Voordat een hoog-risico-AI-systeem dat valt onder Bijlage III op de EU-markt in de handel kan worden gebracht, moet de aanbieder het onderwerpen aan een conformiteitsbeoordelingsprocedure op grond van artikel 43. Er zijn twee routes: Bijlage VI (interne controle) en Bijlage VII (kwaliteitsmanagementssysteem- en technische-documentatiebeoordeling met een aangemelde instantie). De keuze hangt af van welk punt van Bijlage III van toepassing is en of geharmoniseerde normen zijn gebruikt.

De twee procedures

• Bijlage VI — interne controle. De aanbieder verifieert dat zijn kwaliteitsmanagementssysteem voldoet aan artikel 17, onderzoekt de technische documentatie om de naleving van de essentiële vereisten van afdeling 2 (artikelen 8 tot en met 15) door het AI-systeem te beoordelen, en verifieert dat het ontwerp- en ontwikkelingsproces en het postmarktonbewakingssysteem in overeenstemming zijn met de technische documentatie. Er is geen aangemelde instantie betrokken.
• Bijlage VII — beoordeling met een aangemelde instantie. Een aangemelde instantie beoordeelt het kwaliteitsmanagementssysteem en de technische documentatie, kan aanvullende informatie of tests verlangen, en geeft indien van toepassing een EU-certificaat van technische-documentatiebeoordeling af. Het certificaat heeft een geldigheidsduur van maximaal vijf jaar voor Bijlage III-systemen en vier jaar voor Bijlage I-systemen, verlengbaar na herbeoordeling.

Welke route geldt op grond van artikel 43

Voor hoog-risico-AI-systemen als bedoeld in punt 1 van Bijlage III (biometrie) geeft artikel 43(1) de aanbieder een keuze: wanneer geharmoniseerde normen of, indien van toepassing, gemeenschappelijke specificaties als bedoeld in artikel 41 zijn toegepast, mag de aanbieder Bijlage VI gebruiken; anders is Bijlage VII met een aangemelde instantie vereist.

Voor hoog-risico-AI-systemen als bedoeld in punten 2 tot en met 8 van Bijlage III (kritieke infrastructuur, onderwijs, werkgelegenheid, essentiële diensten, rechtshandhaving, migratie en grenscontrole, rechtsbedeling en democratische processen) vereist artikel 43(2) de interne-controleprocedure van Bijlage VI. Er is geen aangemelde instantie betrokken, tenzij de aanbieder vrijwillig een dergelijke instantie inschakelt of dit later vereist wordt.

Voor hoog-risico-AI-systemen die vallen onder Bijlage I (sectorale productregelgeving die al valt onder een regime van aangemelde instanties — bijv. machines, medische hulpmiddelen, in-vitrodiagnostische hulpmiddelen) vereist artikel 43(3) dat de relevante sectorale conformiteitsbeoordelingsprocedure wordt gevolgd, waarbij de AI-Act-vereisten worden geïntegreerd in de bestaande audit.

Bijlage VI — wat interne controle in de praktijk inhoudt

1. Verificatie dat het vastgestelde kwaliteitsmanagementssysteem van artikel 17 betrekking heeft op naleving van regelgeving, ontwerpcontrole, ontwikkelingscontrole, testen, gegevensbeheer, postmarktmonitoring, incidentrapportage en registratie.
2. Onderzoek van de technische documentatie van artikel 11 aan de hand van de essentiële vereisten van afdeling 2 (risicobeheer art. 9, gegevensbeheer art. 10, technische documentatie art. 11, registratie art. 12, transparantie art. 13, menselijk toezicht art. 14, nauwkeurigheid / robuustheid / cyberbeveiliging art. 15).
3. Verificatie dat het ontwerp- en ontwikkelingsproces en het postmarktonbewakingssysteem op grond van artikel 72 in overeenstemming zijn met de technische documentatie.
4. De aanbieder ondertekent de EU-conformiteitsverklaring op grond van artikel 47 en brengt de CE-markering aan op grond van artikel 48. Registratie in de EU-databank van artikel 71 vóór het in de handel brengen of in gebruik stellen.

Wezenlijke wijzigingen vereisen een nieuwe beoordeling

Artikel 43(4) bepaalt dat voor hoog-risico-AI-systemen die al aan een conformiteitsbeoordelingsprocedure zijn onderworpen, een nieuwe conformiteitsbeoordelingsprocedure moet worden uitgevoerd in geval van een wezenlijke wijziging, ongeacht of het gewijzigde systeem verder zal worden gedistribueerd of door de huidige gebruiksverantwoordelijke in gebruik blijft.

