Kort samengevat
- Zet je je eigen merk op een hoog-risico systeem, dan word je aanbieder — ook zonder één regel code te schrijven.
- Wijzig je het beoogde doel van een systeem zodat het hoog risico wordt, dan word je aanbieder.
- Een substantiële wijziging die de conformiteit raakt, maakt je eveneens aanbieder.
- De oorspronkelijke aanbieder moet je dan de informatie en technische toegang geven die je nodig hebt om aan de eisen te voldoen.
De AI Act verdeelt verplichtingen naar rol. De aanbieder draagt het zwaarste pakket: risicobeheer, datagovernance, technische documentatie, conformiteitsbeoordeling, CE-markering, registratie en monitoring. De gebruiksverantwoordelijke heeft een aanzienlijk kortere lijst. Precies daarom is artikel 25 zo belangrijk: het beschrijft de situaties waarin je van de ene rol in de andere rolt — vaak zonder dat je het doorhebt.
De drie omslagmomenten
Een distributeur, importeur, deployer of andere derde wordt volgens artikel 25 lid 1 aangemerkt als aanbieder van een hoog-risico AI-systeem wanneer een van deze situaties zich voordoet:
- Naam of merk aanbrengen. Je zet je eigen merk op een systeem dat al in de handel is gebracht. Denk aan white-labelsoftware die je als "jouw" platform aan klanten aanbiedt.
- Het beoogde doel wijzigen. Je gebruikt een systeem voor iets anders dan waarvoor de oorspronkelijke aanbieder het bedoelde, en door die wijziging wordt het een hoog-risico systeem.
- Een substantiële wijziging aanbrengen aan een hoog-risico systeem, waardoor het hoog-risico systeem blijft in de zin van artikel 6.
- Daarnaast: wie een GPAI-model aanpast of gebruikt op een manier waardoor het een hoog-risico AI-systeem wordt, valt onder hetzelfde regime.
De oorspronkelijke aanbieder is in die gevallen niet langer aanbieder van dát systeem — maar moet wel meewerken: hij moet de nieuwe aanbieder de nodige informatie, technische toegang en redelijke bijstand verlenen om aan de verplichtingen te kunnen voldoen, tenzij hij uitdrukkelijk heeft aangegeven dat zijn systeem niet in een hoog-risico systeem mag worden omgezet.
Wat telt als substantiële wijziging?
De definitie staat in artikel 3: een wijziging na het in de handel brengen of in gebruik nemen die niet was voorzien of gepland in de initiële conformiteitsbeoordeling door de aanbieder, en waardoor de naleving van de eisen uit hoofdstuk III afdeling 2 wordt aangetast, of die leidt tot een wijziging van het beoogde doel.
Twee elementen zijn beslissend:
- Was het voorzien? Een aanbieder mag hertraining, updates en parameteraanpassingen vooraf beschrijven in de technische documentatie. Blijf je binnen die vooraf beoordeelde grenzen, dan is er geen substantiële wijziging. Voor systemen die na uitrol blijven leren, is dit expliciet geregeld.
- Raakt het de conformiteit? Een cosmetische aanpassing van de interface raakt de eisen niet. Een ander onderliggend model, andere trainingsdata of een aangepaste beslissingsdrempel doorgaans wél.
Vier praktijkvoorbeelden
Voorbeeld 1 — de HR-tool met eigen merk
Een detacheerder koopt een selectieplatform in en biedt het klanten aan als "eigen" matchingtool met eigen logo en huisstijl. Dat is scenario 1: de detacheerder wordt aanbieder van een hoog-risico systeem uit bijlage III en moet dus een conformiteitsbeoordeling, CE-markering, technische documentatie en registratie regelen.
Voorbeeld 2 — de chatbot die gaat beslissen
Een gemeente gebruikt een algemene chatassistent voor vragen over openingstijden. Vervolgens wordt hij ingezet om aanvragen voor bijzondere bijstand voor te sorteren en af te wijzen. Het beoogde doel verandert en het systeem raakt aan toegang tot essentiële overheidsdiensten. Scenario 2: de gemeente wordt aanbieder.
Voorbeeld 3 — fine-tunen binnen het doel
Een bank fine-tunet een leverancierstool op eigen historische data, exact binnen het gebruiksscenario en de parameters die de leverancier in de documentatie heeft beschreven en beoordeeld. Geen substantiële wijziging — de bank blijft deployer. Wel moet zij de inputdata bewaken (artikel 26 lid 4) en het resultaat monitoren.
Voorbeeld 4 — het interne model
Een zorginstelling bouwt zelf een triagemodel op eigen data. Dan is er geen leverancier: de instelling is vanaf dag één aanbieder én deployer, en draagt beide pakketten. Zie AI Act in de zorg.
Hoe je dit beheerst
- Leg per systeem je rol vast in je AI-register, met de datum en de onderbouwing.
- Definieer een wijzigingsprocedure. Elke aanpassing aan model, data, drempels of doel gaat langs een korte toets: raakt dit de conformiteit of het beoogde doel?
- Regel het contractueel. Vraag de leverancier expliciet welke aanpassingen binnen de beoordeelde grenzen vallen en welke niet — zie AI inkopen en contracteren.
- Bewaak marketingtaal. "Ons eigen AI-platform" op een website kan feitelijk een merkaanbrenging zijn.
- Toets bij elke nieuwe use case opnieuw. De rol hangt aan het systeem én het doel, niet aan de leverancier.
De volledige tekst staat in artikel 25 van Verordening (EU) 2024/1689.
Veelgestelde vragen
Word ik aanbieder als ik een AI-model fine-tune?
Dat hangt af van de impact. Fine-tunen binnen het beoogde doel en zonder de conformiteit te raken, maakt je nog geen aanbieder. Verandert het gedrag van het systeem wezenlijk of gebruik je het voor een ander doel dat hoog risico is, dan val je onder artikel 25 en word je aanbieder van het gewijzigde systeem.
Wat is een substantiële wijziging onder de AI Act?
Een wijziging na het in de handel brengen of in gebruik nemen die niet was voorzien in de oorspronkelijke conformiteitsbeoordeling en die de naleving van de eisen uit hoofdstuk III raakt, of die het beoogde doel verandert. Voorziene aanpassingen die de aanbieder al in de technische documentatie had opgenomen — zoals geplande hertraining binnen vastgelegde grenzen — tellen niet mee.
Wat als ik AI-software van een leverancier onder mijn eigen merk aanbied?
Dan word je zelf aanbieder. Artikel 25 lid 1 onder a bepaalt dat wie zijn naam of merk aanbrengt op een al in de handel gebracht hoog-risico systeem, als aanbieder wordt aangemerkt — met alle bijbehorende verplichtingen, inclusief conformiteitsbeoordeling en CE-markering.