Act- en governance-scan van Opsio gebruiken; die vertaalt uw antwoorden naar een AI-beleid en drie andere governancedocumenten. Voor achtergrond bij elke stap verwijzen we naar de gidsen in ons overzicht van de AI-verordening.

Stap 1: inventariseren

• Maak een lijst van alle AI-systemen die u ontwikkelt, inkoopt of gebruikt, inclusief AI-functies in bestaande software (CRM, HR-pakket, servicedesk, kantoorsoftware).
• Vraag afdelingen welke tools medewerkers zelf gebruiken. Losse accounts bij chatdiensten, browserextensies en vergaderbots komen zelden via inkoop binnen.
• Noteer per systeem: doel, eigenaar, leverancier, welke gegevens erin gaan en wie door de uitkomst wordt geraakt.
• Gebruik het AVG-verwerkingsregister als startpunt; veel AI-toepassingen verwerken persoonsgegevens en staan daar al half in.

Hoe u schaduw-AI vindt en welke velden een goed register heeft, leest u in het artikel over shadow AI en het AI-register.

Stap 2: rol en risiconiveau bepalen

• Bepaal of u per systeem aanbieder bent (u ontwikkelt het of brengt het onder eigen naam op de markt) of gebruiksverantwoordelijke (u gebruikt het onder eigen verantwoordelijkheid). Importeur en distributeur komen minder vaak voor.
• Controleer of u ongemerkt aanbieder wordt: een hoog-risicosysteem onder eigen merk verkopen, het doel wezenlijk veranderen of het ingrijpend aanpassen.
• Toets elk systeem aan de verboden van artikel 5.
• Toets of het onder bijlage III valt (biometrie, kritieke infrastructuur, onderwijs, werk en personeel, essentiële diensten zoals krediet en verzekeringen, rechtshandhaving, migratie, rechtsbedeling) of een veiligheidscomponent is van een product onder bijlage I.
• Kijk of artikel 50 van toepassing is: interactie met mensen, synthetische content, emotieherkenning of deepfakes.
• Leg vast waarom u tot een classificatie komt, ook als de uitkomst 'minimaal risico' is.

Stap 3: regelen wat nu al geldt

Voor AI-geletterdheid heeft de Autoriteit Persoonsgegevens handreikingen met een meerjarig actieplan gepubliceerd. Hoe u dat in een opleidingsplan omzet, staat in onze gids over AI-geletterdheid volgens artikel 4. Voor chatbots en AI-labels kijkt u in de gids over artikel 50 en transparantie.

Stap 4: governance en beleid vastleggen

• Wijs een eigenaar voor AI-governance aan en leg vast wie nieuwe AI-toepassingen goedkeurt.
• Stel een AI-gebruiksbeleid op: goedgekeurde tools, informatie die nooit in een prompt mag, controle van output, verboden gebruik, incidenten melden.
• Richt een beoordelingsproces in voor nieuwe AI-tools, met privacy, beveiliging en leveranciersvragen.
• Neem AI-eisen op in inkoopvoorwaarden: gebruik van uw gegevens voor training, opslaglocatie, subverwerkers, logging en melding van wijzigingen in het model.
• Laat AI-incidenten via de bestaande meldroute lopen. Is er een datalek, dan geldt de meldplicht aan de AP binnen 72 uur.
• Betrek de ondernemingsraad tijdig als AI de manier van werken of het volgen van personeel raakt.
• Plan een periodieke herziening, minimaal jaarlijks.

Een uitgewerkte opbouw met voorbeeldbepalingen vindt u in AI-gebruiksbeleid opstellen. Wie wil weten waar de grootste gaten zitten, kan eerst een gap-analyse voor de AI Act doen.

Stap 5: hoog-risico-AI voorbereiden

Heeft u een systeem uit bijlage III, zoals een tool die sollicitanten rangschikt of een model voor kredietacceptatie, dan gelden vanaf 2 december 2027 extra plichten. Voor gebruiksverantwoordelijken (artikel 26):

• Gebruik het systeem volgens de gebruiksaanwijzing van de aanbieder.
• Wijs bekwame mensen aan voor menselijk toezicht, met tijd, kennis en bevoegdheid om in te grijpen.
• Zorg dat de inputdata die u zelf aanlevert relevant en voldoende representatief zijn.
• Monitor de werking en meld ernstige incidenten aan aanbieder en toezichthouder.
• Bewaar automatisch gegenereerde logs ten minste zes maanden.
• Informeer werknemers en hun vertegenwoordigers vóór gebruik op de werkplek, en informeer betrokkenen over wie een besluit wordt genomen.
• Overheidsorganisaties registreren hun gebruik in de EU-databank.
• Voer een FRIA uit als u een publieke organisatie bent, een private partij die openbare diensten levert, of kredietwaardigheid of verzekeringspremies beoordeelt. Overheden kunnen daarvoor het geactualiseerde IAMA gebruiken; zie FRIA en IAMA.

