AI Act Kompas

Artikel 11 verplicht aanbieders van hoog-risico AI-systemen om technische documentatie op te stellen vóórdat het systeem in de handel wordt gebracht, en die actueel te houden. De inhoud staat in bijlage IV. Het doel is helder: een toezichthouder moet aan de hand van dit dossier kunnen vaststellen dat het systeem aan alle eisen voldoet.

De negen onderdelen van bijlage IV

1. Algemene beschrijving van het AI-systeem

Het beoogde doel, de naam van de aanbieder en de versie, hoe het systeem samenwerkt met hardware of software die geen deel uitmaakt van het systeem zelf, de relevante softwareversies, alle vormen waarin het systeem op de markt wordt gebracht, de hardwarevereisten, hoe het product eruitziet als het systeem een onderdeel van een product is, gebruiksaanwijzingen en installatie-instructies.

2. Gedetailleerde beschrijving van de elementen en het ontwikkelproces

Dit is het omvangrijkste onderdeel. Het omvat onder meer:

• de ontwikkelmethoden en -stappen, inclusief het gebruik van vooraf getrainde systemen of tools van derden;
• de ontwerpspecificaties: de algemene logica, de belangrijkste ontwerpkeuzes met onderbouwing, de classificatiekeuzes, wat het systeem moet optimaliseren en met welke gewichten;
• de systeemarchitectuur: hoe softwarecomponenten op elkaar voortbouwen en hoe ze in de algehele verwerking passen;
• de datavereisten: databladen met beschrijving van trainings-, validatie- en testdata, herkomst, omvang, kenmerken, verzamelmethoden, labeling en opschoning — zie datagovernance;
• de beoordeling van de maatregelen voor menselijk toezicht conform artikel 14, inclusief de technische voorzieningen om de output te interpreteren;
• waar van toepassing: een beschrijving van vooraf bepaalde wijzigingen aan het systeem en de prestaties, plus de technische oplossingen om te blijven voldoen;
• de gebruikte validatie- en testprocedures, testgegevens, en de meetstatistieken voor nauwkeurigheid, robuustheid en naleving van de eisen — inclusief testlogboeken en testverslagen met datum en handtekening;
• de getroffen cyberbeveiligingsmaatregelen.

3. Monitoring, werking en controle

Informatie over de capaciteiten en beperkingen van het systeem, inclusief de mate van nauwkeurigheid voor specifieke personen of groepen en het algemene verwachte nauwkeurigheidsniveau. Ook: de voorzienbare onbedoelde uitkomsten en risicobronnen voor gezondheid, veiligheid en grondrechten, de menselijke toezichtmaatregelen en de technische maatregelen die de output-interpretatie vergemakkelijken. Voor zover van toepassing ook specificaties over inputdata.

4. Passendheid van de prestatiestatistieken

Een beschrijving van waarom de gekozen prestatiemaatstaven geschikt zijn voor dit specifieke systeem. Nauwkeurigheid alleen zegt weinig bij ongebalanceerde datasets; je moet onderbouwen waarom jouw metriek de juiste is.

5. Het risicobeheersysteem

Een gedetailleerde beschrijving van het risicobeheersysteem conform artikel 9 — de geïdentificeerde risico's, de maatregelen en het restrisico.

6. Wijzigingen gedurende de levenscyclus

Een beschrijving van de relevante wijzigingen die de aanbieder gedurende de levenscyclus in het systeem heeft aangebracht. Dit is direct gekoppeld aan de vraag of er sprake is van een substantiële wijziging.

7. Toegepaste normen

Een lijst van de volledig of gedeeltelijk toegepaste geharmoniseerde normen. Zijn die niet toegepast, dan een gedetailleerde beschrijving van de gekozen oplossingen om aan de eisen te voldoen, inclusief een lijst van andere gebruikte normen of technische specificaties.

8. De EU-conformiteitsverklaring

Een kopie van de EU-conformiteitsverklaring zoals bedoeld in artikel 47.

9. Het plan voor monitoring na het in de handel brengen

Een gedetailleerde beschrijving van het systeem voor monitoring van de prestaties na marktintroductie, inclusief het monitoringplan conform artikel 72.

Praktische aanpak

1. Bouw het dossier tijdens de ontwikkeling op, niet achteraf. Ontwerpkeuzes, aannames en testresultaten reconstrueren maanden later kost een veelvoud van de tijd.
2. Werk met één documentatiestructuur die bijlage IV volgt. Dan zie je in één oogopslag welke onderdelen nog ontbreken.
3. Koppel documenten aan versies. Elk modelrelease krijgt een datastaat, testrapport en risicoregister-versie.
4. Automatiseer wat kan. Model cards, dataset cards en testrapporten kunnen grotendeels uit je pipeline rollen.
5. Ben je deployer? Vraag de aanbieder om de gebruiksaanwijzing van artikel 13 en om bevestiging dat de bijlage IV-documentatie bestaat. Neem dat op in je contractvoorwaarden.

Valt jouw AI-systeem onder een product uit bijlage I, dan mag je één set documentatie maken die zowel aan de AI Act als aan de sectorale wetgeving voldoet. Zie AI in machines en gereguleerde producten.