AI-register opzetten: alle AI-systemen inventariseren.
Praktische gids voor het bouwen van een compleet AI-register. Met template voor alle verplichte velden, een 8-stappen-aanpak, review-cyclus, tooling-vergelijking en een checklist met 45+ actiepunten om niets te missen.
Waarom elke organisatie een AI-register nodig heeft.
Een AI-register is de fundatie onder AI-compliance. Zonder overzicht van welke AI-systemen je organisatie gebruikt, ontwikkelt of distribueert, kun je geen enkele verplichting uit de AI Act (Verordening 2024/1689) betrouwbaar nakomen. Je kunt geen risicoclassificatie uitvoeren als je niet weet welke systemen je hebt. Je kunt geen deployer-verplichtingen naleven als je niet weet waar je deployer bent. En je kunt Artikel 4 AI-geletterdheid niet invullen als je niet weet op welke AI je medewerkers moet trainen.
De AI Act schrijft op meerdere plaatsen voor dat je informatie over je AI-systemen beschikbaar hebt. Artikel 49 verplicht aanbieders en bepaalde deployers van high-risk AI-systemen om hun systemen te registreren in de EU-database voordat het systeem op de markt of in gebruik wordt genomen. Artikel 26 verplicht deployers om AI-systemen conform het beoogde doel te gebruiken, te monitoren en logs te bewaren. Artikel 9 vereist een risicomanagement-systeem per high-risk AI-systeem. Al deze verplichtingen veronderstellen dat je weet welke AI je hebt, wie er verantwoordelijk voor is, en hoe het wordt ingezet.
In de praktijk zien we dat MKB-organisaties (10-250 FTE) gemiddeld 3 tot 25 AI-systemen in gebruik hebben, waarvan minstens de helft niet centraal bekend is. Dat is schaduw-AI: medewerkers die zelfstandig tools als ChatGPT, Copilot, Jasper of andere AI-diensten gebruiken zonder dat IT of management ervan weet. Een AI-register maakt dit zichtbaar en beheersbaar.
Deze gids beschrijft stap voor stap hoe je een AI-register opzet: welke velden erin moeten, hoe je alle systemen opspoort, hoe je het register bijhoudt, en welke tooling bij welke schaalgrootte past. Alle verwijzingen naar artikelen betreffen de AI Act tenzij anders vermeld.
De AI Act-artikelen achter het register.
Meerdere artikelen in de AI Act veronderstellen dat je een actueel overzicht van je AI-systemen bijhoudt. Hier zijn de belangrijkste.
Artikel 49 - EU-database registratie
Aanbieders van high-risk AI-systemen moeten hun systemen registreren in de EU-database voordat het systeem op de markt wordt gebracht of in gebruik wordt genomen. Deployers van high-risk AI moeten zich eveneens registreren waar dat van toepassing is. De informatie die je bij de EU-database moet aanleveren (Annex VIII) omvat onder meer: naam van het systeem, naam en adres van de aanbieder, beoogd doel, risicoclassificatie, status van conformity assessment, en lidstaten waar het systeem beschikbaar is. Opvallend: ook aanbieders die claimen dat hun Annex III-systeem niet high-risk is (via de Artikel 6 lid 3-uitzondering) moeten zich registreren.
Artikel 26 - Deployer-verplichtingen
Deployers van high-risk AI moeten het systeem gebruiken conform de Instructions for Use, zorgen voor menselijke controle, de werking monitoren en logs bewaren gedurende minimaal zes maanden. Dit alles vereist dat je per systeem weet: wat het is, hoe het wordt ingezet, wie het beheert en waar de IFU te vinden is. Zie ook onze pagina over deployer-verplichtingen.
Artikel 9 - Risicomanagement
Voor high-risk AI moet een risicomanagement-systeem worden ingericht en bijgehouden gedurende de hele levenscyclus. Per systeem moet je risico's identificeren, evalueren en mitigeren. Zonder register weet je niet voor welke systemen dit geldt. Meer over Artikel 9 op onze risicomanagement-pagina.
Artikel 4 - AI-geletterdheid
Alle aanbieders en deployers moeten zorgen voor een passend niveau van AI-geletterdheid bij personeel dat met AI werkt. Om te weten wie welke training nodig heeft, moet je eerst weten welke AI-systemen door welke teams worden gebruikt. Het register is de bron voor je trainingsplan.
