AI Act voor deployers: jouw verplichtingen als gebruiker van AI.
Een deployer is onder de AI Act elke organisatie die een AI-systeem onder eigen gezag gebruikt, en dat is de meest voorkomende rol in het MKB. Bij high-risk AI gelden de twaalf leden van Artikel 26, waaronder human oversight door bekwame personen, monitoring en logbewaring van minimaal zes maanden. Artikel 4 AI-geletterdheid geldt daarnaast voor alle deployers, ook bij minimal-risk AI. Begin daarom bij de vraag of jouw systeem high-risk is; dat bepaalt of Artikel 26 in beeld komt.
De meest voorkomende rol in het MKB.
De meeste bedrijven in het MKB gebruiken AI die door iemand anders is gebouwd. Een recruiter die AI-screening-tool inzet, een klantenservice met chatbot, een finance-team met fraudedetectie, een marketing-afdeling met generatieve AI. In de taal van de AI Act ben je dan deployer: een natuurlijke of rechtspersoon die een AI-systeem onder eigen gezag gebruikt, behalve bij persoonlijk niet-professioneel gebruik (Artikel 3 sub 4).
Deployer-verplichtingen zijn lichter dan aanbieder-verplichtingen (geen technische documentatie, geen conformity assessment), maar ze zijn niet licht. Artikel 26 bevat twaalf specifieke leden voor high-risk AI. Daarnaast: Artikel 4 AI-geletterdheid voor alle deployers, Artikel 5 check op verboden praktijken, Artikel 50 transparantie voor specifieke systemen, en voor sommige deployers Artikel 27 Fundamental Rights Impact Assessment (FRIA).
Deze pagina geeft een complete praktische gids door alle deployer-verplichtingen. Met visuele overzichten van de 12 Artikel 26-leden, scope-vergelijking per risico-categorie, FRIA-beslisschema, Artikel 25-flow voor wanneer deployer aanbieder wordt, en een master-checklist per deployer-profiel. Voor context: zie ook AI Act-roadmap voor MKB, Artikel 5 en Artikel 50.
De 12 verplichtingen voor deployers van high-risk AI.
Alleen van toepassing op deployers van high-risk AI-systemen. Voor minimal-risk en transparantie-eis AI gelden andere, lichtere verplichtingen (zie verderop).
Welke verplichtingen gelden voor mijn systeem?
Deployer-verplichtingen schalen met risico-niveau. Deze matrix toont welke artikelen wanneer van toepassing zijn.
| Verplichting | Verboden (Art 5) | High-risk | Transparantie (Art 50) | Minimal-risk |
|---|---|---|---|---|
| Artikel 5 check (niet verboden) | verboden | ✔ | ✔ | ✔ |
| Artikel 4 AI-geletterdheid | n.v.t. | ✔ | ✔ | ✔ |
| Artikel 26 (alle 12 leden) | n.v.t. | ✔ | × | × |
| Artikel 27 FRIA | n.v.t. | deels | × | × |
| Artikel 49 registratie EU-database | n.v.t. | publiek | × | × |
| Artikel 50 lid 3 (emotie/biometrie) | n.v.t. | indien | ✔ | × |
| Artikel 50 lid 4 (deepfakes) | n.v.t. | indien | ✔ | × |
| Artikel 73 ernstig incident-melding | n.v.t. | ✔ | deels | × |
| AVG DPIA (indien persoonsgegevens) | n.v.t. | indien | indien | indien |
Legenda: ✔ altijd van toepassing; deels/indien voorwaardelijk; × niet van toepassing. "Indien" betekent: van toepassing wanneer het systeem het specifieke kenmerk heeft (bijv. emotieherkenning).
Moet ik een FRIA uitvoeren?
Artikel 27 bepaalt welke deployers een Fundamental Rights Impact Assessment moeten uitvoeren voor inzet van high-risk AI. Vier vragen.
FRIA-inhoud: beschrijving processen, gebruik-timeline, getroffen bevolking, specifieke schade, human oversight, mitigaties, klachten-procedures. Timing: voor eerste inzet, rapporteren aan markttoezichtautoriteit via AI Office-template.
Wanneer wordt deployer aanbieder?
Artikel 25 bepaalt drie scenario's waarin deployer automatisch aanbieder-verplichtingen overneemt. Gevolgen zijn substantieel; let op bij elke AI-aanpassing.
MKB-aandachtspunten. Drie veelvoorkomende situaties waarbij deployer ongewild aanbieder wordt. Eerste: re-branding van ingekocht AI-product onder eigen merk voor eigen klanten. Tweede: fine-tuning van GPAI-model (zoals OpenAI, Anthropic) op eigen data voor specifieke use-case, waarbij nieuwe inzetcontext ontstaat. Derde: configuratie of integratie van bestaand AI-systeem met eigen componenten tot nieuw samengesteld systeem. In alle drie kan Artikel 25 triggeren; bespreek met leverancier wie welke rol heeft en leg dat contractueel vast.
Deployer-compliance checklist.
Gebruik als werklijst. Niet elk punt is op elke deployer van toepassing; streep door wat niet relevant is. Koppel elk punt aan eigenaar en deadline.
