Artikel 14 AI Act: human oversight, ontwerp en inrichting.

De vijf leden: wat staat er precies in.

Lid 1: de ontwerp-eis.

"High-risk AI-systemen moeten zodanig worden ontworpen en ontwikkeld, ook met passende mens-machine-interface-tools, dat natuurlijke personen er effectief toezicht op kunnen houden gedurende de periode dat ze in gebruik zijn." Let op drie elementen: ontwerp en ontwikkeling (niet pas na livegang bijvoegen), mens-machine-interface (UI-laag is expliciet genoemd), en gedurende de periode van gebruik (continu, niet alleen bij in-gebruik-name).

Lid 2: het doel.

"Human oversight is gericht op het voorkomen of minimaliseren van risico's voor gezondheid, veiligheid of fundamentele rechten die kunnen opkomen wanneer een high-risk AI-systeem wordt gebruikt conform beoogd doel of onder voorwaarden van redelijk voorzienbaar misbruik." Het doel is dus breed (drie risico-categorieen) en expliciet inclusief misbruik-scenario's. Oversight moet niet alleen werken bij ideaal gebruik maar ook bij plausibele afwijkingen.

Lid 3: provider-design versus deployer-operationeel.

"Oversight-maatregelen zijn proportioneel aan de risico's, het autonomie-niveau en de gebruikscontext van het high-risk AI-systeem, en worden gewaarborgd door een of beide van de volgende soorten maatregelen." Sub (a): "maatregelen geidentificeerd en, waar technisch haalbaar, ingebouwd in het high-risk AI-systeem door de provider voordat het op de markt wordt gebracht of in gebruik wordt genomen." Sub (b): "maatregelen geidentificeerd door de provider voordat het high-risk AI-systeem op de markt wordt gebracht of in gebruik wordt genomen, en die geschikt zijn om door de deployer geimplementeerd te worden."

De boodschap is helder: provider bouwt ze in waar dat technisch kan, identificeert de rest als operationele maatregelen voor de deployer. De deployer kan niet zeggen "dat is provider-verantwoordelijkheid"; de provider kan niet zeggen "dat regelt de klant wel". Beide rollen moeten leveren.

Lid 4: vijf capabilities.

De kern van Artikel 14. Het systeem moet zodanig aan de deployer beschikbaar gesteld worden dat de oversight-persoon de volgende capabilities heeft.

• Sub (a) capaciteiten en beperkingen. "De relevante capaciteiten en beperkingen van het high-risk AI-systeem correct begrijpen en de werking op passende wijze monitoren." Onder de streep: de persoon weet wat het systeem wel en niet goed kan, en kan afwijkingen signaleren.
• Sub (b) automation bias. "Bewust blijven van de mogelijke neiging tot automatisch vertrouwen of over-vertrouwen op de output van een high-risk AI-systeem (automation bias)." Dit is psychologie ingebakken in wet: mensen neigen automatisch te volgen wat een systeem zegt; ontwerp moet dat actief tegengaan.
• Sub (c) output correct interpreteren. "De output van het high-risk AI-systeem correct interpreteren, rekening houdend met de beschikbare interpretatie-tools en methoden." Het systeem moet interpretatie-instrumenten leveren: uitleg, confidence-scores, feature-importance, vergelijkingen.
• Sub (d) niet gebruiken, disregard, override, reverse. "Beslissen, in een specifieke situatie, het high-risk AI-systeem niet te gebruiken of de output op een andere manier te negeren, overschrijven of terug te draaien." Vier werkwoorden: niet-gebruiken, negeren, overschrijven, terugdraaien. Elk een ander ingreep-type; oversight moet alle vier mogelijk maken.
• Sub (e) interventie en stop-button. "Interveneren in de werking van het high-risk AI-systeem of het systeem onderbreken via een stop-button of vergelijkbare procedure die het systeem in staat stelt tot stilstand te komen in een veilige staat." Safe state is expliciet genoemd; niet zomaar uit.

Lid 5: biometrische identificatie.

"In aanvulling op de in de leden 3 en 4 bepaalde maatregelen mag voor high-risk AI-systemen genoemd in punt 1, sub (a) van bijlage III, [remote biometric identification-systemen] geen actie of besluit worden genomen door de deployer op basis van de identificatie die uit het systeem voortkomt, tenzij deze identificatie afzonderlijk is geverifieerd en bevestigd door minstens twee natuurlijke personen met de noodzakelijke competentie, training en autoriteit."

Belangrijk: de 2-persoons-eis geldt voor remote biometric identification (Annex III punt 1 sub a), niet voor alle biometrische toepassingen. Biometrische verificatie (1-op-1 authenticatie) en categorisering (geslacht, leeftijd zonder gevoelige attributen) vallen buiten lid 5. De uitzondering is eng: EU- of nationaal recht kan voor wetshandhaving, migratie, grenscontrole of asiel de eis als disproportioneel aanmerken. In commerciele context is deze uitzondering zelden relevant.