Bent u aanbieder van een hoog-risicosysteem, dan komen daar risicobeheer, datagovernance, technische documentatie, een kwaliteitsmanagementsysteem, conformiteitsbeoordeling, CE-markering en registratie bij. ISO/IEC 42001 kan als managementsysteem helpen, maar vervangt de wettelijke eisen niet.

Stap 6: toezicht en bewijs

• Weet welke toezichthouder bij u past. Volgens het voorstel voor de Uitvoeringswet AI-verordening is dat vaak de AP, voor financiële instellingen ook AFM en DNB, en voor producten de bestaande productinspecties.
• Bewaar een dossier per systeem: classificatie, risicoanalyse, leveranciersbeoordeling, opleidingsbewijs, transparantieteksten en logs.
• Houd het tijdpad bij. Stand oktober 2026 is de uitvoeringswet nog niet aangenomen; volg de consultatiepagina van de Uitvoeringswet AI-verordening en het nieuws van AP en RDI.

Veelgestelde vragen over de AI Act checklist

Waar begin ik met AI Act compliance?

Begin met een inventarisatie van al uw AI-gebruik, inclusief tools die medewerkers zelf hebben aangezet. Zonder overzicht kunt u rol en risico niet bepalen. Daarna regelt u eerst wat al geldt: verboden praktijken uitsluiten, AI-geletterdheid organiseren en transparantie bij chatbots en AI-content. Hoog-risicotoepassingen plant u daarna, met december 2027 als horizon.

Geldt deze checklist ook voor het mkb?

Ja, de AI-verordening kent geen algemene vrijstelling voor kleine bedrijven. Wel is het werk voor de meeste mkb-bedrijven beperkt, omdat ze gebruiksverantwoordelijke zijn van systemen met een laag risico. Voor kmo's gelden lagere boetemaxima, eenvoudiger documentatie voor aanbieders en voorrang bij de AI-testomgeving voor regelgeving.

Hoe vaak moet ik de checklist doorlopen?

Bij elk nieuw AI-systeem of elke belangrijke wijziging, en daarnaast minstens één keer per jaar voor het hele overzicht. AI-functies verschijnen vaak via updates van bestaande software, dus een jaarlijkse ronde langs leveranciers en afdelingen voorkomt dat uw register veroudert.

Moet ik een conformiteitsbeoordeling doen als ik alleen AI gebruik?

Nee. De conformiteitsbeoordeling en CE-markering zijn plichten van de aanbieder. Als gebruiksverantwoordelijke controleert u wel of het systeem die markering en een gebruiksaanwijzing heeft, en volgt u die aanwijzingen. U wordt pas zelf aanbieder als u het systeem ingrijpend wijzigt of onder eigen naam aanbiedt.

Wie controleert of ik voldoe?

In Nederland worden dat markttoezichtautoriteiten per domein. Het wetsvoorstel wijst de Autoriteit Persoonsgegevens aan voor onder meer verboden praktijken, transparantie en veel hoog-risicotoepassingen, met de RDI als centraal contactpunt en AFM en DNB voor de financiële sector. Tot de wet is aangenomen, is de precieze verdeling nog niet definitief.

Van checklist naar documenten

Een checklist laat zien wat er moet gebeuren; de documenten moet u nog schrijven. Met Opsio kunt u uw AI-beleid en governancedocumenten gratis laten opstellen: u beantwoordt in veertien stappen, ongeveer veertig minuten, vragen over uw AI-gebruik en ontvangt direct een AI-gebruiksbeleid, een AI governance-raamwerk, een checklist voor AI-leveranciersbeoordeling en een sjabloon voor AI-risicoanalyse, plus een volwassenheidsbeeld over tien domeinen. De vragen zijn in het Nederlands, de documenten worden in het Engels geleverd als bewerkbare Word-bestanden. Gratis, vrijblijvend, en de bestanden zijn van u.

Dit artikel is algemene informatie, geen juridisch advies. Raadpleeg de geconsolideerde tekst van Verordening (EU) 2024/1689, zoals gewijzigd bij Verordening (EU) 2026/1744. Datums en verplichtingen: stand oktober 2026.