Onder de AI-verordening ben je aanbieder als je een AI-systeem ontwikkelt of laat ontwikkelen en het onder eigen naam op de markt brengt, en gebruiksverantwoordelijke als je het onder eigen verantwoordelijkheid gebruikt (artikel 3, punten 3 en 4). Je rol bepaalt je verplichtingen. Laat je rol vaststellen voordat je een AI-systeem inkoopt, inbouwt of verkoopt.
Deze pagina is voor softwarebedrijven, maakbedrijven die AI in hun product inbouwen, importeurs, distributeurs en organisaties die AI-systemen gebruiken. Je leest welke rollen de verordening kent, welke plichten bij elke rol horen, wanneer je ongemerkt aanbieder wordt en wat je in contracten regelt. De algemene regels en data staan op onze hoofdpagina over de AI-verordening.
Welke rollen kent de AI-verordening?
De verordening kent vijf rollen in de keten: aanbieder, gebruiksverantwoordelijke, gemachtigde, importeur en distributeur (artikel 3, punten 3 tot en met 7). Samen met de productfabrikant heten zij operatoren (punt 8). Eén bedrijf kan meer rollen tegelijk hebben.
| Rol | Wie is dat? | Kernverplichtingen bij hoog risico |
|---|---|---|
| Aanbieder | Ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam of merk in de handel of in gebruik (punt 3) | Eisen van afdeling 2, kwaliteitsbeheer, conformiteitsbeoordeling, EU-conformiteitsverklaring, CE-markering, registratie (artikel 16) |
| Gebruiksverantwoordelijke | Gebruikt een AI-systeem onder eigen verantwoordelijkheid, niet voor een persoonlijke niet-beroepsactiviteit (punt 4) | Gebruik volgens de gebruiksaanwijzing, menselijk toezicht, logs bewaren, werknemers informeren (artikel 26) |
| Gemachtigde | In de EU gevestigd, met een schriftelijk mandaat van een aanbieder van buiten de EU (punt 5) | Taken uit het mandaat, zoals controle van de conformiteitsverklaring en contact met toezichthouders (artikel 22) |
| Importeur | In de EU gevestigd en brengt een AI-systeem in de handel met de naam of het merk van een partij van buiten de EU (punt 6) | Controleren of conformiteitsbeoordeling, documentatie, CE-markering en gemachtigde in orde zijn (artikel 23) |
| Distributeur | Andere partij in de keten die een AI-systeem op de EU-markt aanbiedt (punt 7) | Controleren op CE-markering, conformiteitsverklaring en gebruiksaanwijzing (artikel 24) |
Voor alle aanbieders en gebruiksverantwoordelijken geldt sinds 2 februari 2025 artikel 4: zij nemen maatregelen om de AI-geletterdheid van hun personeel te ondersteunen. Sinds de wijziging bij Verordening (EU) 2026/1744 hoeft dat geen bepaald niveau van kennis per persoon te garanderen (artikel 4 AI-verordening, geconsolideerd 27 juli 2026).
Wat moet een aanbieder regelen?
De aanbieder van een hoog-risicosysteem draagt de zwaarste plichten: het systeem moet aan de eisen voldoen, er is een kwaliteitsbeheersysteem, een conformiteitsbeoordeling, een EU-conformiteitsverklaring en een CE-markering, en het systeem wordt geregistreerd (artikel 16).
Ook buiten hoog risico heeft de aanbieder plichten. Een AI-systeem dat rechtstreeks met mensen communiceert, moet zo zijn ontworpen dat mensen weten dat zij met AI te maken hebben, tenzij dat duidelijk is (artikel 50 lid 1). Systemen die synthetische audio, beelden, video of tekst maken, moeten hun output machineleesbaar markeren (artikel 50 lid 2). Voor systemen die vóór 2 augustus 2026 in de handel zijn gebracht, geldt die markeringsplicht vanaf 2 december 2026 (artikel 111 lid 4).
- Stel vast of je systeem hoog risico is: als veiligheidscomponent van een product uit bijlage I, of als toepassing uit bijlage III, zoals werving en selectie (artikel 6).
- Leg vast welke eisen van afdeling 2 je al haalt en wat ontbreekt, zoals risicobeheer, data, technische documentatie en menselijk toezicht.
- Kies de conformiteitsbeoordeling en plan die vóór de toepassingsdatum voor jouw categorie (artikel 113).
- Regel de informatie voor je klanten: zij hebben de gebruiksaanwijzing nodig om hun eigen plichten na te komen.
Wat moet een gebruiksverantwoordelijke regelen?
