Skip to main content

Verplichtingen van gebruiksverantwoordelijken van hoogrisico-AI-systemen: artikel 26

Wat gebruiksverantwoordelijken van hoogrisico-AI-systemen moeten doen volgens artikel 26 en hoe Scanara het werk structureert.

Gebruiksverantwoordelijken van hoogrisico-AI-systemen moeten de gebruiksaanwijzing volgen, menselijk toezicht toewijzen, de werking monitoren en logs bewaren (artikel 26).

De verplichtingen gelden vanaf 2 december 2027 (systemen uit bijlage III) of 2 augustus 2028 (systemen uit bijlage I). Boetes bedragen tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99, lid 4). Volgende stap: vraag bij elke aanbieder de gebruiksaanwijzing op.

Artikel 26 stelt verplichtingen aan gebruiksverantwoordelijken

Lid 3 voegt toe dat deze verplichtingen geen afbreuk doen aan andere verplichtingen van gebruiksverantwoordelijken op grond van het Unierecht of nationaal recht (artikel 26, lid 3).

  • Het systeem gebruiken zoals voorgeschreven

    Neem passende technische en organisatorische maatregelen om het systeem te gebruiken volgens de gebruiksaanwijzing (artikel 26, lid 1).

  • Menselijk toezicht toewijzen

    Wijs het menselijk toezicht toe aan natuurlijke personen met de nodige bekwaamheid, opleiding en autoriteit, en geef hun de nodige ondersteuning (artikel 26, lid 2).

  • De inputdata controleren

    Zorg er, voor zover u controle hebt over de inputdata, voor dat ze relevant en voldoende representatief zijn voor het beoogde doel van het systeem (artikel 26, lid 4).

  • De werking monitoren en risico’s melden

    Monitor de werking op basis van de gebruiksaanwijzing. Hebt u redenen om aan te nemen dat het gebruik een risico kan vormen (artikel 79, lid 1), onderbreek dan het gebruik en stel de aanbieder of distributeur en de markttoezichtautoriteit zonder onnodige vertraging in kennis. Stel na een ernstig incident onmiddellijk eerst de aanbieder in kennis, en vervolgens de importeur of distributeur en de markttoezichtautoriteiten. Kunt u de aanbieder niet bereiken, dan is artikel 73 van toepassing (artikel 26, lid 5). Deze verplichting geldt niet voor gevoelige operationele gegevens van gebruiksverantwoordelijken die rechtshandhavingsinstanties zijn. Financiële instellingen die onder interne governanceregels van het Unierecht inzake financiële diensten vallen, voldoen aan de monitoringsverplichting door die regels na te leven.

  • De logs bewaren

    Bewaar de logs die het systeem automatisch genereert, voor zover ze onder uw controle vallen, gedurende een periode die past bij het beoogde doel en ten minste zes maanden, tenzij het Unierecht of nationaal recht anders bepaalt (artikel 26, lid 6). Financiële instellingen bewaren ze als onderdeel van hun documentatie op grond van het financiëledienstenrecht.

  • Werknemers informeren

    Werkgevers moeten de werknemersvertegenwoordigers en de betrokken werknemers informeren voordat zij een hoogrisicosysteem in gebruik stellen of op de werkplek gebruiken (artikel 26, lid 7).

  • Het gebruik registreren (overheidsinstanties)

    Overheidsinstanties en instellingen van de Unie moeten voldoen aan de registratieverplichtingen van artikel 49. Is een systeem dat zij willen gebruiken niet geregistreerd in de EU-databank, dan mogen zij het niet gebruiken en moeten zij de aanbieder of distributeur informeren (artikel 26, lid 8).

  • Informatie van de aanbieder gebruiken voor de gegevensbeschermingseffectbeoordeling

    Gebruik, waar van toepassing, de informatie die de aanbieder verstrekt op grond van artikel 13 voor uw gegevensbeschermingseffectbeoordeling op grond van artikel 35 van Verordening (EU) 2016/679 of artikel 27 van Richtlijn (EU) 2016/680 (artikel 26, lid 9).

  • Toestemming vragen voor biometrische identificatie op afstand achteraf

    Vraag bij het gerichte zoeken naar een persoon die van een strafbaar feit wordt verdacht of daarvoor is veroordeeld, vóór het gebruik van een systeem voor biometrische identificatie op afstand achteraf toestemming aan een gerechtelijke instantie of een administratieve instantie met bindende beslissingsbevoegdheid, of uiterlijk binnen 48 uur. De uitzondering is de eerste identificatie van een mogelijke verdachte op basis van objectieve en verifieerbare feiten. Ongericht gebruik is niet toegestaan, elk gebruik wordt vastgelegd in het politiedossier en de autoriteiten ontvangen jaarlijkse verslagen (artikel 26, lid 10).

  • Betrokken personen informeren

    Gebruiksverantwoordelijken van systemen uit bijlage III die beslissingen over natuurlijke personen nemen of daarbij helpen, moeten die personen informeren dat zij worden blootgesteld aan het gebruik van het systeem. Voor rechtshandhavingsdoeleinden is artikel 13 van Richtlijn (EU) 2016/680 van toepassing (artikel 26, lid 11).

  • Samenwerken met de autoriteiten

    Werk samen met de bevoegde autoriteiten bij elke actie die zij ten aanzien van het systeem ondernemen om de verordening uit te voeren (artikel 26, lid 12).

De rol volgt het gebruik: sommige gebruiksverantwoordelijken worden aanbieder

U bent gebruiksverantwoordelijke als u een AI-systeem onder eigen gezag gebruikt, ongeacht wie het heeft gebouwd (artikel 3, punt 4). Een bedrijf dat een systeem bouwt en zelf gebruikt, is tegelijk aanbieder en gebruiksverantwoordelijke, omdat ingebruikstelling ook eigen gebruik omvat (artikel 3, punt 11).