Voor hoog-risico-AI-systemen die na het in de handel brengen of in gebruik stellen blijven leren, verduidelijkt artikel 43(4) dat wijzigingen in het hoog-risico-AI-systeem en de prestaties ervan die door de aanbieder vooraf zijn vastgesteld op het moment van de initiële conformiteitsbeoordeling en deel uitmaken van de informatie in de technische documentatie als bedoeld in punt 2(f) van Bijlage IV, niet als wezenlijke wijzigingen worden beschouwd.

Wat dit betekent voor gebruiksverantwoordelijken (artikel 25)

Artikel 25(1) herclassificeert een gebruiksverantwoordelijke als aanbieder — met alle conformiteitsbeoordelings- en Bijlage IV-documentatieverplichtingen — in drie situaties: (a) het plaatsen van hun naam of handelsmerk op een hoog-risicosysteem dat al in de handel is gebracht; (b) het aanbrengen van een wezenlijke wijziging in een hoog-risicosysteem op een wijze waardoor het een hoog-risicosysteem blijft; of (c) het wijzigen van het beoogde doel van een AI-systeem, inclusief een AI-systeem voor algemene doeleinden, op zodanige wijze dat het resulterende systeem hoog-risico wordt op grond van artikel 6.

In de praktijk: een HR-tech-gebruiksverantwoordelijke die het screeningmodel van een leverancier hermerkt, dit verfijnt op eigen gegevens op manieren die het gedrag veranderen, of een model voor algemene doeleinden herbestemt tot een rekruteringssysteem als bedoeld in Bijlage III, punt 4(a), wordt behandeld als de aanbieder en moet zelf de Bijlage VI-beoordeling uitvoeren.

Controlelijst voor gebruiksverantwoordelijken vóór aankoop

• Leverancier bevestigt welk punt van Bijlage III van toepassing is en welke artikel 43-route is gevolgd.
• Kopie van de EU-conformiteitsverklaring (art. 47) en de CE-markeringsverklaring (art. 48).
• Registratie in de EU-databank van artikel 71 met het publieke registratienummer.
• Index van de technische documentatie van Bijlage IV die voldoende is voor de verplichtingen van de gebruiksverantwoordelijke op grond van artikel 26 en de FRIA van artikel 27.
• Toezegging van de leverancier om bij wezenlijke wijziging een nieuwe conformiteitsbeoordeling uit te voeren (art. 43(4)).
• Interne goedkeuring dat geen enkel artikel 25-criterium van toepassing is (geen herbranding, geen verfijning, geen doelwijziging).

Veelvoorkomende misvattingen

• "Een aangemelde instantie is altijd betrokken." Voor Bijlage III-punten 2 tot en met 8, inclusief HR/werkgelegenheidsgebruiksscenario's, is Bijlage VI interne controle zonder aangemelde instantie de standaardprocedure.
• "Verfijning is niet wezenlijk." Of een verfijning wezenlijk is, wordt beoordeeld aan de hand van de technische documentatie. Als de wijziging niet vooraf is aangegeven in Bijlage IV, punt 2(f), is deze vermoedelijk wezenlijk op grond van artikel 43(4).
• "CE-markering is de taak van de gebruiksverantwoordelijke." De CE-markering behoort toe aan de aanbieder. Gebruiksverantwoordelijken verifiëren deze; zij brengen hem niet aan — tenzij artikel 25 hen heeft herclassificeerd als aanbieder.

Gerelateerde EU-gidsen

• Technische documentatie Bijlage IV
• NIS2-incidentrapportagetermijn
• AI-geletterdheidsplicht — artikel 4
• Verboden AI-praktijken — artikel 5
• GPAI versus verplichtingen van de gebruiksverantwoordelijke

Bronnen

• Regulation (EU) 2024/1689, Articles 6, 17, 25, 43, 47, 48, 71, 72; Annex VI; Annex VII — EUR-Lex: eur-lex.europa.eu/eli/reg/2024/1689/oj
• European Commission — AI Act Service Desk, Article 43: ai-act-service-desk.ec.europa.eu/en/ai-act/article-43

---

Opmerking: De keuze van de conformiteitsbeoordelingsroute hangt af van het specifieke punt van Bijlage III, het gebruik van geharmoniseerde normen of gemeenschappelijke specificaties, en of een herclassificeringscriterium van artikel 25 van toepassing is. PowerQuant levert software en documentatie voor gebruik in uw interne complianceproces — geen juridisch advies.