De AI-verordening voor overheidsorganisaties: wat u vóór december 2027 voorbereidt

01Waar we staan in het najaar van 2026

De AI-verordening (opent een externe website), Verordening (EU) 2024/1689, is op 1 augustus 2024 in werking getreden en wordt gefaseerd van toepassing. In juli 2026 nam de EU de zogenoemde Digital Omnibus over AI aan, Verordening (EU) 2026/1744 (opent een externe website), die de regels voor hoog risico uitstelde en een aantal andere bepalingen wijzigde. Die verordening trad op 27 juli 2026 in werking, enkele dagen vóór de oorspronkelijke datum voor hoog risico.

Het resultaat is een tijdlijn waarin sommige verplichtingen al gelden, andere eind dit jaar volgen en de zwaarste voor overheden als gebruiksverantwoordelijke in december 2027 komen.

De Omnibus herschreef ook artikel 4 over AI-geletterdheid. Aanbieders en gebruiksverantwoordelijken moeten nu maatregelen nemen om de AI-geletterdheid van hun personeel te ondersteunen, in plaats van te zorgen voor een toereikend niveau ervan. De plicht blijft; wat u moet kunnen aantonen, is veranderd. Opleiding die bij elke rol past, en een registratie daarvan, blijft het verstandige antwoord.

02Bent u aanbieder of gebruiksverantwoordelijke?

De meeste overheidsorganisaties zijn gebruiksverantwoordelijke (in het Engels deployer): ze gebruiken een AI-systeem onder hun eigen verantwoordelijkheid. U bent aanbieder wanneer u een AI-systeem ontwikkelt of laat ontwikkelen en het onder uw eigen naam in gebruik neemt. Dat geldt ook voor systemen die intern of door een opdrachtnemer volgens uw specificaties zijn gebouwd.

Rollen kunnen ook verschuiven. Volgens artikel 25 neemt een gebruiksverantwoordelijke die een systeem met een hoog risico ingrijpend wijzigt, of het beoogde doel ervan zo verandert dat het een hoog risico krijgt, de verplichtingen van een aanbieder over. Leg de beoogde rollen vast in uw inkoopdocumenten en contracten, zodat niemand ze pas tijdens een audit ontdekt.

03Welke van uw toepassingen hebben een hoog risico?

Bijlage III somt de gebieden op waarin AI-systemen als systemen met een hoog risico gelden. Voor overheidsorganisaties zijn de belangrijkste:

• Toegang tot essentiële overheidsdiensten en uitkeringen: beoordelen of iemand er recht op heeft, en uitkeringen en diensten toekennen, verminderen, intrekken of terugvorderen.
• Migratie, asiel en grenstoezicht, rechtshandhaving en rechtsbedeling.
• Onderwijs en beroepsopleiding: toelating, beoordeling van leerresultaten, toezicht tijdens examens.
• Werkgelegenheid: werving, promotie, taaktoewijzing en monitoring van personeel. Ook overheidsorganisaties zijn werkgever.
• Kritieke infrastructuur: veiligheidscomponenten in het beheer van digitale infrastructuur, wegverkeer en nutsvoorzieningen.

Dat een systeem onder een gebied uit bijlage III valt, is niet het einde van de analyse. Volgens artikel 6, lid 3, heeft een systeem in zo’n gebied geen hoog risico wanneer het geen significant risico op schade inhoudt, bijvoorbeeld omdat het een beperkte procedurele taak uitvoert, het resultaat verbetert van werk dat een mens al heeft afgerond, patronen detecteert zonder de menselijke beoordeling te vervangen, of een voorbereidende taak uitvoert. Een systeem dat aan profilering van personen doet, heeft altijd een hoog risico. Doet u een beroep op deze uitzondering, documenteer dan de redenering.

Veel nuttige tools hebben helemaal geen hoog risico: ondersteuning bij het opstellen van teksten, intern zoeken in kennis, vertalen, samenvatten. De transparantieverplichtingen en de AVG blijven gelden, maar het regime voor hoog risico niet.

04Wat gebruiksverantwoordelijken van systemen met een hoog risico moeten doen

Vanaf 2 december 2027 heeft een overheidsorganisatie die een systeem met een hoog risico uit bijlage III inzet, verplichtingen op grond van artikel 26 (opent een externe website). De belangrijkste:

• Gebruik het systeem volgens de gebruiksaanwijzing van de aanbieder, met passende technische en organisatorische maatregelen.
• Draag het menselijk toezicht op aan mensen met de nodige bekwaamheid, opleiding en bevoegdheid, en geef hun de nodige ondersteuning.
• Zorg dat inputdata waarover u zeggenschap hebt, relevant en voldoende representatief zijn voor het beoogde doel.
• Monitor de werking, en informeer de aanbieder en de autoriteiten zonder onnodige vertraging over risico’s en ernstige incidenten.
• Bewaar de automatisch gegenereerde logs ten minste zes maanden, tenzij ander Unierecht of nationaal recht iets anders bepaalt.
• Informeer werknemersvertegenwoordigers en betrokken medewerkers voordat u een systeem met een hoog risico op de werkvloer gebruikt.
• Registreer als overheidsinstantie uw gebruik van het systeem in de EU-databank voordat u het in gebruik neemt (artikel 26, lid 8, en artikel 49). Een niet-geregistreerd systeem mag niet worden gebruikt.
• Informeer mensen wanneer een systeem met een hoog risico wordt gebruikt om beslissingen over hen te nemen of daarbij te helpen (artikel 26, lid 11). Mensen hebben ook recht op uitleg over individuele besluiten (artikel 86).

