Kort samengevat
- Aanbieders van hoog-risico systemen uit bijlage III moeten zich én hun systeem registreren vóór het in de handel brengen of in gebruik nemen.
- Ook wie op grond van artikel 6 lid 3 concludeert geen hoog risico te zijn, moet registreren.
- Overheidsinstanties die een hoog-risico systeem gebruiken, registreren zichzelf als gebruiksverantwoordelijke.
- Het grootste deel van de databank is openbaar toegankelijk; voor rechtshandhaving en migratie geldt een beveiligd, niet-openbaar deel.
De AI Act creëert met artikel 71 een EU-databank waarin hoog-risico AI-systemen worden geregistreerd. Artikel 49 regelt wie wat moet registreren. Het idee erachter is eenvoudig: transparantie over welke systemen in Europa in gebruik zijn, wie ze aanbiedt en waarvoor ze bedoeld zijn.
Wie registreert wat?
Aanbieders van bijlage III-systemen
Voordat een hoog-risico AI-systeem uit bijlage III in de handel wordt gebracht of in gebruik wordt genomen, registreert de aanbieder — of zijn gemachtigde — zichzelf en het systeem in de databank. Systemen die vallen onder bijlage III punt 2 (kritieke infrastructuur) worden op nationaal niveau geregistreerd.
Aanbieders die zich op de uitzondering beroepen
Kom je via artikel 6 lid 3 tot de conclusie dat je systeem géén hoog risico oplevert, dan moet je je toch registreren. Zo wordt zichtbaar hoeveel en welke uitzonderingsberoepen worden gedaan — en kan de toezichthouder je documentatie opvragen.
Gebruiksverantwoordelijken die overheidsinstantie zijn
Overheidsinstanties, agentschappen of organen — en partijen die namens hen handelen — die een hoog-risico AI-systeem uit bijlage III gebruiken, registreren zichzelf, selecteren het systeem en registreren het gebruik. Voor Nederlandse gemeenten, uitvoeringsorganisaties en departementen komt deze verplichting bovenop het bestaande nationale algoritmeregister.
Welke gegevens worden opgenomen?
Bijlage VIII beschrijft de gegevens die aanbieders moeten aanleveren. Onder meer:
- naam, adres en contactgegevens van de aanbieder (en gemachtigde);
- de handelsnaam en aanvullende identificatiegegevens van het AI-systeem;
- een beschrijving van het beoogde doel en van de componenten en functies die door het systeem worden ondersteund;
- een basis- en beknopte beschrijving van de informatie die het systeem gebruikt (data, inputs) en de werking ervan;
- de status van het systeem (in de handel, uit de handel genomen, teruggeroepen);
- het type, nummer en de vervaldatum van het certificaat van de aangemelde instantie, indien van toepassing;
- een kopie van de EU-conformiteitsverklaring;
- een elektronische gebruiksaanwijzing (niet vereist voor systemen op het gebied van rechtshandhaving en migratie);
- de lidstaten waarin het systeem beschikbaar is of zal zijn.
Voor gebruiksverantwoordelijken die overheidsinstantie zijn, gaat het onder meer om identificatiegegevens, het gebruikte systeem en — waar van toepassing — een samenvatting van de grondrechteneffectbeoordeling.
Openbaarheid en de uitzondering
De databank is in beginsel publiek toegankelijk: kosteloos, gebruikersvriendelijk, navigeerbaar en machineleesbaar. Persoonsgegevens worden alleen opgenomen voor zover noodzakelijk, met name de contactgegevens van de betrokken rechtspersonen.
Voor hoog-risico AI-systemen op het gebied van rechtshandhaving, migratie, asiel en grenscontrole geldt een uitzondering: die worden geregistreerd in een beveiligd, niet-openbaar deel van de databank dat alleen toegankelijk is voor de Commissie en de betrokken nationale autoriteiten. Zie AI Act en rechtshandhaving.
Waarom dit voor jou nuttig is — ook als je niet hoeft te registreren
De databank is niet alleen een verplichting, maar ook een informatiebron. Als deployer kun je nagaan of een leverancier zijn systeem daadwerkelijk heeft geregistreerd, welk beoogd doel is opgegeven en of er een certificaat van een aangemelde instantie aan hangt. Wijkt jouw gebruik af van het geregistreerde beoogde doel, dan is dat een signaal dat je mogelijk zelf aanbieder wordt.
Praktische stappen
- Bepaal per systeem of het onder bijlage III valt en wie registratieplichtig is.
- Verzamel de gegevens uit bijlage VIII vroeg in het traject — met name het beoogde doel en de conformiteitsverklaring.
- Plan registratie vóór de go-live-datum, niet erna.
- Houd de registratie actueel bij statuswijzigingen, nieuwe lidstaten of intrekking van het systeem.
- Ben je overheidsinstantie: stem de EU-registratie af met je invoer in het nationale algoritmeregister, zodat de beschrijvingen niet uiteenlopen.
Verantwoordelijke voor de databank is de Europese Commissie, die daarvoor de nodige technische en administratieve ondersteuning levert.
Veelgestelde vragen
Wie moet zich registreren in de EU-databank voor AI?
Aanbieders — en waar van toepassing gemachtigden — van hoog-risico AI-systemen uit bijlage III registreren zichzelf en hun systeem voordat het in de handel wordt gebracht of in gebruik wordt genomen. Daarnaast registreren gebruiksverantwoordelijken die overheidsinstantie zijn, of namens hen optreden, zichzelf en het systeem dat zij gebruiken.
Is de EU-databank openbaar?
Ja, grotendeels. De informatie is kosteloos, gebruikersvriendelijk en machineleesbaar toegankelijk voor het publiek. Voor hoog-risico systemen op het gebied van rechtshandhaving, migratie, asiel en grenscontrole geldt een apart, beveiligd deel dat alleen toegankelijk is voor de Commissie en de nationale autoriteiten.
Moet ik registreren als ik concludeer dat mijn systeem geen hoog risico is?
Ja. Wie op grond van artikel 6 lid 3 vaststelt dat een systeem uit bijlage III geen hoog risico oplevert, moet zichzelf en dat systeem toch registreren. De databank maakt zo zichtbaar welke uitzonderingsberoepen zijn gedaan.