AI-verordening voor CTO’s
Voor CTO’s van AI-aanbieders: de plichten uit de AI-verordening voor engineering en wat Scanara in code controleert. Volgende stap: open het voorbeeldrapport.
Wat de AI-verordening van engineering vraagt
Aanbieders van hoogrisicosystemen bouwen de artikelen 8 tot en met 15
Ze gaan over risicobeheer, datagovernance, logging, gebruiksaanwijzingen, menselijk toezicht, nauwkeurigheid, robuustheid en cyberbeveiliging. Ze gelden vanaf 2 december 2027 (systemen uit bijlage III) of 2 augustus 2028 (producten uit bijlage I) (artikel 113, punt c)).
Documentatie en een kwaliteitssysteem horen erbij
Aanbieders houden ook technische documentatie bij (artikel 11, bijlage IV) en voeren een kwaliteitsbeheersysteem (artikel 17). Ze bewaren de documentatie 10 jaar (artikel 18).
De classificatie bepaalt welke plichten gelden
Een systeem heeft alleen een hoog risico via bijlage III of bijlage I (artikel 6). Classificeer eerst elk systeem. Artikel 5 somt verboden praktijken op, die gelden sinds 2 februari 2025.
Wat Scanara voor engineeringteams doet
Een check bij elke pull request
Scanara plaatst bij elke pull request een GitHub-check en verwijst naar het volledige rapport. De Audit-modus rapporteert alleen. De Blocking-modus laat de check mislukken boven uw drempels.
Codescan op de eisen van de verordening
Regels die uit de verordeningstekst zijn gegenereerd, zoeken in uw code naar standaardpatronen van ML-frameworks. Eigen wrappers en verhulde code kunnen gemist worden.
Concept van de technische documentatie
Scanara genereert een concept van de documentatie uit bijlage IV op basis van uw invoer en beoordelingsantwoorden. Uw team vult het aan en controleert het.
Inventaris met vastgelegde classificatie
U registreert elk AI-systeem. Scanara legt de risicoclassificatie en uw motivering vast. Uw team neemt de classificatiebeslissing.
Stichtag en maximumboete
2 december 2027
Vanaf deze datum gelden de hoogrisicoregels voor systemen uit bijlage III, en voor producten uit bijlage I vanaf 2 augustus 2028 (artikel 113, punt c)).
15 miljoen EUR of 3 %
Maximumboete bij overtreding van de plichten van aanbieders en gebruiksverantwoordelijken: tot 15 miljoen EUR of, voor een onderneming, tot 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Voor mkb-bedrijven en kleine midcapondernemingen geldt het lagere bedrag als maximum (artikel 99(6) en (6a)).
Vragen van CTO’s
Welke plichten uit de AI-verordening raken mijn engineeringteam?
Dat hangt af van uw rol en van de vraag of het systeem een hoog risico heeft. Aanbieders van hoogrisicosystemen voldoen aan de artikelen 8 tot en met 15 en artikel 17 (artikel 16). Gebruiksverantwoordelijken volgen artikel 26: ze gebruiken het systeem volgens de instructies, wijzen menselijk toezicht toe en bewaren de logs onder hun controle minstens zes maanden, tenzij ander recht iets anders bepaalt.
Wanneer gelden de hoogrisicoregels voor onze systemen?
Vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor producten uit bijlage I (artikel 113, punt c)). Een eerder in de handel gebracht of in gebruik gesteld hoogrisicosysteem valt er pas onder na belangrijke ontwerpwijzigingen. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111(2)).
Werkt de merge gate in het Free-abonnement?
Nee. Het Free-abonnement heeft geen merge gate en staat in totaal 5 scans, 1 AI-systeem en 2 repositories toe. Het Team-abonnement bevat de merge gate voor 1 repository, het Business-abonnement voor alle repositories.
Kan Scanara ons vertellen of ons systeem een hoog risico heeft?
Nee. Scanara structureert de classificatie en legt uw motivering vast. Uw team beslist, met juridisch advies als er veel op het spel staat. Dezelfde code kan een hoog risico hebben of niet, afhankelijk van het beoogde doel.
Betekent een geslaagde scan dat we aan de verordening voldoen?
Nee. Een scan controleert codepatronen en vereiste documentinhoud. Hij kan het feitelijke handelen niet bevestigen, en slagen voldoet niet aan een verplichting.
Lees verder
Bekijk een voorbeeld van een scanrapport
De demo toont een echt, geanonimiseerd compliancerapport en een rondleiding door het product.
Scanara bereidt bewijs voor vanuit uw repositories
Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.