Gebruik je een hoog-risicosysteem, dan gebruik je het volgens de gebruiksaanwijzing, wijs je bekwame mensen aan voor menselijk toezicht, bewaar je de logs ten minste zes maanden en informeer je werknemers vooraf als je het op de werkvloer inzet (artikel 26).
| Plicht van de gebruiksverantwoordelijke | Artikel 26 |
|---|---|
| Technische en organisatorische maatregelen om het systeem volgens de gebruiksaanwijzing te gebruiken | lid 1 |
| Menselijk toezicht door mensen met de nodige bekwaamheid, opleiding en autoriteit | lid 2 |
| Invoerdata relevant en representatief, voor zover je daar controle over hebt | lid 4 |
| Werking monitoren; bij een risico de aanbieder of distributeur en de toezichthouder informeren en het gebruik opschorten | lid 5 |
| Automatisch gegenereerde logs ten minste zes maanden bewaren, voor zover je ze beheert | lid 6 |
| Werknemersvertegenwoordigers en betrokken werknemers vooraf informeren bij gebruik op de werkplek | lid 7 |
Overheidsinstanties, private partijen die openbare diensten verlenen en gebruikers van systemen voor kredietwaardigheid of de prijsstelling van levens- en ziektekostenverzekeringen moeten bovendien vooraf een effectbeoordeling op grondrechten maken (artikel 27; bijlage III, punt 5, onder b en c). Wie een systeem gebruikt dat deepfakes maakt, moet melden dat de inhoud kunstmatig is gegenereerd of gemanipuleerd (artikel 50 lid 4).
Twijfel je of je software een hoog-risicosysteem is, of welke rol je hebt in een keten met leveranciers en klanten? Laat de advocaten product compliance van MAAK je rol en je contracten toetsen voordat de hoog-risico-eisen gaan gelden.
Wanneer word je zelf aanbieder?
Een distributeur, importeur, gebruiksverantwoordelijke of andere partij wordt aanbieder van een hoog-risicosysteem als hij er zijn naam of merk op zet, het ingrijpend wijzigt, of het doel zo wijzigt dat het een hoog-risicosysteem wordt (artikel 25 lid 1).
Alleen in het eerste geval, het aanbrengen van naam of merk, kan een contract de verplichtingen anders verdelen (artikel 25 lid 1, onder a). Word je aanbieder, dan geldt de oorspronkelijke aanbieder voor dat systeem niet langer als aanbieder. Hij moet wel nauw met je samenwerken en je de technische documentatie, informatie over beperkingen en de technische toegang geven die je nodig hebt (artikel 25 lid 2). Die samenwerkingsplicht vervalt als de oorspronkelijke aanbieder duidelijk heeft bepaald dat het systeem niet tot een hoog-risicosysteem mag worden omgevormd. Een maakbedrijf dat een AI-systeem als veiligheidscomponent in een product uit bijlage I, afdeling A, onder eigen naam in de handel brengt, geldt als aanbieder (artikel 25 lid 3).
Dit is het punt waar in de praktijk het meest misgaat: een bedrijf koopt een AI-model in, past het aan voor een eigen doel en verkoopt het onder eigen merk. Leg daarom in het inkoopcontract vast welke documentatie en toegang de leverancier levert, en of hij aanpassingen toestaat.
Vanaf wanneer gelden de verplichtingen?
De verordening geldt grotendeels sinds 2 augustus 2026. De hoog-risico-eisen gelden vanaf 2 december 2027 voor toepassingen uit bijlage III en vanaf 2 augustus 2028 voor AI in producten uit bijlage I (artikel 113, onder c).
| Onderdeel | Geldt vanaf | Bron |
|---|---|---|
| Algemene bepalingen, verboden praktijken en AI-geletterdheid (hoofdstukken I en II) | 2 februari 2025 | artikel 113, onder a |
| Nieuwe verboden praktijken uit artikel 5 lid 1, onder ba en bb | 2 december 2026 | artikel 113, onder a |
| Sancties en governance, AI-modellen voor algemene doeleinden | 2 augustus 2025 | artikel 113, onder b |
| Overige bepalingen, waaronder transparantie (artikel 50) | 2 augustus 2026 | artikel 113 |
| Hoog risico, bijlage III (zoals werving en selectie) | 2 december 2027 | artikel 113, onder c, punt i |
| Hoog risico, bijlage I (AI in gereguleerde producten) | 2 augustus 2028 | artikel 113, onder c, punt ii |
De data volgen de geconsolideerde tekst van 27 juli 2026, na de wijziging bij Verordening (EU) 2026/1744. Een hoog-risicosysteem dat vóór de toepassingsdatum op de markt is, valt alleen onder de verordening als het daarna ingrijpend in zijn ontwerp wordt gewijzigd; systemen voor overheidsinstanties moeten uiterlijk 2 augustus 2030 voldoen (artikel 111 lid 2).
Wie houdt in Nederland toezicht?
Dat regelt de Uitvoeringswet AI-verordening, die nog een wetsvoorstel is. Volgens het voorstel wordt de Autoriteit Persoonsgegevens toezichthouder voor verboden AI, transparantie en het grootste deel van bijlage III, naast sectorale toezichthouders.