De provider moet de deployer-operationele measures expliciet identificeren in de instructies voor gebruik onder Artikel 13. Als de IFU vaag of onvolledig is, faalt de provider in zijn verplichting onder Artikel 14 lid 3 sub (b). De deployer van zijn kant kan zich niet verschuilen achter gebrekkige IFU: Artikel 26 eist actieve oversight-inrichting. Bij conflict: contract tussen provider en deployer moet dit regelen. Zie onze pagina over deployer-verplichtingen.

Lid 5: 2-persoons-regel voor remote biometric ID.

Artikel 14 lid 5 legt bovenop leden 3 en 4 een extra regel op voor remote biometric identification-systemen onder Annex III punt 1 sub (a). Deze categorie omvat systemen die natuurlijke personen identificeren op afstand zonder hun actieve medewerking, in tegenstelling tot 1-op-1 verificatie waar de persoon bewust meewerkt (bijvoorbeeld vingerafdruk-toegang).

Uitzondering en grenzen.

Lid 5 zelf bevat een carve-out: de 2-persoons-eis geldt niet voor high-risk AI-systemen gebruikt voor wetshandhaving, migratie, grenscontrole of asiel wanneer EU- of nationaal recht de toepassing van de eis als disproportioneel aanmerkt. Voor commercieel MKB is deze uitzondering vrijwel nooit relevant; de regel is in private setting hard.

Wat valt buiten lid 5 en dus ook buiten de 2-persoons-regel:

• Biometrische verificatie (1-op-1). Vingerafdruk- of gezichts-login waar de persoon bewust meewerkt. Valt buiten Annex III 1(a) en daarmee buiten lid 5. Let op: andere AI Act-regels en AVG-eisen blijven wel van toepassing.
• Biometrische categorisering. Schatten van leeftijd of geslacht voor demografie zonder identificatie. Valt onder andere regels en soms onder Artikel 5 (gevoelige attributen) maar niet onder lid 5.
• Niet-biometrische identificatie. Badge- of kenteken-herkenning zonder biometrische data. Kan wel onder andere Annex III-categorieen vallen maar niet onder 1(a).

Praktische implicatie voor ontwerp: als je een remote biometric ID-systeem bouwt of inzet, moet de workflow dual-sign-off afdwingen. Een enkele operator kan geen actie op basis van de match nemen. De verificateurs moeten separate user-accounts hebben, onafhankelijk inloggen, en beide oordelen worden gelogd met tijdstempel en identiteit. Bij audit moet je deze flow kunnen aantonen per identificatie.

Artikel 14 binnen het Kwaliteitsmanagementsysteem.

Artikel 17 van de AI Act vereist dat aanbieders van high-risk AI een Kwaliteitsmanagementsysteem opzetten. Het QMS moet onder Artikel 17 lid 1 sub (d) procedures bevatten voor data-management en onder andere subs procedures voor monitoring, testing, validatie en incident-management. Direct relevant voor oversight zijn de procedures voor monitoring en incident-management.

Concrete QMS-koppelingen.

• Documented procedure oversight. Wie doet wat, wanneer, hoe. Versie-beheer met review-cyclus.
• Training-registratie. Per oversight-persoon: welke trainingen wanneer, welke competentie geborgd.
• Audit-trail. Alle oversight-beslissingen gelogd met tijdstempel, betrokkene, besluit, onderbouwing.
• Review-cyclus. Kwartaal-audit van steekproef van oversight-beslissingen; aanpassing procedures bij verbeterpunten.
• Incident-koppeling. Link naar post-market monitoring (Artikel 72) en serious-incident-reporting (Artikel 73, binnen 15 dagen).
• Change management. Bij model-update of UI-wijziging: impact-assessment op oversight, re-training, IFU-update.
• Externe audit. Bij notified-body-audit moet oversight-procedure getoond en gedemonstreerd kunnen worden.

Koppeling met technische documentatie (Artikel 11).

De technische documentatie onder Artikel 11 en Annex IV moet oversight-measures expliciet beschrijven. Annex IV punt 1 vraagt onder andere beschrijving van de relevante menselijke oversight-maatregelen die nodig zijn, inclusief de technische maatregelen die zijn ingebouwd om de interpretatie van de output door deployers te faciliteren. Dit is Artikel 14 in technische-documentatie-vorm. Zie ook onze pagina over documentatie-verplichtingen.

30 punten voor Artikel 14-implementatie.

Gebruik deze checklist bij ontwerp of inkoop van high-risk AI. Voor elke vraag moet je "ja" kunnen antwoorden met bewijs in documentatie of systeem.

Voor MKB-providers die een high-risk AI-systeem bouwen: deze checklist is een redelijk minimum bij marktintroductie. Bij externe audit zal een notified body (voor Annex I-systemen) of een markt-toezichthouder (voor Annex III-systemen) deze of vergelijkbare vragen stellen. Documenteer per punt het bewijs: screenshot, code-referentie, proces-beschrijving, training-registratie. Zonder bewijs geldt het punt als niet-voldaan.