- AI-systemen in register: doel, type, aanbieder, gebruikers
- Rol per systeem bepaald (deployer/aanbieder)
- Risico-klasse per systeem bepaald
- Artikel 5-check uitgevoerd en gedocumenteerd
- AI-geletterdheid training voor alle gebruikers (Art 4)
- Rol-specifieke verdieping voor leidinggevenden
- Training-register met deelnemers en datum
- Jaarlijkse AI-geletterdheid update
- AI-beleid door directie vastgesteld
- Contract met AI-leverancier bevat AI Act-clausules
- AVG-check: rechtsgrond, informatieplicht, DPIA
- Incident-meldproces ingericht (Art 73 waar high-risk)
- Instructions for Use (IFU) van aanbieder ontvangen en begrepen
- Technische en organisatorische maatregelen conform IFU (lid 1)
- Human oversight-persoon benoemd met mandaat (lid 2)
- Oversight-persoon heeft competentie, training, autoriteit (lid 2)
- Oversight-persoon heeft ondersteuning om te interveneren (lid 2)
- Input-data-kwaliteit gecontroleerd waar deployer controle heeft (lid 4)
- Monitoring-proces actief en gedocumenteerd (lid 5)
- Escalatie-procedure bij risico of ernstig incident (lid 5)
- Opschort-procedure bij non-compliance (lid 5)
- Logs-bewaring minimaal 6 maanden geimplementeerd (lid 6)
- Werknemers-vertegenwoordigers geinformeerd voor inzet (lid 7)
- Betrokken werknemers individueel geinformeerd (lid 7)
- Publieke instantie: EU-database-registratie (lid 8)
- Aanbieder-info gebruikt voor DPIA (lid 9)
- Betrokken personen geinformeerd over AI-toepassing (lid 11)
- Cooperation-procedure met toezichthouder (lid 12)
- FRIA-plicht beoordeeld: publiek, publieke-dienst of Annex III 5(b)/5(c)
- FRIA-template van AI Office of branche-versie geadopteerd
- Beschrijving van processen waar AI werkt
- Gebruik-timeline en -frequentie gedocumenteerd
- Getroffen bevolking-categorieen geidentificeerd
- Specifieke schade-risico's voor fundamentele rechten
- Human oversight-implementatie beschreven
- Mitigerende maatregelen per risico
- Klachten-procedure ingericht
- FRIA uitgevoerd VOOR eerste inzet
- Rapportage aan markttoezichtautoriteit
- Review en update bij wijzigingen
- Chatbot: AI-identificatie-disclosure (Art 50(1) aanbieder-plicht; check wie)
- Emotie/biometrische categorisering: notificatie + AVG (Art 50(3))
- Deepfakes: zichtbaar label bij publicatie (Art 50(4))
- AI-tekst publiek belang: disclosure of eindredactie documenteren (Art 50(4))
- GPAI-inzet: check aanbieder voldoet aan Art 53/55
- Substantiele modificatie risico: contract-check (Art 25)
- Werkplek-AI: check Art 5(f) emotie-verbod
- Biometrische ID publieke ruimte: Art 5(h) check
- Kredietwaardigheid-AI: Annex III 5(b) FRIA-plicht
- HR-selectie-AI: Annex III punt 4, high-risk
- Onderwijs-AI: Annex III punt 3, high-risk plus Art 5(f) voor emotie
Wat kost non-compliance voor deployers?
Artikel 26 en 27 overtredingen vallen onder Artikel 99 lid 4: de middentier met administratieve geldboete tot 15 miljoen euro of, bij ondernemingen, tot 3% van totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Artikel 5-overtredingen (verboden praktijken) zijn zwaarder gestraft onder Artikel 99 lid 3 tot 35 miljoen of 7%. Artikel 99 lid 6 biedt MKB-uitzondering: laagste van beide bedragen.
Toezicht ligt in Nederland bij de Autoriteit Persoonsgegevens als coordinerend AI Act-toezichthouder, plus sectorale toezichthouders binnen hun domein (AFM, DNB, IGJ, NVWA, ACM, RDI, NZa). Een MKB-deployer in gereguleerde sector heeft typisch met twee toezichthouders te maken: sectoraal plus AP. Zie onze toezichthouders-pagina voor complete verdeling.
Gerelateerde risico's.
Naast AI Act-boetes zijn er parallelle risico's. AVG-boetes tot 20 miljoen of 4% wereldomzet bij persoonsgegevens-overtredingen. Arbeidsrecht-claims van werknemers die niet tijdig geinformeerd waren (Art 26 lid 7). Civielrechtelijke aansprakelijkheid bij schade door AI-beslissingen. Reputatie-schade bij publicatie van overtreding door toezichthouder (publicatiebevoegdheid). Voor MKB: de grootste kosten zitten vaak niet in de boete zelf maar in de parallelle gevolgen.
Vijf fouten die MKB-deployers maken.
1. Aanname dat alleen aanbieder compliant hoeft te zijn.
Vaak hoor je: 'wij gebruiken alleen AI, dus compliance is aanbieder-probleem'. Fout. Artikel 26 en 27 richten zich expliciet op deployer. Ook Art 4 AI-geletterdheid, Art 5 verboden-check, Art 50 transparantie zijn deployer-verplichtingen. Eigen compliance-inrichting is noodzakelijk.
