De EU AI Act wordt stapsgewijs van kracht, en de meeste organisaties kijken daarbij naar hun eigen AI. Het addertje zit elders: de verordening verwacht ook dat u grip heeft op de AI die via uw leveranciers binnenkomt. En die AI zit vaak al in de software die u draait — soms zonder dat iemand het heeft aangezet.
Wat de AI Act van u verwacht — ook bij leveranciers
De AI Act werkt risicogebaseerd: hoe hoger het risico van een AI-systeem, hoe strenger de eisen. Voor uw sourcing betekent dat u niet alleen naar uw eigen toepassingen moet kijken, maar ook naar de AI in de diensten die u afneemt. Als een leverancier hoog-risico-AI in uw processen laat draaien, raakt dat uw verantwoordelijkheid.
De verordening vraagt niet dat u innovatie afremt. Ze vraagt dat u aantoonbaar in control bent: dat u weet welke AI er speelt, in welke risicoklasse die valt en welke maatregelen eraan hangen.
Begin met een inventarisatie en risicoklasse
De eerste stap is onspectaculair maar onmisbaar: breng in kaart welke AI er draait in de software die u afneemt. Welke leverancier, welk systeem, welk doel, welke data? Veel organisaties ontdekken hierbij AI-functies waarvan ze het bestaan niet kenden.
Bepaal vervolgens per systeem de risicoklasse volgens de AI Act. Dat bepaalt welke eisen gelden — van basale transparantie tot zwaardere verplichtingen rond documentatie, menselijk toezicht en logging.
Van eis naar aantoonbaar dossier
Compliance is uiteindelijk aantoonbaarheid. Vertaal de eisen per risicoklasse naar concrete afspraken die u meeneemt in selectie en contract, en leg de uitkomsten vast in een dossier per leverancier. Dat dossier is wat u aan uw directie, uw klant en de toezichthouder laat zien.
Doet u dit bij de inkoop, dan is het onderdeel van de onderhandeling en vrijwel gratis. Doet u het achteraf, dan onderhandelt u vanuit een zwakke positie en betaalt u de rekening in tijd en meerkosten.
Wat u nu concreet zou doen
Start een AI-inventarisatie over uw hele leverancierslandschap en classificeer elk systeem op risico.
Neem AI-eisen en een dossierverplichting standaard op in uw programma van eisen en uw contracten, zodat elke nieuwe of verlengde overeenkomst automatisch AI-Act-proof is.
Dit artikel biedt algemene informatie en is geen juridisch of financieel advies. Wilt u dit toepassen op uw eigen situatie? Neem contact op.