AI Act Kompas

Aanbieders van hoog-risico AI-systemen moeten op grond van artikel 17 een kwaliteitsmanagementsysteem (KMS) instellen. Dat systeem moet schriftelijk zijn vastgelegd in beleidsmaatregelen, procedures en instructies, en ten minste dertien elementen bevatten. Hieronder alle dertien, met wat ze in de praktijk betekenen.

De dertien verplichte elementen

1. Strategie voor naleving van de regelgeving, inclusief naleving van conformiteitsbeoordelingsprocedures en van de procedures voor het beheer van wijzigingen aan het systeem.
2. Technieken, procedures en systematische maatregelen voor het ontwerp, de ontwerpcontrole en de ontwerpverificatie.
3. Technieken, procedures en maatregelen voor ontwikkeling, kwaliteitscontrole en kwaliteitsborging.
4. Onderzoeks-, test- en validatieprocedures: wat je doet vóór, tijdens en na de ontwikkeling, en hoe vaak.
5. Technische specificaties, inclusief normen, en — wanneer geharmoniseerde normen niet volledig worden toegepast — de middelen waarmee je toch aan de eisen voldoet.
6. Systemen en procedures voor databeheer: verwerving, verzameling, analyse, labeling, opslag, filtering, datamining, aggregatie, retentie en alle andere handelingen met data vóór en ten behoeve van het in de handel brengen. Zie datagovernance.
7. Het risicobeheersysteem van artikel 9.
8. Het opzetten, toepassen en onderhouden van een systeem voor monitoring na het in de handel brengen (artikel 72).
9. Procedures voor het melden van ernstige incidenten conform artikel 73.
10. De afhandeling van de communicatie met nationale bevoegde autoriteiten, andere relevante autoriteiten, aangemelde instanties, andere marktdeelnemers, klanten of andere belanghebbenden.
11. Systemen en procedures voor de registratie van alle relevante documentatie en informatie.
12. Beheer van hulpbronnen, met inbegrip van maatregelen op het gebied van voorzieningszekerheid.
13. Een verantwoordingskader waarin de verantwoordelijkheden van het management en ander personeel zijn vastgelegd met betrekking tot alle bovengenoemde aspecten.

Wat dit in de praktijk betekent

Wie deze lijst leest herkent de structuur van een klassiek kwaliteitssysteem, aangevuld met AI-specifieke onderdelen. Drie elementen verdienen extra aandacht omdat ze in de praktijk het vaakst ontbreken:

Wijzigingsbeheer (element 1)

AI-systemen veranderen continu: nieuwe modelversies, andere prompts, aangepaste drempelwaarden, nieuwe datastromen. Zonder vastgelegde wijzigingsprocedure weet niemand meer welke versie is beoordeeld en of er sprake is van een substantiële wijziging. Regel dit als een poort: elke wijziging krijgt een impactbeoordeling en wordt vastgelegd.

Databeheer (element 6)

Dit gaat verder dan alleen trainingsdata. De verordening noemt expliciet de hele keten van verwerving tot retentie. In de praktijk betekent dit: gedocumenteerde herkomst van datasets, een labelingsprotocol met kwaliteitscontrole, en vastgelegde criteria voor welke data wel en niet mag worden gebruikt.

Verantwoordingskader (element 13)

Wie is eigenaar van welk AI-systeem? Wie mag een release goedkeuren? Wie beslist over uitzetten bij een incident? Zonder namen en mandaten valt het hele bouwwerk om zodra het spannend wordt. Leg dit vast op functieniveau, inclusief escalatiepad naar het bestuur.

Aansluiten op bestaande systemen

Heb je al een ISO 9001-, ISO 27001- of ISO 13485-systeem, bouw dan voort in plaats van opnieuw te beginnen. In de praktijk kun je de meeste elementen als AI-specifieke aanvulling in bestaande procedures verwerken. ISO/IEC 42001, de norm voor AI-managementsystemen, is speciaal hiervoor ontworpen en volgt dezelfde high-level structuur.

Voor financiële instellingen die op grond van het Unierecht al aan governance-, regelings- of procesvereisten zijn onderworpen, geldt dat de verplichting wordt geacht te zijn vervuld door naleving van die sectorale regels — met uitzondering van enkele specifieke elementen. Zie AI Act voor banken en verzekeraars.

Waarom je dit niet kunt uitstellen

Het kwaliteitsmanagementsysteem wordt beoordeeld tijdens de conformiteitsbeoordeling. Bij de procedure via een aangemelde instantie wordt het KMS zelfs expliciet geauditeerd. En bij markttoezicht is het vaak het eerste wat wordt opgevraagd: niet het model, maar de procedures eromheen. Een goed KMS is daarmee ook je beste verdediging — het laat zien dat een incident een uitzondering was, geen structureel gebrek.