Artikel 50 - Transparantieverplichtingen
AI-systemen die direct met personen interacteren (chatbots), synthetische content genereren, emoties herkennen of biometrisch categoriseren moeten aan specifieke disclosure-verplichtingen voldoen. Je register moet per systeem vastleggen of Artikel 50 van toepassing is, zodat je de juiste maatregelen treft.
De 18 kernvelden van je AI-register.
Elk AI-systeem in je register krijgt minimaal deze 18 velden. De eerste 12 zijn verplicht voor elke entry; velden 13-18 zijn sterk aanbevolen en worden verplicht bij high-risk systemen.
Deze 18 velden vormen de kern. Afhankelijk van je situatie kun je velden toevoegen: afdeling/team dat het systeem gebruikt, kosten per jaar, aantal gebruikers, integraties met andere systemen, trainingsdata-herkomst (relevant voor aanbieders), en Fundamental Rights Impact Assessment-status (Artikel 27, voor deployers van bepaalde high-risk AI). Begin met de 18 kernvelden en breid uit wanneer dat nodig blijkt.
In acht stappen naar een compleet AI-register.
Van nul naar een werkend register. Reken op 2-4 weken doorlooptijd voor een MKB-organisatie van 20-200 medewerkers.
Review-frequentie en update-triggers.
Een register dat je eenmaal vult en daarna niet bijhoudt is waardeloos bij een audit. De AI Act gaat uit van voortdurend onderhoud. Hier zijn de momenten waarop je het register moet bijwerken.
Vaste review-momenten
Plan minimaal twee keer per jaar een volledige review van het complete register. Tijdens deze review controleert de registereigenaar samen met de systeem-eigenaren of alle entries nog kloppen. Zijn er systemen bijgekomen die niet zijn geregistreerd? Zijn er systemen uitgefaseerd die nog als actief staan? Klopt de risicoclassificatie nog? Is het versienummer actueel? Zijn de eigenaren nog de juiste personen? Documenteer de review met datum, namen van betrokkenen en bevindingen.
Voor organisaties met high-risk AI-systemen adviseren wij een kwartaalreview vanwege de hogere eisen uit Artikel 9 (risicomanagement) en Artikel 72 (post-market monitoring). Daarnaast: plan jaarlijks een volledige audit door een onafhankelijke persoon die niet de dagelijkse registereigenaar is.
Drie opties voor je AI-register-tooling.
De beste tool is de tool die daadwerkelijk wordt gebruikt. Een goed bijgehouden spreadsheet is beter dan een leeg GRC-platform.
| Criterium | Spreadsheet (Excel/Sheets) | GRC-platform | Dedicated AI-governance tool |
|---|---|---|---|
| Geschikt bij | < 15 AI-systemen | 15 - 50 AI-systemen | > 50 AI-systemen |
| Kosten per jaar | Gratis - 500 euro | 5.000 - 25.000 euro | 15.000 - 60.000 euro |
| Opstartsnelheid | Uren | Weken | Weken tot maanden |
| Versiebeheer | Handmatig / beperkt | Ingebouwd | Ingebouwd |
| Workflow / goedkeuringsproces | Niet aanwezig | Volledige workflows | AI-specifieke workflows |
| Automatische herinneringen | Handmatig instellen | Geautomatiseerd | Geautomatiseerd |
| Rapportage / dashboard | Zelf bouwen (pivot) | Standaard dashboards | AI-specifieke dashboards |
| Integratie met IT-assets | Handmatig | Via koppelingen | Native integraties |
| EU-database export | Handmatig klaarzetten | Vaak niet standaard | Specifiek ontworpen |
| Risicoclassificatie-ondersteuning | Zelf invullen | Generieke frameworks | AI Act-specifiek |
| Audit trail | Beperkt (versie-historie) | Volledig | Volledig |
| Voorbeelden | Excel, Google Sheets, Notion | OneTrust, ServiceNow GRC, Archer | Holistic AI, Credo AI, IBM OpenPages |
Onze aanbeveling per schaalgrootte
5-50 medewerkers, minder dan 10 AI-systemen: start met een spreadsheet. Gebruik onze template-structuur met de 18 velden als kolommen. Bewaar het bestand op een gedeelde locatie (SharePoint, Google Drive) zodat meerdere personen toegang hebben. Stel kalenderherinneringen in voor de halfjaarlijkse review.
