Schaduw-AI: een AI-systeeminventaris opbouwen

Zo vindt u de AI-systemen in uw organisatie en legt u ze vast in één register: vijf stappen, een registersjabloon en de verplichtingen van de artikelen 4, 26 en 49.

Bijgewerkt 22 oktober 2026

De AI-verordening bevat geen artikel dat een inventaris van AI-systemen verplicht stelt, maar meerdere verplichtingen zijn zonder inventaris moeilijk na te leven.

Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen om de AI-geletterdheid van hun personeel te bevorderen (artikel 4). Dat geldt sinds 2 februari 2025. Gebruiksverantwoordelijken van hoogrisicosystemen moeten passende maatregelen nemen om ze volgens de gebruiksaanwijzing te gebruiken. Dat geldt vanaf 2 december 2027 (bijlage III) of 2 augustus 2028 (bijlage I). Overtredingen van artikel 26 lopen op tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Eerste stap: maak een lijst van elk AI-systeem in gebruik.

Drie van de verplichtingen veronderstellen dat u uw AI-systemen kent

AI-geletterdheid (artikel 4)

Aanbieders en gebruiksverantwoordelijken van AI-systemen nemen maatregelen om de AI-geletterdheid van hun personeel en van anderen die namens hen AI-systemen bedienen en gebruiken te bevorderen, rekening houdend met de context. De verplichting vereist niet dat voor een individu een bepaald niveau wordt gegarandeerd.

Verplichtingen van de gebruiksverantwoordelijke (artikel 26)

Gebruiksverantwoordelijken van hoogrisico-AI-systemen nemen passende technische en organisatorische maatregelen om ze volgens de gebruiksaanwijzing te gebruiken, wijzen menselijk toezicht toe aan personen met de nodige bekwaamheid, opleiding en autoriteit en monitoren de werking van het systeem (artikel 26, leden 1, 2 en 5).

Registratie (artikel 49)

Aanbieders registreren hoogrisicosystemen uit bijlage III, en systemen die zij op grond van artikel 6, lid 3, niet als hoogrisico beschouwen, in de EU-databank voordat zij ze in de handel brengen of in gebruik stellen. Systemen voor rechtshandhaving en migratie (bijlage III, punten 1, 6 en 7) komen in een niet-openbaar deel, en systemen voor kritieke infrastructuur (punt 2) worden nationaal geregistreerd. Gebruiksverantwoordelijken die overheidsinstanties, instellingen, organen of instanties van de Unie zijn, of personen die namens hen handelen, registreren hun gebruik (artikel 49, lid 3).

Artikel 2 begrenst het toepassingsgebied. Voor AI-systemen die op grond van artikel 6, lid 1, als hoogrisico zijn ingedeeld en betrekking hebben op producten onder bijlage I, afdeling B, gelden alleen artikel 6, lid 1, artikel 60 bis en de artikelen 102 tot en met 112, dus artikel 4 niet. De verordening sluit ook systemen uit die uitsluitend voor militaire doeleinden, defensiedoeleinden of doeleinden van nationale veiligheid worden gebruikt, onderzoekssystemen en zuiver persoonlijk, niet-beroepsmatig gebruik (artikel 2, leden 2, 3, 6, 8 en 10).

Wat een AI-systeem is en wat niet

De verordening definieert een AI-systeem als een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en uit de ontvangen input afleidt hoe output zoals voorspellingen, inhoud, aanbevelingen of beslissingen wordt gegenereerd (artikel 3, punt 1). Systemen die alleen op door natuurlijke personen bepaalde regels berusten, vallen er niet onder (overweging 12).

AI-diensten die via een API worden aangeroepen

Uw code roept een AI-model aan via een API. Er is een AI-systeem in gebruik, ook als een leverancier het model beheert. Leg het vast en noteer wie de aanbieder is en wie de gebruiksverantwoordelijke.

Ingebedde voorgetrainde modellen

Een modelbestand uit een openbare modelhub draait in uw toepassing, bijvoorbeeld voor classificatie of contentmoderatie. Leg het model en de herkomst vast.

Saas-tools met AI-functies

Schrijfassistenten, scoring in een CRM en code-assistenten zijn voorbeelden. Zo’n tool gebruiken voor een doel uit bijlage III, zoals het voorselecteren van sollicitanten, kan u tot gebruiksverantwoordelijke van een hoogrisicosysteem maken, tenzij de uitzondering van artikel 6, lid 3, geldt.

Functies voor scoring, aanbevelingen en filtering

Dit zijn alleen AI-systemen als ze output afleiden uit invoergegevens. Een vaste set regels die mensen hebben geschreven, is geen AI-systeem. Controleer wat u heeft.

Vijf stappen naar de inventaris

Scan uw code

Begin met opsporen in de code: doorzoek alle repositories op AI-gerelateerde imports, API-aanroepen, modelbestanden en configuratie.

Zoek naar imports van ML-frameworks (bijvoorbeeld tensorflow, torch, sklearn, transformers)
Herken AI-API-aanroepen (bijvoorbeeld openai, anthropic, google.ai, azure.cognitiveservices)
Vind modelbestanden (bijvoorbeeld .pb, .pt, .onnx, .h5, .pkl, .safetensors)
Vind AI-configuratiebestanden zoals modelconfiguraties en promptsjablonen
Zoek naar gebruik van embeddings en vectordatabases (bijvoorbeeld pinecone, weaviate, chromadb)

Vraag het aan uw teams

Codescanning vindt AI die in code voorkomt en mist geplande, experimentele of saas-gebaseerde AI. Vraag elk team naar de rest.