Voor AI in producten zoals speelgoed, liften en medische hulpmiddelen blijft de toezichthouder voor die productwetgeving bevoegd. De verordening stelt de boetes zelf vast: tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet voor schending van de plichten van aanbieders, gemachtigden, importeurs, distributeurs en gebruiksverantwoordelijken en van artikel 50, en voor het mkb het laagste van beide bedragen (artikel 99 leden 4 en 6). Hoe het toezicht in Nederland is ingericht, lees je op onze pagina over toezicht op AI in Nederland.
Wanneer schakel je een advocaat in?
Als je rol in de keten niet vaststaat, als je een AI-systeem aanpast of onder eigen merk verkoopt, als een klant garanties eist, of als een toezichthouder vragen stelt. Een technisch adviseur toetst het systeem; een advocaat legt vast wie welke plicht draagt.
| Situatie | Wat er juridisch op het spel staat | Wat MAAK doet |
|---|---|---|
| Je koopt een AI-systeem in en past het aan voor je eigen product | Je kunt aanbieder worden met alle plichten van artikel 16 (artikel 25 lid 1) | Rol vaststellen; inkoopcontract met documentatie, toegang en vrijwaring |
| Een leverancier van buiten de EU vraagt je importeur of gemachtigde te worden | Plichten van artikel 22 of 23 en de boetes van artikel 99 lid 4 | Mandaat en contract beoordelen en onderhandelen |
| Een klant eist dat je instaat voor naleving van de AI-verordening | Aansprakelijkheid in de keten | Garanties afbakenen en afstemmen op je rol |
| Een toezichthouder vraagt documentatie op of kondigt een maatregel aan | Maatregelen en boetes (artikel 99) | Reactie voorbereiden, zienswijze, bezwaar en beroep |
Praktijkvoorbeeld: een HR-softwarebedrijf en zijn klanten
Stel: een Nederlands softwarebedrijf verkoopt een module die sollicitaties analyseert en kandidaten rangschikt, en een uitzendbureau gebruikt die module voor zijn klanten.
Dit voorbeeld is geanonimiseerd en vereenvoudigd. De module valt onder werving en selectie (bijlage III, punt 4, onder a), dus de hoog-risico-eisen gelden vanaf 2 december 2027. Het softwarebedrijf is aanbieder en regelt de conformiteitsbeoordeling, de documentatie en de gebruiksaanwijzing. Het uitzendbureau is gebruiksverantwoordelijke: het wijst medewerkers aan voor menselijk toezicht, bewaart de logs en informeert zijn personeel (artikel 26). Wil het uitzendbureau de module onder eigen naam aan klanten doorverkopen, dan wordt het zelf aanbieder (artikel 25 lid 1, onder a), tenzij het contract die plichten bij het softwarebedrijf laat. Beide partijen leggen dat nu vast, in plaats van in 2027.
Veelgestelde vragen over aanbieders en gebruiksverantwoordelijken
Wat is het verschil tussen een aanbieder en een gebruiksverantwoordelijke?
De aanbieder ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt; de gebruiksverantwoordelijke gebruikt het onder eigen verantwoordelijkheid (artikel 3, punten 3 en 4). De zwaarste plichten liggen bij de aanbieder.
Word ik aanbieder als ik een AI-systeem van een ander aanpas?
Ja, als je een hoog-risicosysteem ingrijpend wijzigt of het doel zo wijzigt dat het hoog risico wordt. Dat geldt ook als je je naam of merk erop zet, al kun je dat laatste in een contract anders regelen (artikel 25 lid 1).
Vanaf wanneer gelden de plichten voor hoog-risicosystemen?
Vanaf 2 december 2027 voor toepassingen uit bijlage III en vanaf 2 augustus 2028 voor AI in producten uit bijlage I (artikel 113, onder c).
Heb ik als gebruiker van AI ook plichten als het geen hoog-risicosysteem is?
Ja. Je neemt maatregelen voor de AI-geletterdheid van je personeel (artikel 4) en je meldt het als je deepfakes publiceert (artikel 50 lid 4).
Wanneer schakel ik een advocaat in bij de AI-verordening?
Als je rol in de keten niet vaststaat, als je een AI-systeem aanpast of onder eigen merk verkoopt, als een klant garanties eist, of als een toezichthouder vragen stelt.
Primaire bronnen
Laatst gecontroleerd op 28 oktober 2026 · volgende relevante datum: 2 december 2026 (nieuwe verboden en markeringsplicht voor bestaande systemen).
- Verordening (EU) 2024/1689 (AI-verordening), geconsolideerde tekst van 27 juli 2026: artikelen 3, 4, 6, 16, 22-27, 50, 99, 111 en 113 en bijlage III
- Verordening (EU) 2026/1744 (digitale omnibus over AI), tot wijziging van de AI-verordening
- Autoriteit Persoonsgegevens, uitvoerings- en handhaafbaarheidstoets Uitvoeringswet AI-verordening (1 september 2026)
- Begroting Justitie en Veiligheid 2027 (Kamerstukken II 2026/27, 37 020 VI, nr. 2), over de taken van de AP onder de uitvoeringswet
