Workflows · AI en IT-recht · IT-juristen, privacyjuristen en bedrijfsjuristen
AI-verordening: welke rol, welk risico, welke plichten?
- 6 rollen
- 8 fasen
- 1 akkoordmoment
- met tegenrol
- 6 bronnen
- 2 opleveringen
AI-act-classificatietoets
Zo is de toets opgezet
Hoe de stappen samenwerken
Na uw akkoord op afbakening en rol werken een jurist voor intellectueel eigendom en IT (IE/IT-jurist) en een compliance-analist tegelijk: de één kwalificeert, de ander vertaalt dat naar verplichtingen. Daarna valt de markttoezichthouder beide aan, en weegt een reviewer.
8 fasen, van intake tot oplevering. Klik op een fase of speel de doorloop af.
- specialist
- tegenrol
- uw akkoord
- naast elkaar = tegelijk
Intake
Wat u aanlevert en beantwoordt
- Systeemdocumentatie
- In welke rol treedt uw organisatie op?
- Toepassingsdomein
- Worden er met het systeem besluiten over personen genomen of voorbereid? · optioneel
- Zit er een generatief model of een model voor algemene doeleinden in? · optioneel
- Is het systeem al in gebruik of al op de markt gebracht? · optioneel
- Context en aandachtspunten · optioneel
Wat u niet weet, mag u als onbekend laten.
Ordent en weegt
Planner
Bakent systeem en gebruik af
Meer over deze stap
Bakent af welk systeem en welk gebruik worden getoetst en wat erbuiten valt, en zet de kwalificatievragen in volgorde: AI-systeem of niet, rol, verboden praktijk, hoog risico via het gebruiksdomein of via productwetgeving, transparantie, en een AI-model voor algemene doeleinden. Maakt van elk onbekend antwoord een onderzoeksvraag en noemt de stukken die ontbreken.
Na: Intake. Daarna: Plan-akkoord (afbakening en rol).
Hier tekent u af · Plan-akkoord (afbakening en rol)
U bepaalt welk systeem en welk gebruik worden getoetst
- Akkoord
- Bijsturen
- Afbreken
De run wacht tot u hebt besloten. Bijsturen kan alleen met een toelichting.
Wat u hier controleert
Dit is het scope-akkoord: u bepaalt welk systeem en welk gebruik worden getoetst. Controleer of de afbakening van het systeem klopt met de praktijk, of de rol waarin uw organisatie optreedt juist is gekozen, of het beschreven toepassingsdomein overeenkomt met wat er werkelijk gebeurt, en of elk onbekend gebleven antwoord als onderzoeksvraag is opgevoerd in plaats van als nee.
Het akkoordmoment staat direct na het plan. U controleert of de afbakening van het systeem klopt met de praktijk, of de rol van uw organisatie juist is gekozen, of het toepassingsdomein overeenkomt met wat er werkelijk gebeurt, en of elk onbekend antwoord als onderzoeksvraag is opgevoerd in plaats van als nee.
Het besluit wordt vastgelegd met wie, wanneer en in welke ronde, voordat de run verdergaat. Wacht de stap op u, dan krijgt u een melding in de app en, volgens uw meldingsvoorkeuren, per mail.
Onderzoekt
IE/IT-jurist
Beantwoordt de kwalificatievragen op wat het systeem doet
grijs = optioneelMeer over deze stap
Beantwoordt de kwalificatievragen in volgorde, op wat het systeem feitelijk doet: de definitie van een AI-systeem met de twijfelgevallen, de rol, verboden praktijken als eerste horde, het hoge risico via beide routes — met de uitzondering voor een systeem dat de uitkomst van de besluitvorming niet wezenlijk beïnvloedt — en de transparantieverplichtingen. Sluit af met een conclusie over rol en risico en de zekerheid daarvan.
Raadpleegt: EUR-Lex · Wetten.overheid.nl · Autoriteit Persoonsgegevens (AP) · Officiële Bekendmakingen (uit te zetten)
Na: Plan-akkoord (afbakening en rol). Daarna: Toezichthouder, Reviewer.
Onderzoekt
Compliance-analist
Zet de verplichtingen met eigenaar en bewijsstuk neer
grijs = optioneelMeer over deze stap
Zet per verplichting die bij rol en risico hoort een regel neer, met de status in uw organisatie — aantoonbaar, niet vastgelegd, gedeeltelijk, afwezig of niet van toepassing — de eigenaar en het bewijsstuk. Scheidt wat de leverancier moet leveren van wat contractueel moet worden afgedwongen, en zet de gaps op prioriteit.
Raadpleegt: EUR-Lex · NCSC (beveiligingsadviezen) (uit te zetten) · Autoriteit Persoonsgegevens (AP)
Na: Plan-akkoord (afbakening en rol). Daarna: Toezichthouder, Reviewer.
