AI Act Kompas

Artikel 73 regelt de meldplicht voor ernstige incidenten met hoog-risico AI-systemen. Het is het sluitstuk van de monitoringketen: logging levert het bewijs, monitoring na het in de handel brengen signaleert patronen, en artikel 73 zorgt dat de toezichthouder ervan hoort.

Wat telt als ernstig incident?

De definitie in artikel 3 noemt vier categorieën. Een ernstig incident is een incident of storing van een AI-systeem dat direct of indirect leidt tot:

1. het overlijden van een persoon of ernstige schade aan de gezondheid van een persoon;
2. een ernstige en onomkeerbare verstoring van het beheer of de exploitatie van kritieke infrastructuur;
3. de schending van verplichtingen uit hoofde van het Unierecht ter bescherming van grondrechten;
4. ernstige schade aan eigendommen of het milieu.

Categorie 3 verdient aandacht: die maakt bijvoorbeeld structurele discriminatie door een selectie- of kredietmodel tot een meldingsplichtig incident. Dat is een wezenlijk andere invalshoek dan de klassieke productveiligheid en wordt in de praktijk het vaakst over het hoofd gezien.

De meldtermijnen

De meldplicht ontstaat zodra de aanbieder een causaal verband tussen het AI-systeem en het incident heeft vastgesteld, of redelijkerwijs kan vermoeden dat dat verband bestaat. Vanaf dat moment gelden deze termijnen:

• Standaard: uiterlijk 15 dagen na kennisname van het ernstige incident.
• Wijdverbreide inbreuk of ernstige verstoring van kritieke infrastructuur: uiterlijk 2 dagen.
• Overlijden van een persoon: uiterlijk 10 dagen na de datum waarop de aanbieder of deployer kennis kreeg van het incident.

Belangrijk: de verordening staat een onvolledige eerste melding uitdrukkelijk toe wanneer dat nodig is om tijdig te melden. Je vult later aan. Wachten tot je het hele verhaal rond hebt, is dus geen geldige reden om de termijn te overschrijden.

Waar meld je?

Bij de markttoezichthouder van de lidstaat waar het incident zich heeft voorgedaan. In Nederland is de RDI coördinerend markttoezichthouder; afhankelijk van de sector kan een andere autoriteit bevoegd zijn, en bij grondrechtelijke aspecten ligt een lijn naar de Autoriteit Persoonsgegevens. Zie handhaving in Nederland.

Wat je daarna moet doen

Na een melding rust op de aanbieder een onderzoeksplicht:

• het incident onderzoeken en een risicobeoordeling van het AI-systeem uitvoeren;
• corrigerende maatregelen nemen;
• samenwerken met de bevoegde autoriteiten en, in voorkomend geval, met de betrokken aangemelde instantie.

Uitdrukkelijk verboden is het uitvoeren van onderzoek waarbij het AI-systeem zo wordt gewijzigd dat dit gevolgen kan hebben voor een latere evaluatie van de oorzaken, vóórdat de autoriteiten daarover zijn geïnformeerd. Een snelle "fix" die de sporen wist, kan je dus duur komen te staan.

Samenloop met andere meldplichten

Veel organisaties hebben al meldplichten: datalekken onder de AVG (72 uur), incidenten onder NIS2, ICT-incidenten onder DORA, vigilantiemeldingen onder de MDR. Die blijven naast elkaar bestaan. Om dubbel werk te voorkomen kent de AI Act enkele afstemmingsregels — zo geldt voor hoog-risico systemen die al onder gelijkwaardige meldplichten uit sectorale wetgeving vallen, dat de melding voor bepaalde categorieën beperkt blijft tot incidenten die grondrechten raken. Zie AI Act naast andere digitale wetgeving.

Praktische voorbereiding

1. Definieer intern wat "ernstig" is en vertaal de vier categorieën naar herkenbare situaties in jouw proces.
2. Beleg de meldrol. Eén functionaris met mandaat, plus vervanging. Termijnen van twee dagen halen zich niet vanzelf.
3. Zorg dat logs direct beschikbaar zijn en niet worden overschreven — zie artikel 12.
4. Leg een bevriezingsprocedure vast: bij een vermoedelijk incident geen ongecontroleerde wijzigingen aan model of configuratie.
5. Oefen het scenario. Eén tabletop-oefening per jaar laat feilloos zien waar het misgaat.