50-200 medewerkers, 10-30 AI-systemen: een spreadsheet werkt nog, maar wordt kwetsbaar. Overweeg een GRC-platform als je er al een hebt (veel organisaties gebruiken al een GRC-tool voor ISO 27001 of AVG). Voeg een AI-register-module toe in plaats van een nieuw systeem te kopen.
200+ medewerkers of meer dan 30 AI-systemen: investeer in een dedicated AI-governance-tool of een GRC-platform met AI-module. De complexiteit van risicoclassificatie, documentatie-koppelingen en multi-stakeholder-beheer rechtvaardigt de investering. Let bij selectie op: AI Act-specifieke templates, EU-database-export, en integratie met je bestaande IT-landschap.
Welke tool je ook kiest: de discipline om het register bij te houden is belangrijker dan de tool zelf. Een ongebruikte tool op welk platform dan ook is nutteloos.
De verborgen AI in je organisatie opsporen.
Schaduw-AI is het gebruik van AI-tools door medewerkers zonder dat IT, management of de compliance-afdeling ervan op de hoogte is. Dit is in de meeste organisaties geen kwade opzet: medewerkers ontdekken tools die hun werk versnellen en beginnen ze te gebruiken. Maar voor AI Act-compliance is onbekende AI een serieus probleem: je kunt geen risicoclassificatie uitvoeren op systemen waarvan je het bestaan niet kent.
Waar schaduw-AI zich verstopt
- Browser-gebaseerde AI-tools: ChatGPT, Claude, Gemini, Perplexity en tientallen andere tools die medewerkers via de browser gebruiken zonder installatie of IT-goedkeuring.
- AI-functies in bestaande software: Salesforce Einstein, HubSpot AI, Canva Magic, Grammarly, Adobe Firefly. Medewerkers zetten AI-functies aan in software die al goedgekeurd is, zonder te beseffen dat dit apart geregistreerd moet worden.
- Persoonlijke AI-assistenten: Copilot in Windows, Siri, Google Assistant. Op werkdevices, maar niet centraal beheerd.
- API-koppelingen door power users: medewerkers die via Zapier, Make of eigen scripts AI-API's aanroepen om workflows te automatiseren.
- AI in mobiele apps: vertaalapps, transcriptie-apps, spraakassistenten die voor werkdoeleinden worden gebruikt op persoonlijke of zakelijke telefoons.
Methoden om schaduw-AI te vinden
Anonieme survey: stuur een korte vragenlijst naar alle medewerkers. Formuleer de vragen niet als controle maar als inventarisatie. "Welke tools gebruik je om je werk te versnellen?" werkt beter dan "Gebruik je ongeautoriseerde AI?". Maak het veilig om eerlijk te antwoorden; het doel is inventarisatie, niet straf.
Netwerk-analyse: IT kan via DNS-logs of proxy-logs zien welke AI-domeinen worden bezocht (api.openai.com, claude.ai, gemini.google.com, etc.). Dit geeft een indicatie van gebruik, niet van omvang.
Expense-rapport check: zoek in declaraties en creditcard-afschriften naar abonnementen op AI-tools. Medewerkers die zelf een ChatGPT Plus-abonnement declareren gebruiken dat voor werk.
Software-asset-management: als je een SAM-tool hebt (Zylo, Productiv, Torii), voeg AI-tools toe aan de monitored-lijst.
Na de inventarisatie: beoordeel elk gevonden systeem op risico en beslis per systeem of het wordt geaccepteerd (en geregistreerd), of wordt verboden (en geblokkeerd), of wordt vervangen door een centraal goedgekeurd alternatief.
Koppeling met bestaande compliance-processen.
Een AI-register staat niet op zichzelf. Het versterkt bestaande compliance-inspanningen en wordt er ook door versterkt. De drie belangrijkste koppelingen:
1. AVG-verwerkingsregister (Artikel 30 AVG)
AI-systemen die persoonsgegevens verwerken moeten zowel in het AI-register als in het AVG-verwerkingsregister staan. Gebruik een gemeenschappelijk Systeem-ID om de twee registers te koppelen. Als je een DPIA hebt uitgevoerd voor een AI-systeem, link dan vanuit het AI-register naar dat DPIA-document. Wijzigingen in het ene register moeten het andere triggeren: als het AI-systeem andere persoonsgegevens gaat verwerken, update je zowel het AI-register als het verwerkingsregister.