Tegenrol
Toezichthouder
Valt het dossier aan als de markttoezichthouder
grijs = optioneelMeer over deze stap
De tegenrol: de markttoezichthouder die het dossier opvraagt. Valt een te smalle afbakening aan, feiten die erop wijzen dat uw organisatie toch aanbieder is, een beroep op de uitzondering dat leunt op een mens die alleen aftekent, en elke status die op een verklaring rust in plaats van op een stuk.
Raadpleegt: EUR-Lex · Autoriteit Persoonsgegevens (AP) · Rechtspraak.nl (uit te zetten)
Na: IE/IT-jurist, Compliance-analist. Daarna: Reviewer.
Onderzoekt
Reviewer
Komt tot één eindkwalificatie met zekerheidsindicatie
Meer over deze stap
Komt tot één eindkwalificatie met per onderdeel een zekerheidsindicatie, controleert of elke verplichting in de matrix uit rol en risico volgt en of er geen ontbreekt, en benoemt welke tekortkomingen ingebruikname of voortzetting blokkeren. Maakt expliciet onderscheid tussen wat juridisch moet en wat verstandig is.
Raadpleegt: EUR-Lex · Wetten.overheid.nl
Na: IE/IT-jurist, Compliance-analist, Toezichthouder. Daarna: Redacteur.
Ordent en weegt
Redacteur
Stelt het classificatiememo en de verplichtingenmatrix op
Meer over deze stap
Stelt het classificatiememo op, met de eindkwalificatie, de zekerheid en de blokkerende tekortkomingen op de eerste pagina, en de verplichtingenmatrix. Neemt geen datum, termijn of boetebedrag op dat niet uit een geraadpleegde bron komt.
Na: Reviewer. Daarna: AI-act-toets.
Oplevering
- Classificatiememo AI-actMemo (.docx)
- VerplichtingenmatrixTabel / matrix
Waarom
Een marketingterm is geen kwalificatie.
Een systeem wordt ingekocht of gebouwd, en iemand vraagt of de AI-verordening erop van toepassing is. Dat hangt af van wat het systeem feitelijk doet en waarvoor het wordt gebruikt, niet van hoe de leverancier het noemt. Bij toezicht telt daarna één vraag: kunt u het aantonen? Deze workflow houdt kwalificatie, verplichtingen en bewijs daarom uit elkaar.
De praktijkvraag uitgebreid
Een systeem wordt ingekocht of gebouwd, en iemand vraagt of de AI-verordening erop van toepassing is. Deze workflow bakent systeem en gebruik af, toetst rol, verboden praktijken, hoog risico en transparantie, zet de verplichtingen in een matrix met eigenaar en bewijsstuk, en leest het dossier tegen zoals de markttoezichthouder dat zou doen.
Of een toepassing onder de AI-verordening valt, en hoe zwaar, hangt af van wat het systeem feitelijk doet en waarvoor het wordt gebruikt — niet van hoe de leverancier het noemt. Is het een AI-systeem in de zin van de verordening, of regelgestuurde software? Treedt uw organisatie op als gebruiksverantwoordelijke, of door eigen naam of merk of een substantiële wijziging toch als aanbieder? Valt het gebruik onder een verboden praktijk, of in een domein waarvoor de verordening een hoog risico aanneemt?
En dan de vraag die bij toezicht telt: kunt u het aantonen? Deze workflow houdt kwalificatie, verplichtingen en bewijs uit elkaar, en houdt de AI-verordening gescheiden van gegevensbescherming en sectorale regels: waar die sporen raken, wijst hij ze aan zonder de toetsen te vermengen.
Bronnen
Welke bronnen de workflow raadpleegt
- EUR-Lex
- Wetten.overheid.nl
- Autoriteit Persoonsgegevens (AP)
- Officiële Bekendmakingenoptioneel
- NCSC (beveiligingsadviezen)optioneel
- Rechtspraak.nloptioneel
Welke stap welke bron raadpleegt
De tekst van de verordening komt uit EUR-Lex; die bron raadplegen de jurist, de compliance-analist, de toezichthouder en de reviewer. De IE/IT-jurist werkt daarnaast met de wet en de informatie van de Autoriteit Persoonsgegevens (AP); de Officiële Bekendmakingen doen standaard mee en kunt u in de intake uitzetten. De compliance-analist raadpleegt ook de AP, en daarnaast de beveiligingsadviezen van het Nationaal Cyber Security Centrum (NCSC); die doen standaard mee en zijn uit te zetten. De toezichthouder raadpleegt de AP, en bij hem doet rechtspraak standaard mee en is uit te zetten. Planner en redacteur werken met de systeemdocumentatie en wat de andere stappen aanleveren.
