EU AI-verordening compliance voor ontwikkelaars
Welke plichten uit de AI-verordening ontwikkelaars inbouwen in hoogrisico-AI-systemen, en drie gidsen over audittrails, CI/CD-pipelines en regelgebaseerd scannen.
Aanbieders van hoogrisico-AI-systemen moeten logging (artikel 12), menselijk toezicht (artikel 14), nauwkeurigheid en cyberbeveiliging (artikel 15) en actuele technische documentatie (artikel 11) inbouwen. Gebruiksverantwoordelijken bewaren logs (artikel 26(6)).
Deze plichten gelden vanaf 2 december 2027 (bijlage III) en vanaf 2 augustus 2028 (bijlage I). Artikel 2 noemt uitzonderingen. De boetes bedragen maximaal 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Volgende stap: kies hieronder de gids voor uw taak.
Drie gidsen: logs, pipelinecontroles en regelgebaseerd scannen
AI-verordening naleving in uw CI/CD-pipeline
Wat de verordening eist en een CI/CD-pipeline kan onderbouwen, drie pipelinefasen, hoe de GitHub merge gate van Scanara werkt en waar regelgebaseerde scans ophouden.
Compliance als code voor AI-systemen
Hoe compliance als code werkt voor de artikelen 9 tot en met 15: wat een regel kan toetsen, wat bij een mens blijft en wat de regelgebaseerde scans van Scanara wel en niet dekken.
Audittrail-vereisten van de AI-verordening
Wat de artikelen 12, 19 en 26(6) van logging eisen, wat de verordening openlaat en welke technische werkwijzen logs als bewijs beschermen.
EU AI-verordening compliance-checklist
Een checklist met de verplichtingen uit Verordening (EU) 2024/1689 per rol en risicoklasse, met het artikel bij elk punt.
Uitzonderingen, oudere systemen en maxima voor boetes
De verordening is niet van toepassing op AI-systemen die uitsluitend voor militaire doeleinden, defensie of nationale veiligheid worden gebruikt (artikel 2(3)). Ze is niet van toepassing op AI-systemen die specifiek en uitsluitend voor wetenschappelijk onderzoek en wetenschappelijke ontwikkeling zijn ontwikkeld en in gebruik gesteld (artikel 2(6)), noch op onderzoek, testen of ontwikkeling vóór het in de handel brengen of in gebruik stellen, behalve testen onder reële omstandigheden (artikel 2(8)). Systemen onder vrije en opensourcelicenties zijn uitgezonderd, tenzij ze als hoogrisicosystemen in de handel worden gebracht of in gebruik worden gesteld of onder artikel 5 of 50 vallen (artikel 2(12)). Natuurlijke personen die een systeem in een zuiver persoonlijke niet-beroepsmatige activiteit gebruiken, zijn niet als gebruiksverantwoordelijke gebonden (artikel 2(10)). Voor hoogrisicosystemen die verband houden met producten onder wetgeving uit bijlage I, afdeling B, zoals motorvoertuigen, luchtvaart, spoorwegen, scheepsuitrusting, landbouwvoertuigen en machines, gelden alleen artikel 6(1), artikel 60a en de artikelen 102 tot en met 112. De artikelen 57 tot en met 59 gelden alleen voor zover die wetgeving de vereisten overneemt (artikel 2(2)).
Hoogrisicosystemen die vóór de toepassingsdatum in de handel zijn gebracht of in gebruik zijn gesteld, vallen er pas onder na ingrijpende ontwerpwijzigingen. In elk geval moeten aanbieders en gebruiksverantwoordelijken van hoogrisico-AI-systemen die bedoeld zijn om door overheidsinstanties te worden gebruikt, uiterlijk 2 augustus 2030 de nodige stappen ondernemen om te voldoen (artikel 111(2)).
Voor mkb-bedrijven geldt per boete het laagste percentage of bedrag als maximum (artikel 99(6)). Voor kleine midcapondernemingen (artikel 3, punt 14b) geldt hetzelfde maximum voor boetes uit artikel 99, leden 4 en 5 (artikel 99(6a)). De categorie van 15 miljoen EUR omvat ook de verplichtingen van aanbieders en marktdeelnemers uit artikel 25, leden 2 en 4 (artikel 99(4), punt da)).
Scanara bereidt bewijs voor vanuit uw repositories
Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.