2. IT-asset-register / CMDB
Je IT-afdeling beheert waarschijnlijk al een overzicht van alle software en systemen. Zorg dat elk AI-systeem in het AI-register hetzelfde ID of dezelfde naam gebruikt als in de IT-CMDB. Bij nieuwe AI-aanschaf: maak registratie in beide systemen onderdeel van het inkoopproces. Als je ISO 27001 volgt: de AI-systemen zijn onderdeel van je scope of applicability en moeten in je Statement of Applicability worden meegenomen.
3. Risicomanagement-framework
Als je een formeel risicomanagement-framework hebt (ISO 31000, COSO, of sectorspecifiek), koppel dan elk AI-systeem aan een risico-entry. Voor high-risk AI is dit sowieso verplicht via Artikel 9. Voor minimal-risk AI is het aan te bevelen. De risicoanalyse in je bestaande framework en de risicoclassificatie in je AI-register versterken elkaar: de AI Act-classificatie bepaalt welke controls verplicht zijn, je risicoanalyse bepaalt de prioriteit van implementatie.
4. Inkoopproces
Voeg een AI-check toe aan je inkoopproces. Bij elke nieuwe software-aanschaf: bevat dit product AI-componenten? Zo ja: registreer het direct in het AI-register, voer de risicoclassificatie uit, en check de contractclausules voordat je tekent. Dit voorkomt dat AI-systemen buiten het register om de organisatie binnenkomen.
Completeness-checklist voor je AI-register.
Loop deze 47 punten na om te controleren of je register volledig en bruikbaar is. Verdeel over zes categorieen.
- Registereigenaar formeel aangewezen met mandaat
- Scope-document: definitie van AI voor de organisatie vastgelegd
- Register-procedure gedocumenteerd en gecommuniceerd
- Review-frequentie vastgesteld (minimaal halfjaarlijks)
- Update-triggers gedefinieerd en bekend bij systeem-eigenaren
- Escalatie-procedure bij geschil over classificatie
- Jaarlijkse audit van het register gepland
- Management-rapportage over registerstatus ingeregeld
- Afdelingsgesprekken gevoerd met alle teamleads
- IT-inventaris doorgelopen op AI-componenten
- SaaS-licenties en API-keys gecontroleerd
- Inkoop-administratie doorzocht op AI-leveranciers
- Medewerkersenquete uitgevoerd voor schaduw-AI
- Ingebedde AI-functies in bestaande software geidentificeerd
- Pilotprojecten en proof-of-concepts opgenomen
- Uitgefaseerde systemen met einddatum geregistreerd
- Systeem-ID uniek en consistent met IT-register
- Systeemnaam herkenbaar voor alle betrokkenen
- Aanbieder/leverancier met contactgegevens
- Versienummer of updatebeleid gedocumenteerd
- Doel en beoogd gebruik concreet beschreven
- Risicoclassificatie bepaald en onderbouwd
- Rol onder AI Act vastgesteld per systeem
- Data-input en data-output gespecificeerd
- Persoonsgegevens-status gemarkeerd (ja/nee + type)
- Datum ingebruikname vastgelegd
- Status actueel (actief/pilot/bevroren/uitgefaseerd)
- Functioneel eigenaar aangewezen
- Technisch eigenaar aangewezen
- Laatste review-datum ingevuld
- Link naar DPIA of risicoanalyse per systeem
- Link naar leverancierscontract of SLA
- Link naar Instructions for Use (IFU) van leverancier
- Artikel 50 disclosure-status per systeem vastgelegd
- Bij high-risk: link naar Artikel 9-risicomanagement-dossier
- Bij high-risk deployer: FRIA-status (Artikel 27)
- Bij eigen ontwikkeling: link naar technisch dossier (Annex IV)
- AVG-verwerkingsregister-koppeling aanwezig
- Inkoopproces bevat AI-registratie-stap
- Software-goedkeuringsproces bevat AI-check
- Onboarding nieuwe medewerkers verwijst naar AI-register
- Incident-response-procedure koppelt naar register
- Change-management-proces triggert register-update
- Tooling geselecteerd passend bij schaalgrootte
- Toegangsrechten ingesteld (wie mag lezen, schrijven)
- Back-up van het register geregeld
- Review-herinneringen geautomatiseerd
- Dashboard of rapportage beschikbaar voor management
- Wijzigingshistorie traceerbaar (audit trail)
Vijf veelgemaakte fouten bij het AI-register.