Een korte vragenlijst sturen naar de engineering-, product- en businessteams
Vragen naar AI-functies in de gebruikte saas-tools
Experimentele of proof-of-concept-AI-projecten opsporen
AI-tools voor interne processen documenteren, zoals sollicitantenselectie, klantenservice en analyses
Leveranciersrelaties met AI- of ML-diensten in kaart brengen

Deel elk systeem in

Controleer voor elk systeem in deze volgorde welke regels gelden en leg de redenering vast.

De verboden praktijken van artikel 5 toetsen
De route via bijlage I en de 8 gebieden van bijlage III toetsen (artikel 6)
De uitzondering van artikel 6, lid 3, toetsen waar die geldt
Nagaan of een AI-model voor algemene doeleinden betrokken is (artikel 3, punt 63)
De transparantieverplichtingen van artikel 50 toetsen
De redenering voor elk systeem documenteren

Houd één register bij

Maak één register van alle AI-systemen. Het is de basis voor de verplichtingen van de artikelen 4, 26 en 49 en voor verzoeken van autoriteiten.

Elk AI-systeem een unieke identificatie geven
De aanbieder, de gebruiksverantwoordelijke en de verantwoordelijke persoon vastleggen
De indeling en de redenering vastleggen
De openstaande verplichtingen per systeem bijhouden
De technische documentatie (bijlage IV) koppelen waar die geldt
Versiegeschiedenis en wijzigingsregistraties bijhouden

Houd het actueel

Een inventaris is alleen nuttig als hij actueel blijft. Leg nieuwe AI-systemen vast en wijzigingen die de indeling kunnen veranderen.

Een controle van de AI-inventaris toevoegen aan codereview en pull requests
Registratie van een AI-systeem vereisen voordat het in productie gaat
In CI/CD zoeken naar nieuwe AI-afhankelijkheden
De inventaris elk kwartaal met belanghebbenden doornemen
Vastleggen wie beslist wanneer een nieuw systeem hoogrisico kan zijn
Ontwikkelteams trainen om AI-systemen te herkennen en te melden

Een mogelijk register: tien velden (onze suggestie)

Veld	Beschrijving	Voorbeeld
Systeem-ID	Unieke identificatie	AI-SYS-001
Systeemnaam	Intern gebruikte naam	Assistent voor voorselectie van cv’s
Aanbieder	Wie het systeem heeft ontwikkeld	Naam van de leverancier of intern team
Uw rol	Aanbieder, gebruiksverantwoordelijke of beide	Gebruiksverantwoordelijke
Indeling	Resultaat van uw indeling, met redenering	Hoogrisico, bijlage III, punt 4, a
Beoogd doel	Waarvoor het systeem wordt gebruikt	Rangschikt sollicitaties
Gebruiksstatus	Huidige fase van de levensduur	In productie
Verwerkte gegevens	Soorten verwerkte gegevens	Cv’s en sollicitatieformulieren
Verantwoordelijke persoon	Interne eigenaar van de verplichtingen	Hoofd HR
Openstaande verplichtingen	Wat nog moet gebeuren	Gebruiksaanwijzing opvragen

Veelgestelde vragen over de AI-inventaris

Verplicht de AI-verordening een inventaris van AI-systemen?

Geen artikel verplicht een inventaris als document. Meerdere verplichtingen veronderstellen dat u uw AI-systemen kent: AI-geletterdheid van aanbieders en gebruiksverantwoordelijken (artikel 4), verplichtingen van gebruiksverantwoordelijken van hoogrisicosystemen (artikel 26) en registratie in de EU-databank (artikel 49). Een aanbieder die een systeem uit bijlage III niet als hoogrisico beschouwt, moet die beoordeling documenteren en het systeem registreren (artikel 6, lid 4, en artikel 49, lid 2).

Hoe ga ik om met AI-systemen die al in productie zijn?

Begin met systemen die verboden (artikel 5) of hoogrisico (artikel 6) kunnen zijn. Leg elk systeem vast, deel het in en noteer de aanbieder. De verordening heeft grenzen: zij sluit militair gebruik, onderzoek en zuiver persoonlijk gebruik uit (artikel 2, leden 3, 6, 8 en 10), en enkele verboden gelden pas later (artikel 113, punt a). Een hoogrisicosysteem dat vóór de datum van toepassing in de handel is gebracht of in gebruik is gesteld, valt er alleen onder als het ontwerp daarna ingrijpend wordt gewijzigd. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, op een latere datum de nodige stappen ondernemen om te voldoen (artikel 111, lid 2)

Moet ik AI-tools voor medewerkers in de inventaris opnemen?

Ja. Artikel 4 omvat AI-systemen die uw personeel bedient en gebruikt, of ze nu hoogrisico zijn of niet. Bijlage III, punt 4, noemt toepassingen in arbeid, zoals werving en selectie, beslissingen over arbeidsvoorwaarden, taaktoewijzing en monitoring van prestaties en gedrag.

Lees verder: indeling en documentatie

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.

Bekijk hoe Scanara uw repositories scant