AI documentatie verplichtingen: Artikel 11 en 13 uitgelegd

Afhankelijk van rol en risicoklasse. Aanbieders van high-risk AI: volledig technisch dossier volgens Annex IV (Artikel 11), instructions for use (Artikel 13), automatisch gegenereerde logs-mechanisme (Artikel 12), Quality Management System-documentatie (Artikel 17), EU-verklaring van overeenstemming (Artikel 47), post-market monitoring-plan (Artikel 72). Deployers van high-risk AI: logs bewaren, lokaal dossier met gebruikte AI-systemen en human oversight-procedures, FRIA waar vereist (Artikel 27). Voor transparantie-eis-systemen (Artikel 50, limited risk): bewijs van implementatie van disclosures. Voor minimal-risk: alleen algemene governance-documentatie wenselijk.

Annex IV lijst op wat in de technische documentatie voor high-risk AI moet staan. Negen hoofdsecties. Een: algemene beschrijving van het AI-systeem, inclusief doel en aanbieder-identiteit. Twee: gedetailleerde beschrijving van elementen en ontwikkelingsproces. Drie: informatie over monitoring, werking en controle. Vier: beschrijving van performance-metrics en waarom ze passend zijn. Vijf: risk management systeem (Artikel 9). Zes: beschrijving van relevante wijzigingen tijdens lifecycle. Zeven: lijst van toegepaste harmonised standards. Acht: kopie EU-verklaring van overeenstemming. Negen: gedetailleerde beschrijving post-market monitoring-systeem. De exacte reikwijdte per sectie is in Annex IV uitgewerkt met subitems. Voor MKB-aanbieders van high-risk AI is dit een substantieel documentatiepakket; doorgaans 40-120 paginas.

Artikel 13, lid 3 specificeert acht onderdelen voor de instructions for use (IFU) die aanbieders aan deployers moeten verstrekken. Een: identiteit en contactgegevens van de aanbieder en eventuele gevolmachtigde. Twee: kenmerken, mogelijkheden en prestatie-beperkingen van het AI-systeem, inclusief beoogd doel, nauwkeurigheidsniveau, robuustheid, cybersecurity, potentiele circumstances-of-use die risico kunnen verhogen. Drie: wijzigingen die de aanbieder heeft vastgesteld en het prestatie-niveau. Vier: menselijke-controle-maatregelen. Vijf: vereiste computationele en hardware-middelen, levensduur, onderhoud. Zes: mechanismen om deployers in staat te stellen output te interpreteren en gebruiken. Zeven: verwachte levensduur. Acht: beschrijving van onderhoud en zorg-maatregelen. IFU moet begrijpelijk, relevant, toegankelijk zijn.

Artikel 26, lid 6 bepaalt voor deployers: automatisch gegenereerde logs moeten worden bewaard voor zolang als passend is gezien het beoogde doel, minimaal zes maanden, tenzij anders bepaald door toepasselijk Unierecht of lidstaatrecht (in het bijzonder AVG). Voor sectorspecifieke regelgeving (financieel, medisch) kunnen langere termijnen gelden. AVG-overweging: bewaring mag niet langer dan noodzakelijk (Artikel 5 lid 1 sub e AVG), dus zes maanden moet voldoende kunnen worden onderbouwd. In de praktijk hanteren we voor MKB-deployers zes tot twaalf maanden als default. Voor kritieke high-risk AI (biometrie, kredietverlening): twee tot zeven jaar afhankelijk van sectorregulering. Documenteer de bewaartermijn en rationale als onderdeel van governance.

Artikel 50 regelt transparantieverplichtingen voor specifieke AI-systemen, van toepassing vanaf 2 augustus 2026. Vier categorieen. Een: AI-systemen die met natuurlijke personen interacteren (chatbots) moeten gebruikers informeren dat ze met AI interacteren, tenzij dit duidelijk is uit de omstandigheden. Twee: aanbieders van AI die synthetische audio-, afbeelding-, video- of tekstcontent genereren moeten de output in machinereadable format markeren als AI-gegenereerd. Drie: deployers van emotie-herkenning of biometrische categorisering moeten natuurlijke personen informeren. Vier: deployers die deepfakes genereren moeten deze labelen als AI-gegenereerd of gemanipuleerd. Voor tekst met openbaar belang die AI-gegenereerd of gemanipuleerd is, geldt aparte disclosure-verplichting, met uitzondering voor kennelijk artistiek gebruik.

