Skip to main content

Artikel 9: systeem voor risicobeheer voor hoogrisico-AI

Artikel 9 van de AI Act: aanbieders van hoogrisico-AI-systemen moeten een doorlopend systeem voor risicobeheer uitvoeren. Wat het omvat, wanneer het geldt, wat overtredingen kosten en waar u begint.

Aanbieders van hoogrisico-AI-systemen die op de EU-markt worden gebracht, moeten een systeem voor risicobeheer uitvoeren gedurende de hele levensduur van het systeem (artikel 9). Het proces stelt risico's vast, beoordeelt ze en beperkt ze.

De regel geldt vanaf 2 december 2027 voor systemen uit bijlage III (opgesomde hoogrisicogebruiken). Voor producten uit bijlage I geldt hij vanaf 2 augustus 2028 (artikel 113, punt c). Producten uit afdeling B zijn uitgesloten (artikel 2(2)). Boetes voor overtredingen bedragen tot 15 miljoen EUR of 3 % van de wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Volgende stap: controleer met artikel 6 of uw systeem een hoog risico heeft en begin dan met een risicoregister.

Artikel 9 vraagt risico's vast te stellen, te beoordelen, te beperken en te testen

Risico's vaststellen

Som de bekende en redelijkerwijs voorzienbare risico's voor gezondheid, veiligheid of grondrechten op wanneer het systeem wordt gebruikt zoals bedoeld (artikel 9(2), punt a)). Alleen risico's die u redelijkerwijs kunt beperken door ontwerp, ontwikkeling of technische informatie tellen mee (artikel 9(3)).

Risico's inschatten en beoordelen

Neem risico's bij redelijkerwijs voorzienbaar misbruik mee, en risico's die blijken uit data van monitoring na het in de handel brengen (artikel 9(2), punten b) en c)).

Risico's beperken in vaste volgorde

Schakel risico's eerst uit of beperk ze door ontwerp en ontwikkeling. Voeg daarna maatregelen voor beperking en beheersing toe. Geef gebruiksverantwoordelijken dan informatie en, waar passend, opleiding. Het restrisico moet aanvaardbaar zijn (artikel 9(5)).

Testen aan de hand van vooraf bepaalde meetwaarden

Test tijdens de ontwikkeling en voordat het systeem in de handel wordt gebracht, aan de hand van vooraf bepaalde meetwaarden en probabilistische drempels (artikel 9(6) en (8)). Tests onder reële omstandigheden zijn mogelijk volgens artikel 60 (artikel 9(7)).

Rekening houden met kinderen en kwetsbare groepen

Ga na of het systeem waarschijnlijk nadelige gevolgen heeft voor personen onder de 18 jaar en, waar passend, voor andere kwetsbare groepen (artikel 9(9)).

Vier engineeringpraktijken die bewijs voor artikel 9 opleveren

Artikel 9 schrijft geen hulpmiddelen voor. Deze vier praktijken zijn suggesties voor een gedocumenteerd, herhaalbaar proces.

Risicoregister als code

Houd een machineleesbaar risicoregister (JSON of YAML) bij in versiebeheer naast de code. Noteer per risico de waarschijnlijkheid, de ernst, de beperkende maatregel en de verantwoordelijke.

Risicocontroles in CI/CD

Voeg aan de pipeline scans en tests toe die risicorelevante patronen melden, zoals ontbrekende invoervalidatie of ontbrekende betrouwbaarheidsdrempels.

Tests voor bekende risico's

Schrijf tests die controleren of elke maatregel werkt, met vooraf bepaalde meetwaarden en drempels (artikel 9(8)).

Monitoring na de release

Voer productiedata in het register in: prestatieverlies, drift, afwijkende uitvoer en menselijke ingrepen (artikel 9(2), punt c)).

Risicobeheer loopt door gedurende de hele levensduur

Artikel 9(2) beschrijft het systeem als een doorlopend iteratief proces gedurende de hele levensduur, met periodieke systematische toetsing en actualisering.

1

Risico's voor elke release vaststellen en inschatten.

2

Beperkende maatregelen uitvoeren en testen.

3

Na de release monitoren en de bevindingen terugkoppelen.

Veelgestelde vragen over artikel 9

Geldt artikel 9 voor alle AI-systemen?

Nee. Artikel 9 geldt voor hoogrisico-AI-systemen, die artikel 6 definieert via bijlage III en bijlage I. Het geldt vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen uit bijlage I (artikel 113, punt c). Voor hoogrisicosystemen die verband houden met producten onder wetgeving uit bijlage I, afdeling B, gelden alleen artikel 6(1), artikel 60 bis en de artikelen 102 tot en met 112, en de artikelen 57 tot en met 59 gelden alleen voor zover de eisen voor hoogrisico-AI-systemen in die wetgeving zijn opgenomen (artikel 2(2)).

Welke documentatie vraagt artikel 9?

Artikel 9(1) vraagt dat het systeem voor risicobeheer wordt gedocumenteerd, en bijlage IV, punt 5, vraagt een gedetailleerde beschrijving ervan in de technische documentatie. De verordening noemt geen vaste set documenten. Leg de risico's, de maatregelen, de beoordeling van het restrisico en de testresultaten vast.

Hoe vaak moet het systeem voor risicobeheer worden getoetst?

Regelmatig en systematisch gedurende de hele levensduur (artikel 9(2)). De verordening noemt geen vast interval.

Wie is verantwoordelijk voor het systeem voor risicobeheer?

De aanbieder. Aanbieders moeten ervoor zorgen dat hun hoogrisico-AI-systemen voldoen aan de eisen van afdeling 2, artikel 9 inbegrepen (artikel 16, punt a)). Gebruiksverantwoordelijken voeren het niet uit, maar moeten de werking van het systeem monitoren en waar relevant de aanbieders informeren (artikel 26(5)).

Welke boete geldt als een aanbieder artikel 9 schendt?

Boetes voor het schenden van de aanbiederplichten van artikel 16 bedragen tot 15 miljoen EUR of 3 % van de totale wereldwijde jaaromzet, als dat bedrag hoger is (artikel 99(4)). Voor mkb-bedrijven en kleine midcaps geldt het laagste van de twee bedragen als grens (artikel 99(6) en (6 bis)).

Lees verder: registratie, toezicht en technische documentatie

Scanara bereidt bewijs voor vanuit uw repositories

Scanara leest uw gekoppelde GitHub-repositories en voert regelgebaseerde scans uit op gangbare AI- en machine-learningpatronen. Niet-standaardcode kan het missen. Daarnaast genereert het conceptdocumentatie op basis van sjablonen en uw antwoorden in de beoordelingen, als bewijs voor uw compliancewerk. De indeling bepaalt u zelf.