1. Eenmalig vullen, daarna vergeten
De meest voorkomende fout. Een team investeert twee weken in het opzetten van het register, en daarna wordt het niet meer bijgewerkt. Na zes maanden is het register verouderd en onbetrouwbaar. Oplossing: bouw de review-cyclus in je agenda. Maak het onderdeel van een bestaand overleg (MT-vergadering, IT-overleg). Automatiseer herinneringen.
2. Alleen "officiele" AI registreren
Organisaties registreren de AI-systemen die formeel zijn ingekocht, maar missen schaduw-AI. Een medewerker die dagelijks klantdata in ChatGPT plakt is een groter compliance-risico dan het officieel aangeschafte analyse-platform. Oplossing: voer de vier inventarisatiemethoden uit, met name de medewerkerssurvey.
3. Te vage beschrijvingen
"CRM-systeem met AI" is geen bruikbare registratie. Bij een audit moet je precies kunnen uitleggen wat de AI doet, welke data erin gaat en wat eruit komt. Oplossing: dwing specificiteit af in je template. Het veld "doel en beoogd gebruik" moet minimaal twee zinnen zijn. "Automatisch prioriteren van support-tickets op basis van tekstanalyse van het klantverzoek" is bruikbaar.
4. Risicoclassificatie overslaan of uitstellen
Sommige organisaties vullen alle velden in behalve de risicoclassificatie, omdat ze die "later" willen doen. Maar het register zonder classificatie is als een voorraadlijst zonder locatie-aanduiding: je weet wat je hebt, maar niet wat je ermee moet. Oplossing: classificeer direct bij registratie. Gebruik de risicoclassificatie-werkflow. Bij twijfel: classificeer conservatief als high-risk.
5. Geen eigenaar per systeem
Het register heeft een registereigenaar, maar individuele systemen hebben geen eigenaar. Als niemand verantwoordelijk is voor de juistheid van een specifieke entry, wordt die entry niet bijgewerkt. Oplossing: wijs per systeem een functioneel en technisch eigenaar aan. Maak de eigenaren medeverantwoordelijk voor de halfjaarlijkse review van hun entries.
Over het AI-register.
Is een AI-register wettelijk verplicht?
Ja, indirect. De AI Act schrijft niet voor dat je een "intern AI-register" bijhoudt in een specifiek format. Maar Artikel 49 verplicht registratie in de EU-database voor high-risk AI, Artikel 26 verplicht deployers om systemen te monitoren en logs te bewaren, en Artikel 4 vereist dat je weet welke AI je medewerkers gebruiken. Zonder intern register kun je geen van deze verplichtingen aantonen. Een toezichthouder die vraagt "welke AI-systemen gebruikt uw organisatie?" verwacht een concreet antwoord. Het AI-register is de praktische voorwaarde om compliant te zijn.
Welke AI-systemen moet ik registreren?
Alle AI-systemen die je organisatie gebruikt, ontwikkelt of distribueert in professionele context. Inclusief ingekochte SaaS-tools, AI-functies in bestaande software, API-koppelingen, intern ontwikkelde modellen en tools die medewerkers zelfstandig gebruiken. Registreer ook minimal-risk systemen: bij herclassificatie of wetswijziging heb je dan al een basis. Twijfel je of iets AI is? Registreer het met een notitie "classificatie te bevestigen". Beter te veel dan te weinig.
Hoeveel velden moet een AI-register minimaal bevatten?
Wij adviseren 18 kernvelden per systeem. De eerste 12 zijn verplicht voor elke entry, ongeacht risicoclassificatie. Velden 13-18 zijn sterk aanbevolen en worden in de praktijk verplicht bij high-risk systemen. De AI Act specificeert geen exact format, maar uit de informatie-eisen van Artikel 26, 49, 9 en 11 volgen de benodigde datapunten. Begin met de 18 velden en breid uit als je situatie dat vraagt.
