Skip to main content

Technische documentatie van bijlage IV: de negen punten

De negen punten van bijlage IV van de AI-verordening voor de technische documentatie van hoogrisico-AI-systemen, met de regels eromheen: termijnen, bewaring, formulier voor mkb en toepassingsgebied.

Bijlage IV noemt negen punten die de technische documentatie van een hoogrisico-AI-systeem minimaal moet bevatten, voor zover van toepassing op het systeem.

Aanbieders moeten haar opstellen voordat zij het systeem in de EU in de handel brengen of in gebruik stellen (artikel 11, lid 1). De verplichting geldt vanaf 2 december 2027 (systemen uit bijlage III) of 2 augustus 2028 (bijlage I). Ontbrekende documentatie schendt artikel 16. Boetes lopen op tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99, lid 4). Eerste stap: vergelijk uw systeem met de negen punten hieronder.

Wij bundelen zes regels rond de documentatie

Voor het in de handel brengen of in gebruik stellen

Stel de documentatie op voordat het systeem in de handel wordt gebracht of in gebruik wordt gesteld, en houd haar actueel (artikel 11(1)).

Tien jaar bewaren

Houd de documentatie tien jaar ter beschikking van de nationale autoriteiten nadat het systeem in de handel is gebracht of in gebruik is gesteld (artikel 18(1)).

Vereenvoudigd formulier voor kleine bedrijven

Mkb-bedrijven, ook start-ups, en kleine midcaps mogen de onderdelen van bijlage IV vereenvoudigd verstrekken. De Commissie moet het formulier opstellen en aangemelde instanties moeten het accepteren (artikel 11(1)). Voor mkb-bedrijven en kleine midcapondernemingen is de boete beperkt tot het lagere bedrag (artikel 99, leden 6 en 6 bis).

Eén set voor productwetgeving

Hangt het systeem samen met een product onder de wetgeving van bijlage I, afdeling A, stel dan één set documentatie op die ook die wetgeving dekt (artikel 11(2)).

Enkele grenzen van het toepassingsgebied

Bijlage IV geldt voor hoogrisico-AI-systemen binnen het toepassingsgebied van de verordening. De verordening laat gebieden buiten het Unierecht onverlet en is niet van toepassing op AI-systemen voor zover zij uitsluitend voor militaire doeleinden, defensiedoeleinden of doeleinden van nationale veiligheid worden gebruikt (artikel 2, lid 3), noch op wetenschappelijke onderzoekssystemen en onderzoek of tests vóór het in de handel brengen (artikel 2, leden 6 en 8). Voor AI-systemen die op grond van artikel 6, lid 1, als hoogrisico zijn ingedeeld en betrekking hebben op producten onder bijlage I, afdeling B, gelden alleen artikel 6, lid 1, artikel 60 bis en de artikelen 102 tot en met 112. De artikelen 57 tot en met 59 gelden alleen voor zover de eisen voor hoogrisico-AI-systemen in die productwetgeving zijn opgenomen (artikel 2, lid 2).

Systemen die al op de markt zijn

Een hoogrisicosysteem dat vóór de datum van toepassing in de handel is gebracht of in gebruik is gesteld, valt er alleen onder als het ontwerp daarna ingrijpend wordt gewijzigd. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111, lid 2). AI-systemen die onderdeel zijn van de grootschalige IT-systemen van bijlage X en vóór 2 augustus 2027 in de handel zijn gebracht, moeten uiterlijk 31 december 2030 voldoen (artikel 111, lid 1).

Bijlage IV heeft negen punten

Algemene beschrijving

1

Punt 1 identificeert het systeem: waarvoor het dient, welke versie het is, waar het draait en hoe het wordt geleverd.

Wat de bijlage vereist

  • Beoogd doel, naam van de aanbieder en versie van het systeem, ook in verhouding tot eerdere versies
  • Hoe het systeem samenwerkt met hardware of software die er geen deel van uitmaakt, indien van toepassing
  • Versies van relevante software of firmware en eisen voor versie-updates
  • Alle vormen waarin het systeem in de handel wordt gebracht of in gebruik wordt gesteld, zoals in hardware ingebedde softwarepakketten, downloads of API’s
  • De hardware waarop het systeem bedoeld is te draaien
  • Bij een onderdeel van producten: foto’s of illustraties met uiterlijke kenmerken, markering en interne indeling
  • Een basisbeschrijving van de gebruikersinterface voor de gebruiksverantwoordelijke
  • De gebruiksaanwijzing voor de gebruiksverantwoordelijke

Praktische tip (niet vereist door de verordening)

Houd dit punt bij in een versiebeheerd bestand naast de code en werk het bij elke release bij.

Onderdelen en ontwikkelproces

2

Punt 2 is het langste: het beschrijft hoe het systeem is gebouwd, getraind, getest en beveiligd.

Wat de bijlage vereist

  • Ontwikkelmethoden en -stappen, ook voorgetrainde systemen of tools van derden en hoe die zijn gebruikt, geïntegreerd of aangepast
  • Ontwerpspecificaties: algemene logica en algoritmen, belangrijke ontwerpkeuzes met onderbouwing en aannames (ook over de personen of groepen waarvoor het systeem wordt gebruikt), hoofdkeuzes voor classificatie, waarvoor het systeem optimaliseert en de relevantie van de verschillende parameters, verwachte output en outputkwaliteit, en afwegingen om aan hoofdstuk III, afdeling 2, te voldoen
  • Systeemarchitectuur en de rekenmiddelen waarmee het systeem is ontwikkeld, getraind, getest en gevalideerd
  • Waar relevant, gegevensvereisten als datasheets: trainingsmethoden, datasets, herkomst, reikwijdte, belangrijkste kenmerken, hoe de gegevens zijn verkregen en geselecteerd, labelen en opschonen
  • Beoordeling van de nodige maatregelen voor menselijk toezicht (artikel 14), met technische maatregelen die gebruiksverantwoordelijken helpen de output te interpreteren (artikel 13, lid 3, punt d)
  • Waar van toepassing, vooraf bepaalde wijzigingen van het systeem en de prestaties, met de technische oplossingen die de naleving waarborgen
  • Validatie en tests: procedures, gebruikte gegevens, meetwaarden voor nauwkeurigheid, robuustheid en andere eisen, mogelijk discriminerende effecten, en gedateerde, ondertekende testlogs en -rapporten
  • Genomen maatregelen voor cyberbeveiliging