Voor aanbieder-MKB met een high-risk AI-systeem: technisch dossier volgens Annex IV + IFU + QMS-documentatie gezamenlijk 40.000-120.000 euro afhankelijk van complexiteit van het systeem en bestaande documentatie-volwassenheid. Doorlooptijd: twee tot vijf maanden. Voor deployer-MKB met high-risk AI: documentatie-opzet beperkter (log-retentie, eigen register, human-oversight-procedures): 8.000-20.000 euro, vier tot acht weken. Voor implementatie van Artikel 50 transparantie: 2.000-10.000 euro afhankelijk van aantal chatbot-punten en content-generatie-omvang. Hele documentatie-pakket is vaak de grootste tijdsinvestering van aanbieder-compliance; plan voldoende tijd in.

Niet specifiek onder AI Act. Minimal-risk AI (Artikel 4 AI-geletterdheid en optionele codes of conduct uit Artikel 95 daargelaten) kent geen AI Act-documentatieverplichting. Wel zinvol om basis-documentatie te hebben: inventarisatie in AI-register, basis-risico-inschatting, DPIA als persoonsgegevens (Artikel 35 AVG). Governance-praktijk zelf documenteert minimal-risk meestal ook, maar lichter dan high-risk. Voor MKB werkbaar: een A4 per minimal-risk AI-systeem met doel, input, output, rechtsgrond, verantwoordelijke, datum review. Dit is onderdeel van goede governance, los van de AI Act.

Technical file is de Engelse term voor het technisch dossier onder Artikel 11 AI Act, verwijzend naar Annex IV. Parallel aan technical files onder Machinery Regulation, MDR, RED. Inhoud: de negen Annex IV-secties plus bewijs van conformity assessment (Artikel 43), EU-verklaring van overeenstemming (Artikel 47), eventueel CE-markering-informatie. Bewaartermijn: tien jaar na markt-plaatsing van het AI-systeem (Artikel 18). Locatie: moet beschikbaar zijn voor nationale toezichthouders in vorm die lezing mogelijk maakt. Voor open-source AI-aanbieders: er zijn specifieke vereenvoudigingen onder Artikel 53 voor GPAI-modellen.

Specifieke toegangsgroepen. Nationale toezichthouders (in Nederland: AP voor coordinatie, sectorale autoriteiten) bij audit of melding. EU AI Office voor GPAI-modellen. Notified bodies bij conformity assessment. Markttoezichtautoriteiten. Bij high-risk AI-incidenten: andere toezichthouders (bijv. AFM bij financiele sector). Klanten/deployers: ontvangen IFU (Artikel 13), niet automatisch de volledige Annex IV-documentatie, tenzij contractueel anders afgesproken. Gebruikers/betrokkenen: ontvangen normaliter alleen de transparantie-informatie uit Artikel 50 en AVG-artikel 13/14. Documentatie is bedrijfsvertrouwelijk maar moet aan gevraagde autoriteiten binnen redelijke termijn verstrekt worden.

Documentatie-onderhoud is een van de grootste praktische uitdagingen. Drie principes. Eerste: koppel documentatie-updates aan release-cyclus. Bij elke wijziging in AI-systeem automatisch een documentatie-review triggeren. Tweede: versiebeheer zoals code. Documentatie in Git of vergelijkbaar, met pull-requests, reviews, traceerbaarheid. Derde: eigenaar per document. Een specifieke verantwoordelijke per documenttype (risk-manager voor risk management-sectie, productmanager voor IFU, enz.). Jaarlijks: volledige review van het complete documentatiepakket. Bij significant-substantial modificatie (Artikel 43 lid 4): volledige conformity assessment herzien plus documentatie-update.