De beoordeling van de gevolgen voor de grondrechten

Volgens artikel 27 (opent een externe website) voeren publiekrechtelijke organen, en private organisaties die openbare diensten verlenen, een beoordeling van de gevolgen voor de grondrechten uit (vaak FRIA genoemd, naar het Engelse fundamental rights impact assessment) voordat ze de meeste systemen uit bijlage III voor het eerst gebruiken. Systemen voor kritieke infrastructuur zijn uitgezonderd. De beoordeling beschrijft:

1. 01de processen waarin het systeem wordt gebruikt, in lijn met het beoogde doel;
2. 02de periode en de frequentie van het gebruik;
3. 03de categorieën van personen en groepen die waarschijnlijk worden geraakt;
4. 04de specifieke risico’s op schade voor die personen;
5. 05hoe het menselijk toezicht is ingericht;
6. 06wat er gebeurt als risico’s zich voordoen, inclusief interne governance en klachtenregelingen.

U meldt de resultaten aan de markttoezichtautoriteit. De beoordeling vult een gegevensbeschermingseffectbeoordeling (DPIA) op grond van artikel 35 van de AVG aan en kan erop voortbouwen, dus voer beide samen uit. Artikel 27, lid 5, vraagt het AI-bureau een sjabloon voor een vragenlijst te leveren; controleer de stand van zaken voordat u er zelf een ontwerpt. Sommige landen hebben al methoden, zoals het Impact Assessment Mensenrechten en Algoritmes (IAMA) van de Nederlandse overheid.

05Transparantieverplichtingen die nu al gelden

Sinds 2 augustus 2026 geldt artikel 50. Aanbieders moeten systemen die met mensen interageren zo ontwerpen dat die mensen weten dat ze met een AI-systeem te maken hebben, tenzij dat duidelijk is, en moeten synthetische inhoud machineleesbaar markeren. Gebruiksverantwoordelijken moeten deepfakes als zodanig bekendmaken, en ook door AI gegenereerde of gemanipuleerde tekst die wordt gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, tenzij een mens de tekst heeft gecontroleerd en iemand de redactionele verantwoordelijkheid draagt.

Voor een overheidsorganisatie is het meest voorkomende geval een chatassistent op een website of in een dienstverleningskanaal. Zeg duidelijk dat het om een AI-systeem gaat, leg uit waarmee het wel en niet kan helpen, en bied een weg naar een mens.

06Een voorbereidingsplan voor 2026 en 2027

1. 01Inventaris, nu. Breng elk AI-systeem in kaart dat in gebruik is of wordt aangeschaft, ook AI-functies in platformen waarvoor u al licenties hebt. Leg eigenaar, doel, aanbieder, gebruikte gegevens en de betrokken personen vast.
2. 02Indelen, uiterlijk begin 2027. Verboden, hoog risico (met de redenering onder artikel 6, lid 3, gedocumenteerd), alleen transparantie, of minimaal risico. Leg per systeem uw rol als aanbieder of gebruiksverantwoordelijke vast.
3. 03Contracten op orde, in de loop van 2027. Vraag aanbieders om gebruiksaanwijzingen, conformiteitsdocumentatie en toegang tot logs. Neem ondersteuning bij uw grondrechtenbeoordeling en bij het melden van incidenten op als contractvoorwaarde.
4. 04Toezicht ontwerpen. Benoem de rollen, leid de mensen op, geef ze de bevoegdheid om in te grijpen en een escalatiepad. Ontwerp tegen automation bias; ons artikel over waar AI-agents menselijke goedkeuring nodig hebben laat zien hoe.
5. 05Logging en monitoring inrichten. Bewaar logs ten minste zes maanden, en leg vast wat als ernstig incident geldt en wie het meldt.
6. 06Vóór het eerste gebruik. Voer de beoordeling van de gevolgen voor de grondrechten samen met de DPIA uit, registreer in de EU-databank, en informeer medewerkers en de betrokken personen.
7. 07Blijf werken aan AI-geletterdheid. Rolgerichte opleiding voor gebruikers, beoordelaars en beslissers, opgefrist wanneer systemen veranderen, met een registratie van wie is opgeleid.

07Sancties en handhaving

De lidstaten stellen de regels voor sancties vast. Artikel 99, lid 8, laat elke lidstaat bepalen of, en in welke mate, administratieve geldboeten kunnen worden opgelegd aan overheidsinstanties en -organen die in die lidstaat zijn gevestigd. Dat is geen reden om af te wachten. Markttoezichtautoriteiten kunnen nog steeds corrigerende maatregelen eisen, en de legitimiteit van een overheidsbesluit hangt af van de vraag of het kan worden uitgelegd en aangevochten.

08Waar u de komende maanden op let

• Richtsnoeren van de Commissie over de indeling van systemen met een hoog risico (artikel 6, lid 5), en haar bestaande richtsnoeren over verboden praktijken (opent een externe website).
• Geharmoniseerde normen voor de eisen aan systemen met een hoog risico, waarmee aanbieders de conformiteit zullen aantonen.
• De aanwijzing van markttoezichtautoriteiten in uw lidstaat, en hun eerste richtsnoeren voor overheden als gebruiksverantwoordelijke.
• Het sjabloon van het AI-bureau voor de beoordeling van de gevolgen voor de grondrechten.

De AI Act Service Desk (opent een externe website) van de Europese Commissie houdt de officiële tijdlijn en de toelichting per artikel actueel (in het Engels). Bewaar de link, en zet een datum op elke interne notitie die u over de verordening schrijft: deze tekst is nog in beweging.