Skip to main content

AI-risicobeoordeling (AIRA): het systeem voor risicobeheer van artikel 9

Aanbieders van hoogrisico-AI-systemen moeten een risicobeheersysteem hanteren (artikel 9). AIRA is de begeleide beoordeling van Scanara.

Aanbieders van hoogrisico-AI-systemen moeten een systeem voor risicobeheer uitvoeren gedurende de hele levensduur van het systeem (artikel 9). AIRA is de naam die Scanara gebruikt voor de eigen begeleide beoordeling van die verplichting; de verordening zelf kent geen „AI-risicobeoordeling”.

De verplichting geldt vanaf 2 december 2027 voor systemen uit bijlage III. Boetes voor aanbieders bedragen tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99, lid 4). Volgende stap: controleer met artikel 6 of uw systeem een hoog risico heeft en begin dan met de beoordeling.

Artikel 9 beschrijft een doorlopend proces in vier stappen

Het systeem voor risicobeheer is een doorlopend iteratief proces, dat gedurende de hele levensduur wordt gepland en uitgevoerd, met regelmatige systematische toetsing en actualisering (artikel 9, lid 2).

  1. 1

    Risico's vaststellen en analyseren

    Som de bekende en redelijkerwijs voorzienbare risico's voor gezondheid, veiligheid of grondrechten op wanneer het systeem wordt gebruikt zoals bedoeld (artikel 9, lid 2, onder a)).

  2. 2

    Risico's inschatten en beoordelen

    Neem de risico's mee die kunnen ontstaan bij redelijkerwijs voorzienbaar misbruik (artikel 9, lid 2, onder b)).

  3. 3

    Risico's beoordelen die na de release blijken

    Voeg de risico's toe die blijken uit de data van monitoring na het in de handel brengen (artikel 9, lid 2, onder c), artikel 72).

  4. 4

    Gerichte risicobeheersmaatregelen vaststellen

    Stel passende en gerichte maatregelen vast tegen de risico's die in stap 1 zijn vastgesteld. Het restrisico moet aanvaardbaar worden geacht (artikel 9, lid 2, onder d), en lid 5).

De maatregelen volgen een vaste volgorde, en testen en kwetsbare groepen tellen mee

  • Risico's beperken in vaste volgorde

    Schakel risico's eerst uit of beperk ze door ontwerp en ontwikkeling. Voeg daarna maatregelen voor beperking en beheersing toe. Geef gebruiksverantwoordelijken dan informatie en, waar passend, opleiding. Het restrisico moet aanvaardbaar zijn (artikel 9(5)).

  • Testen aan de hand van vooraf bepaalde meetwaarden

    Test tijdens de ontwikkeling en voordat het systeem in de handel wordt gebracht, aan de hand van vooraf bepaalde meetwaarden en probabilistische drempels (artikel 9(6) en (8)). Tests onder reële omstandigheden zijn mogelijk volgens artikel 60 (artikel 9(7)).

  • Rekening houden met kinderen en kwetsbare groepen

    Ga na of het systeem waarschijnlijk nadelige gevolgen heeft voor personen onder de 18 jaar en, waar passend, voor andere kwetsbare groepen (artikel 9(9)).

Wat de AIRA-beoordeling van Scanara doet

AIRA is een begeleide beoordeling: u beantwoordt vragen over uw systeem en Scanara slaat de antwoorden op als bewijs. Het oordeel over de risico's, en over welk restrisico aanvaardbaar is, blijft bij u.

Begeleide vragen

Een vragenbank leidt u door de verplichtingen voor risicobeheer en vermeldt bij de meeste vragen het onderliggende artikel.

Antwoorden vooraf ingevuld op basis van scans

Als u een repository hebt gescand, vult Scanara antwoorden vooraf in op basis van de scanresultaten. U controleert en corrigeert ze.

Input voor documentatie volgens bijlage IV

Bijlage IV, punt 5, vraagt om een beschrijving van het systeem voor risicobeheer. Scanara maakt op basis van uw antwoorden een concept van de technische documentatie; u vult die aan en controleert die.

Open de Scanara-demo

Lees de details achter deze beoordeling

Veelgestelde vragen over de AIRA-beoordeling

Is „AIRA” een term uit de EU AI-verordening?

Nee. Artikel 9 vereist een systeem voor risicobeheer. AIRA is de naam die Scanara gebruikt voor de eigen begeleide beoordeling van dat systeem.

Wie is verantwoordelijk voor het systeem voor risicobeheer?

De aanbieder. Aanbieders moeten ervoor zorgen dat hun hoogrisico-AI-systemen voldoen aan de eisen van afdeling 2, artikel 9 inbegrepen (artikel 16, punt a)). Gebruiksverantwoordelijken voeren het niet uit, maar moeten de werking van het systeem monitoren en waar relevant de aanbieders informeren (artikel 26(5)).

Geldt artikel 9 voor alle AI-systemen?

Nee. Artikel 9 geldt voor hoogrisico-AI-systemen, die artikel 6 definieert via bijlage III en bijlage I. Het geldt vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen uit bijlage I (artikel 113, punt c). Voor hoogrisicosystemen die verband houden met producten onder wetgeving uit bijlage I, afdeling B, gelden alleen artikel 6(1), artikel 60 bis en de artikelen 102 tot en met 112, en de artikelen 57 tot en met 59 gelden alleen voor zover de eisen voor hoogrisico-AI-systemen in die wetgeving zijn opgenomen (artikel 2(2)).

Geldt artikel 9 voor systemen die al op de markt zijn?

Alleen na aanzienlijke wijzigingen in het ontwerp. Een hoogrisicosysteem dat vóór de toepassingsdatum van hoofdstuk III in de handel is gebracht of in gebruik is gesteld, valt er alleen onder als het vanaf die datum aanzienlijke wijzigingen in zijn ontwerp ondergaat (artikel 111, lid 2). In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen.

Schrijft de verordening een bepaalde methode of norm voor risicobeheer voor?

Nee. Artikel 9 bepaalt stappen, geen methode. Geharmoniseerde normen die in het Publicatieblad zijn bekendgemaakt, geven een vermoeden van conformiteit met de eisen die zij dekken (artikel 40).

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.