De AI-verordening wordt gefaseerd van toepassing en aangevuld met uitvoeringshandelingen, normen en richtsnoeren. De workflow gaat per verplichting na of zij al geldt; een datum die niet in een geraadpleegde bron staat, komt in het memo als te controleren punt. “Optioneel” staat standaard aan en is in de intake uit te zetten. Een workflow verschijnt alleen als de verplichte bronnen in uw abonnement zitten; welke workflows u in beeld krijgt, hangt af van uw praktijk, uw abonnement en de bronnen die de workflow nodig heeft.
Wat eruit komt
Een memo voor het bestuur, een matrix voor de uitvoering
- Classificatiememo AI-act · Memo (.docx)
- Verplichtingenmatrix · Tabel / matrix
Wat erin staat
Het classificatiememo opent met de eindkwalificatie — AI-systeem of niet, rol, verbod, risico, transparantieverplichtingen — de zekerheid en de blokkerende tekortkomingen, zo geschreven dat een bestuurder de samenvatting begrijpt en een jurist de onderbouwing kan controleren. De verplichtingenmatrix zet per verplichting de grondslag, wie aan zet is, de status, het bewijsstuk, de gap en de prioriteit naast elkaar.
De grens
Wat deze workflow niet doet
Hij vervangt geen conformiteitsbeoordeling: hij kwalificeert en zet de verplichtingen op een rij. Hij werkt met de systeemdocumentatie die u meegeeft; wat het systeem buiten die stukken doet, ziet hij niet. En gegevensbescherming en sectorale regels toetst hij niet mee: hij wijst aan waar ze raken.
Veelgestelde vragen
Werkt de toets voor een systeem dat we inkopen?
Ja. In de intake kiest u de rol: aanbieder, gebruiksverantwoordelijke, of importeur of distributeur. De jurist toetst daarna of uw organisatie door eigen naam of merk, een substantiële wijziging of een ander beoogd doel toch als aanbieder geldt, en de compliance-analist zet apart wat de leverancier moet leveren en wat in het contract moet worden afgedwongen.
Wat als er een generatief model in zit?
Dat vraagt de intake. De jurist betrekt dan de transparantieverplichtingen, onder meer voor gegenereerde of gemanipuleerde inhoud, en bij een AI-model voor algemene doeleinden de verplichtingen die daarvoor gelden en wie in de keten aan zet is.
Het systeem is al in gebruik. Wat dan?
Ook dat vraagt de intake. De compliance-analist zet eerst de tekortkomingen die ingebruikname blokkeren, dan wat bij toezicht direct opvalt, dan de rest; de reviewer benoemt welke tekortkomingen een blokkade vormen voor voortzetting.
Toetst de workflow ook de Algemene verordening gegevensbescherming (AVG)?
Nee. De jurist benoemt waar het systeem raakt aan gegevensbescherming — grondslag, geautomatiseerde besluitvorming, een effectbeoordeling — maar vermengt die toets niet met de AI-verordening. Voor een gegevensbeschermingseffectbeoordeling is er een aparte DPIA-workflow.
Start LEO de workflow zelf?
Nee. Een workflow start alleen als u de intakekaart zelf bevestigt. LEO kan de kaart vanuit het gesprek voorinvullen, maar kiest de dossierstukken niet zelf en kan een run niet zelf starten.
Kunnen we de opzet aanpassen aan de werkwijze van ons kantoor?
Ja. U kunt het sjabloon kopiëren tot een eigen workflow en die in de workfloweditor aanpassen met stappen, beslispunten en menselijke controles. De kopie krijgt alleen bronnen die in uw abonnement zitten.
De AI-act-toets in uw eigen organisatie zien?
Laat uw naam en e-mailadres achter; we nemen contact op voor een demo met een geanonimiseerde systeembeschrijving.
GDPR-compliant
Verwerking volledig binnen de AVG. Uw cliëntdata wordt nooit gebruikt om AI-modellen te trainen.
Opslag in de EU
Eigen servers in EU-datacenters (Duitsland en Finland) — geen hyperscaler. TLS 1.2+ in transport en een volledig versleuteld datavolume (LUKS2 full-disk) op elke productiehost, waar ook de back-ups staan.
ISO 27001 en NEN 7510 gecertificeerd
Prudai is gecertificeerd volgens ISO/IEC 27001:2022 en NEN 7510-1:2024. Afgegeven door Brand Compliance, geaccrediteerd door de Raad voor Accreditatie (RvA C 548), en geldig tot en met 29 september 2029. Scope en details in ons Trust Center.
Alle details, subverwerkers en documentatie: trust.prudai.com