AI Act: aanbieder of gebruiksverantwoordelijke? Wanneer uw organisatie ongemerkt aanbieder wordt

De twee rollen

De basisplichten voor elke organisatie staan in AI Act in 2026: wat moet uw organisatie nu geregeld hebben; dit artikel gaat over de rolwissel.

De drie triggers van artikel 25

1. Eigen naam of merk. U biedt een al in de handel gebracht hoog-risicosysteem onder uw naam aan, bijvoorbeeld als module van uw eigen software. Contractueel kunt u de plichten met de oorspronkelijke aanbieder verdelen, naar buiten toe bent u aanbieder.
2. Substantiële wijziging. U wijzigt een hoog-risicosysteem op een manier die in de oorspronkelijke conformiteitsbeoordeling niet was voorzien en die de eisen of het beoogde doel raakt. Het blijft hoog risico, maar nu onder uw verantwoordelijkheid.
3. Nieuw beoogd doel. U neemt een systeem dat geen hoog risico was, ook een model voor algemene doeleinden, en zet het in voor een doel uit bijlage III: werving en selectie, kredietwaardigheid, toegang tot voorzieningen, onderwijs. Aan het systeem verandert niets, aan uw rol alles.

Het derde geval komt het vaakst voor en wordt het makkelijkst gemist. Een algemene chatassistent die HR inzet om sollicitaties voor te selecteren, is een hoog-risicosysteem, en wie die inzet heeft ingericht, is de aanbieder ervan.

Wat geldt als u een eigen model draait?

Een open-weight model op de eigen node draaien maakt u geen aanbieder van een AI-model voor algemene doeleinden: aanbieder is wie het model ontwikkelt en op de markt brengt, zoals Meta of Mistral. Pas wie zo’n model substantieel wijzigt, bijvoorbeeld door het te fine-tunen met eigen data, kan volgens de richtsnoeren van de Commissie aanbieder worden voor het gewijzigde deel. Een model ongewijzigd gebruiken en aan eigen documenten koppelen is gebruik, geen aanbieden.

Bouwt u van het model een eigen toepassing en zet u die in voor een hoog-risicodoel, dan geldt weer artikel 25: dan bent u aanbieder van dat systeem. Zie Open-weight modellen vergelijken voor de modelkant.

Zo toetst u uw rol

1. Inventaris. Welke AI-systemen draaien er, wie heeft ze ingericht, waarvoor worden ze echt gebruikt? Een AI-register is de basis.
2. Bijlage III naast de lijst leggen. Raakt een gebruik werk, onderwijs, kredietverlening, essentiële diensten, rechtshandhaving, migratie of vitale infrastructuur?
3. Beoogd doel van de leverancier lezen. Staat uw gebruik in de documentatie? Zo niet, dan bent u misschien de eerste die dit doel vastlegt.
4. Wijzigingen vastleggen. Elke aanpassing aan een geleverd systeem vooraf op substantie toetsen en documenteren.
5. Contracten. Met de leverancier regelen wie bij herbestemming welke plichten draagt, en of de leverancier omzetting naar een hoog-risicosysteem uitsluit.

De tijdlijn na de Digital Omnibus

Verordening (EU) 2026/1744 heeft de termijnen voor hoog-risicosystemen verschoven: toepassingen uit bijlage III gelden vanaf 2 december 2027, AI in producten onder EU-productveiligheidsrecht (bijlage I) vanaf 2 augustus 2028. Niet verschoven zijn de AI-geletterdheid (sinds februari 2025), de plichten voor modellen voor algemene doeleinden (sinds augustus 2025) en de transparantieplichten van artikel 50 (sinds augustus 2026). Wie vandaag een systeem inricht voor een doel uit bijlage III heeft dus tijd, maar de rol staat al vast. Voor de training zie AI-geletterdheid.

Hoe werqly hierin past

Met werqly draait u ongewijzigde open-weight modellen op een eigen node, gekoppeld aan uw documenten; dat is gebruik, geen aanbieden. werqly AI Control legt vast welke rol welke bronnen gebruikt en waarvoor, zodat een herbestemming naar een hoog-risicodoel niet ongemerkt gebeurt, en levert het logboek dat gebruiksverantwoordelijken moeten bewaren.