Hoe vind ik alle AI-systemen in mijn organisatie?
Combineer vier methoden: afdelingsgesprekken met teamleads, doorlopen van IT-inventaris en SaaS-licenties, doorzoeken van inkoop-administratie op AI-leveranciers, en een medewerkerssurvey voor schaduw-AI. De survey is essentieel: in onze ervaring komt 30-50% van de AI-systemen in MKB-organisaties boven via de medewerkerssurvey en niet via de andere drie kanalen. Plan twee weken voor een organisatie van 50-200 medewerkers.
Hoe vaak moet ik het AI-register bijwerken?
Minimaal elke zes maanden een volledige review. Bij organisaties met high-risk AI: elk kwartaal. Daarnaast: direct bij triggers zoals nieuw systeem, uitfasering, doel-wijziging, grote update, incident, wetswijziging of contractwijziging. Jaarlijks: een onafhankelijke audit van het complete register. In de praktijk is de halfjaarlijkse review het minimum; de event-triggers zorgen ervoor dat het register ook tussentijds actueel blijft.
Kan ik een spreadsheet gebruiken als AI-register?
Ja, voor organisaties met minder dan 15 AI-systemen is een spreadsheet prima werkbaar. Gebruik de 18 velden als kolommen, elk AI-systeem als rij. Bewaar op een gedeelde locatie met toegangscontrole. Nadelen: geen automatisch versiebeheer, geen workflows, geen automatische herinneringen. Bij meer dan 15 systemen of bij meerdere mensen die het register beheren: overweeg een GRC-platform of dedicated AI-governance-tool.
Wat is het verschil tussen het interne AI-register en de EU-database?
Het interne register is je eigen administratie van alle AI-systemen, ongeacht risicoclassificatie. De EU-database (Artikel 49) is een publieke database van de Europese Commissie voor high-risk AI en bepaalde transparantie-eis-systemen. Je interne register is breder en gedetailleerder. De EU-database bevat een subset van je interne informatie. Zonder goed intern register kun je de EU-database niet correct en tijdig vullen.
Wie is verantwoordelijk voor het AI-register?
Er moet een registereigenaar zijn die het totaalbeeld bewaakt: volledigheid, actualiteit, kwaliteit. In MKB: vaak de compliance-officer, IT-manager of CISO. Per systeem wijs je een functioneel eigenaar (business) en technisch eigenaar (IT/beheer) aan. De registereigenaar organiseert de reviews; de systeem-eigenaren zorgen dat hun entries kloppen. Bij MT-rapportage: de registereigenaar rapporteert over status en eventuele risico's.
Moet ik AI in proeffase ook registreren?
Ja. Pilots en proof-of-concepts worden geregistreerd met status "in-test" of "pilot". De AI Act maakt geen uitzondering voor testsituaties waarin echte data of echte personen betrokken zijn. Bovendien: pilots die slagen worden vaak direct productie gezet. Als het systeem al in het register staat, vergeet je de formele beoordeling bij opschaling niet. Registreer vanaf het moment dat het systeem wordt aangesloten op echte data of echte gebruikers.
Hoe koppel ik het AI-register aan de AVG?
Gebruik een gemeenschappelijk Systeem-ID in zowel het AI-register als het AVG-verwerkingsregister. AI-systemen die persoonsgegevens verwerken staan in beide registers. Link vanuit het AI-register naar de DPIA. Wijzigingen in het ene register moeten het andere triggeren. Voor organisaties met ISO 42001: het AI-managementsysteem integreert het AI-register met het privacy-managementsysteem. Praktisch: plan de review van beide registers op hetzelfde moment.
Gerelateerde pagina's.
Opgesteld met AI-ondersteuning door de redactie van Prometheus21, laatst bijgewerkt op 7 september 2026. Hoe wij content maken
Hulp bij je AI-register?
Prometheus21 helpt MKB-organisaties bij het opzetten van een compleet AI-register, inclusief inventarisatie, risicoclassificatie en de koppeling met bestaande compliance-processen. In twee tot vier weken een werkend register.
Plan een kennismaking