Praktische tip (niet vereist door de verordening)

Leid architectuur en afhankelijkhedenlijsten af uit de repository en voeg de onderbouwing toe die alleen uw team kent.

Monitoring, werking en controle

3

Punt 3 beschrijft wat het systeem wel en niet kan en welke risico’s en toezichtmaatregelen daaruit volgen.

Wat de bijlage vereist

  • Mogelijkheden en beperkingen in prestaties, met de nauwkeurigheid voor specifieke personen of groepen en de verwachte algemene nauwkeurigheid voor het beoogde doel
  • Voorzienbare onbedoelde uitkomsten en bronnen van risico’s voor gezondheid en veiligheid, grondrechten en discriminatie
  • Maatregelen voor menselijk toezicht (artikel 14), met technische maatregelen die gebruiksverantwoordelijken helpen de output te interpreteren
  • Specificaties van invoergegevens, voor zover passend

Praktische tip (niet vereist door de verordening)

Leg de gemeten nauwkeurigheid per groep vast, samen met de test die haar opleverde.

Prestatiemeetwaarden

4

Punt 4 vraagt om een beschrijving van waarom de prestatiemeetwaarden passend zijn. De meetwaarden zelf horen onder punt 2.

Wat de bijlage vereist

  • Een beschrijving van waarom de prestatiemeetwaarden passen bij dit specifieke AI-systeem

Systeem voor risicobeheer

5

Punt 5 verwijst naar het systeem voor risicobeheer van artikel 9.

Wat de bijlage vereist

  • Een gedetailleerde beschrijving van het systeem voor risicobeheer overeenkomstig artikel 9

Wijzigingen gedurende de levensduur

6

Punt 6 houdt de documentatie actueel: het legt vast wat er na de eerste release is veranderd.

Wat de bijlage vereist

  • Een beschrijving van relevante wijzigingen die de aanbieder gedurende de levensduur in het systeem heeft aangebracht

Praktische tip (niet vereist door de verordening)

Gebruik release notes en de git-geschiedenis en markeer welke wijzigingen vooraf waren bepaald (punt 2, f).

Normen en andere oplossingen

7

Punt 7 noemt de normen waarop u zich heeft gebaseerd of legt uw eigen oplossingen uit.

Wat de bijlage vereist

  • Een lijst van de geheel of gedeeltelijk toegepaste geharmoniseerde normen waarvan de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt
  • Als zulke normen niet zijn toegepast: een gedetailleerde beschrijving van de oplossingen om aan hoofdstuk III, afdeling 2, te voldoen, met een lijst van andere toegepaste normen en technische specificaties

EU-conformiteitsverklaring

8

Punt 8 voegt de conformiteitsverklaring toe.

Wat de bijlage vereist

  • Een kopie van de EU-conformiteitsverklaring (artikel 47)

Beoordeling na het in de handel brengen

9

Punt 9 koppelt de documentatie aan de monitoring na het in de handel brengen.

Wat de bijlage vereist

  • Een gedetailleerde beschrijving van het systeem om de prestaties na het in de handel brengen te beoordelen (artikel 72)
  • Het plan voor monitoring na het in de handel brengen (artikel 72, lid 3)

Wat Scanara doet voor de documentatie van bijlage IV

Scanara controleert of uw nalevingsdocumenten de vereiste inhoud bevatten. Het controleert niet of die inhoud klopt.

Concepten van documentatie volgens bijlage IV

Scanara genereert documenten volgens bijlage IV uit uw invoer en de antwoorden op beoordelingen. U controleert en vult ze aan. Een concept is niet automatisch juist of volledig.

Bewijs met versies

Scanara bewaart versies en tijdstempels van de documenten en van de antwoorden op beoordelingen waarop ze berusten.

Veelgestelde vragen over bijlage IV

Hoelang moet ik de technische documentatie bewaren?

Tien jaar nadat het AI-systeem in de handel is gebracht of in gebruik is gesteld, ter beschikking van de nationale bevoegde autoriteiten (artikel 18(1)).

Mogen mkb-bedrijven vereenvoudigde documentatie gebruiken?

Ja. Mkb-bedrijven, ook start-ups, en kleine midcaps mogen de onderdelen van bijlage IV vereenvoudigd verstrekken. De Commissie moet het formulier opstellen en aangemelde instanties moeten het accepteren voor de conformiteitsbeoordeling (artikel 11(1)).

Wat dwingt tot een bijwerking van de documentatie?

De documentatie moet actueel worden gehouden (artikel 11, lid 1). Een substantiële wijziging, dat wil zeggen een wijziging die in de eerste conformiteitsbeoordeling niet was voorzien of gepland en de naleving of het beoogde doel raakt (artikel 3, punt 23), vereist een nieuwe conformiteitsbeoordeling (artikel 43, lid 4). Vooraf bepaalde wijzigingen van een systeem dat blijft leren, die zijn vastgelegd volgens bijlage IV, punt 2, f, zijn geen substantiële wijzigingen.

Lees verder: artikel 11, bijlage III en de AI-inventaris

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.