Een gebruiksverantwoordelijke wordt in drie gevallen aanbieder, met de verplichtingen van artikel 16 (artikel 25, lid 1). Hij brengt zijn naam of merk aan op een hoogrisicosysteem. Hij brengt een substantiële wijziging aan waardoor het systeem hoogrisico blijft. Of hij wijzigt het beoogde doel van een systeem zodanig dat het hoogrisico wordt. De oorspronkelijke aanbieder hoeft niet met de nieuwe aanbieder samen te werken als hij duidelijk heeft bepaald dat zijn AI-systeem niet mag worden omgebouwd tot een hoogrisico-AI-systeem (artikel 25, lid 2).

Data en grenzen van artikel 26

  • Toepassingsdata

    Artikel 26 geldt vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen uit bijlage I (artikel 113). Een hoogrisicosysteem dat vóór de toepassingsdatum in de handel is gebracht, valt er alleen onder als het ontwerp daarna ingrijpend wijzigt (artikel 111, lid 2). In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111, lid 2).

  • Waar artikel 26 niet geldt

    Artikel 26 geldt niet voor systemen die verband houden met producten uit bijlage I, sectie B (artikel 2, lid 2), niet voor natuurlijke personen die AI-systemen gebruiken in het kader van een louter persoonlijke, niet-beroepsmatige activiteit (artikel 2, lid 10) en niet voor AI-systemen die uitsluitend voor militaire doeleinden, defensiedoeleinden of doeleinden van nationale veiligheid worden gebruikt (artikel 2, lid 3). Voor producten uit bijlage I, sectie B, zijn de artikelen 57, 58 en 59 alleen van toepassing voor zover de eisen voor hoogrisico-AI-systemen zijn geïntegreerd in die harmonisatiewetgeving van de Unie.

  • Artikel 26 en artikel 27 zijn aparte verplichtingen

    Artikel 26 geldt voor elke gebruiksverantwoordelijke van een hoogrisico-AI-systeem. Artikel 27 voegt alleen voor sommige gebruiksverantwoordelijken een effectbeoordeling op het gebied van de grondrechten toe: publiekrechtelijke instellingen, particuliere entiteiten die openbare diensten verlenen en gebruiksverantwoordelijken van systemen voor kredietwaardigheid of voor levens- en ziektekostenverzekeringen. Artikel 26 zelf bevat geen zo’n beoordeling.

Wat de beoordeling voor gebruiksverantwoordelijken van Scanara doet

Scanara beslist niet wat voor u geldt en voert de verplichtingen niet uit. Het structureert het werk en legt bewijs vast.

Begeleide beoordeling voor gebruiksverantwoordelijken

De vragen volgen de verplichtingen van artikel 26, zoals gebruiksaanwijzing, menselijk toezicht, inputdata, monitoring, logs en het informeren van werknemers en betrokken personen.

Bewijs voor het bewaren van logs

Scanara legt bewijs vast voor het bewaren van uw logs (artikel 26, lid 6). De logs bewaart u zelf.

Koppelingen met FRIA en DPIA

Waar artikel 27 geldt, structureert een aparte FRIA-beoordeling dat werk. Een DPIA-beoordeling dekt artikel 35 AVG waar u persoonsgegevens verwerkt.

Open de Scanara-demo

De details bij elke verplichting

Veelgestelde vragen over de verplichtingen van gebruiksverantwoordelijken

Geldt artikel 26 voor AI-systemen die alleen binnen mijn bedrijf worden gebruikt?

Ja. Een gebruiksverantwoordelijke wordt gedefinieerd door het gebruik van een systeem onder eigen gezag, niet door wie het heeft gebouwd (artikel 3, punt 4). Een bedrijf dat een hoogrisicosysteem bouwt en zelf gebruikt, is tegelijk aanbieder en gebruiksverantwoordelijke, dus de artikelen 16 en 26 gelden allebei. Ontwikkeling en testen vóór het in de handel brengen of in gebruik stellen vallen buiten de verordening (artikel 2, lid 8), behalve testen in reële omstandigheden.

Wat moet een gebruiksverantwoordelijke doen na een ernstig incident?

Een gebruiksverantwoordelijke die een ernstig incident vaststelt, moet onmiddellijk eerst de aanbieder en vervolgens de importeur of distributeur en de markttoezichtautoriteiten informeren (artikel 26, lid 5). Een ernstig incident is een incident of storing die direct of indirect leidt tot overlijden of ernstige schade aan de gezondheid, een ernstige en onomkeerbare verstoring van kritieke infrastructuur, een inbreuk op verplichtingen uit het Unierecht ter bescherming van de grondrechten, of ernstige schade aan eigendom of milieu (artikel 3, punt 49). Het gebruik onderbreken is vereist als er redenen zijn om aan te nemen dat het een risico vormt in de zin van artikel 79, lid 1.

Krijgt het mkb een versoepeling van de verplichtingen van gebruiksverantwoordelijken?

Nee. Artikel 26 kent geen vrijstelling op grond van omvang. Mkb-bedrijven, met inbegrip van start-ups, en kleine midcapondernemingen riskeren een boete van ten hoogste het laagste van de twee bedragen (artikel 99, leden 6 en 6 bis). Financiële instellingen die de Unieregels over interne governance naleven, bewaren de logs als onderdeel van de documentatie die zij op grond van het financiëledienstenrecht bijhouden (artikel 26, lid 6).

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.