2. IFU van aanbieder niet gelezen.
Instructions for Use bevatten beoogd gebruik, limitaties, oversight-maatregelen, onderhouds-instructies. Art 26 lid 1 vereist gebruik conform IFU. Zonder lezen: automatische non-compliance. Plan tijd voor IFU-studie bij onboarding van elk high-risk AI-systeem.
3. Human oversight afvinken.
'Wij hebben een verantwoordelijke aangewezen' is niet genoeg. Art 26 lid 2 vereist competentie, training, autoriteit en ondersteuning. Aangewezen persoon moet AI-output kunnen beoordelen, bevoegd zijn om te overrulen, gesteund worden bij twijfel. Anders is oversight-verplichting niet vervuld.
4. Werknemers niet tijdig informeren.
Art 26 lid 7 vereist informatie VOOR inzet aan werknemers-vertegenwoordigers (OR/vakbond) en betrokken werknemers. Na inzet informeren is te laat. Combineert met WOR-rechten (instemming bij nieuwe technologie). Plan communicatie in projectplan, niet als afterthought.
5. Logs-bewaring onderschatten.
Art 26 lid 6 minimaal 6 maanden. Veel deployers hebben geen log-architectuur voor AI (wat input, wat output, wanneer, welke versie). Bij incident: niets te reconstrueren. Richt log-architectuur in fase 4 van roadmap in, niet na eerste incident.
Over deployer-verplichtingen.
Wie is deployer onder de AI Act?
Artikel 3 sub 4: natuurlijke of rechtspersoon die AI-systeem onder eigen gezag gebruikt, behalve bij persoonlijke niet-professionele activiteit. In praktijk: elke organisatie die AI inzet in haar bedrijfsvoering.
Welke verplichtingen heeft een deployer van high-risk AI?
Artikel 26 bevat 12 leden: technische maatregelen conform IFU, human oversight met competentie, input-data-kwaliteit, monitoring en melding, logs 6+ maanden, werknemers informeren, EU-database (publiek), DPIA-input, post-biometrie-autorisatie, betrokken personen informeren, cooperation.
Wanneer moet ik FRIA uitvoeren?
Artikel 27: publieke instanties, private entiteiten die publieke diensten leveren, en elke deployer van Annex III punt 5(b) kredietwaardigheid of 5(c) levens-/zorgverzekering. Uitzondering: Annex III punt 2 kritieke infrastructuur. Voor eerste inzet uitvoeren.
Hoe lang AI-logs bewaren?
Art 26 lid 6: minimaal 6 maanden, langer indien toepasselijk Unierecht/lidstaatrecht (m.n. AVG) vereist. Voor financieel/medisch/HR: soms langer door sectorale regulering.
Moet ik werknemers informeren?
Ja. Art 26 lid 7: voor werkplek-deployment werknemers-vertegenwoordigers en betrokken werknemers informeren voorafgaand aan inzet. Art 26 lid 11: betrokken personen informeren. Overlap met AVG Art 13/14 en WOR.
Word ik aanbieder als ik AI aanpas?
Art 25: ja in drie scenario's, eigen naam/merk op high-risk AI. Substantiele modificatie terwijl high-risk blijft, beoogd doel aanpassen waardoor risico-klasse wijzigt. Gevolg: alle aanbieder-verplichtingen.
Verplichtingen voor minimal-risk AI?
Beperkt: Art 4 AI-geletterdheid, Art 5 verboden-check, AVG bij persoonsgegevens, Art 50 indien chatbot of synthetische content. Geen Art 26 of 27, goede praktijk: basis-governance alsnog.
Wat kost deployer-compliance?
Minimal-risk: 5.000-13.000 euro initieel, transparantie-eis: 10.000-27.000 euro. High-risk met Art 26: 20.000-70.000 euro, plus 10-25% jaarlijks. Integratie met AVG/ISO kan 20-35% besparen.
Wat contractueel met AI-leverancier regelen?
Zes punten: Art 5-verbod-verklaring, risico-classificatie vastgelegd, IFU-levering, post-market cooperation, modificatie-afspraken Art 25, incident-rapportage. Plus AVG-verwerkersovereenkomst, SLA, logs-afstemming.
Welke toezichthouder controleert deployers?
In Nederland: Autoriteit Persoonsgegevens coordinerend, plus sectorale (AFM, DNB, IGJ, NVWA, ACM, RDI, NZa). MKB in gereguleerde sector heeft twee toezichthouders.
Opgesteld met AI-ondersteuning door de redactie van Prometheus21, laatst bijgewerkt op 7 september 2026. Hoe wij content maken
Deployer-compliance op maat.
Prometheus21 voert deployer-assessments uit voor MKB 10-250 FTE. Classificatie per AI-systeem, Art 26-gap-analyse, FRIA waar nodig, integratie met AVG en eventueel ISO 27001/42001. Werkbare uitvoering zonder papieren tijger.
Plan een deployer-assessment