Bijlage III bij de AI-verordening (verordening (EU) 2024/1689) benoemt de toepassingsgebieden waarin AI-systemen als hoog risico worden aangemerkt. Het begrijpen van deze categorieën is het uitgangspunt voor de risicobeoordeling van elke aanbieder. De verordening geldt rechtstreeks; er is geen aparte nationale uitvoeringswet nodig voor de AI-verordening zelf.

De acht categorieën

Bijlage III omvat de volgende gebieden:

• Biometrie – bepaalde systemen voor biometrische identificatie, categorisering en emotieherkenning.
• Kritieke infrastructuur – AI als veiligheidscomponent in het beheer en de exploitatie van kritieke infrastructuur.
• Onderwijs en beroepsopleiding – bijvoorbeeld toegang, toelating en beoordeling.
• Werkgelegenheid en werknemers – werving, selectie en besluiten die de arbeidsvoorwaarden beïnvloeden.
• Essentiële diensten – toegang tot essentiële particuliere en openbare diensten en uitkeringen.
• Rechtshandhaving – bepaalde toepassingen van AI binnen rechtshandhavingsactiviteiten.
• Migratie, asiel en grenscontrole – bepaalde systemen binnen deze procedures.
• Rechtsbedeling en democratische processen – ondersteuning van rechterlijke autoriteiten en bepaalde systemen die verband houden met verkiezingen.

Het feit dat een systeem binnen een van deze overkoepelende gebieden wordt gebruikt, betekent niet automatisch dat het hoog risico is; de specifieke gebruiksgevallen en eventuele uitzonderingen in Bijlage III moeten per geval worden getoetst.

Het aanbiedersperspectief

De verordening maakt onderscheid tussen aanbieder (provider) en gebruiksverantwoordelijke (deployer). De meeste organisaties die een ingekocht hoog-risicosysteem in gebruik nemen, zijn gebruiksverantwoordelijke. De verplichtingen voor de gebruiksverantwoordelijke volgen uit artikel 26 en omvatten onder meer:

• het systeem gebruiken volgens de gebruiksaanwijzing van de aanbieder
• menselijk toezicht door bekwaam personeel waarborgen (vgl. artikel 14)
• de werking monitoren en ernstige incidenten melden
• waarborgen dat de invoergegevens relevant zijn voor het beoogde doel

In bepaalde gevallen moet de gebruiksverantwoordelijke een effectbeoordeling op het gebied van de grondrechten (FRIA) uitvoeren op grond van artikel 27. Let op: artikel 25 kan een gebruiksverantwoordelijke herklasseren tot aanbieder, bijvoorbeeld bij een substantiële wijziging of het aanbrengen van de eigen naam – waardoor de uitgebreidere aanbiedersverplichtingen in werking treden.

Wanneer gelden de verplichtingen

• 2 februari 2025: Artikel 4 (AI-geletterdheid) en artikel 5 (verboden praktijken) gelden vanaf deze datum.
• 2 augustus 2026: De Bijlage III-verplichtingen voor gebruiksverantwoordelijken gelden vanaf deze datum volgens de oorspronkelijke tijdlijn. Op dezelfde datum worden artikel 50 (transparantie) en Bijlage III van toepassing.
• 2 december 2027: Een uitstel van de Bijlage III-verplichtingen is voorgesteld via de Digital Omnibus (goedgekeurd door het Europees Parlement op 16 juni 2026; de Raad wacht op de publicatie in het Publicatieblad). Dit is een Digital Omnibus-voorstel en is nog niet in werking.

Aangezien het uitstel nog niet in werking is, moet de planning uitgaan van het huidige moment 2 augustus 2026, terwijl de ontwikkelingen rond de Digital Omnibus worden gevolgd.

Sancties

Boetes zijn geregeld in artikel 99. Verboden praktijken op grond van artikel 5 kunnen leiden tot maximaal 35 miljoen EUR of 7 % van de wereldwijde jaaromzet. Overtredingen van onder meer de hoog-risicoverplichtingen en artikel 50 kunnen leiden tot maximaal 15 miljoen EUR of 3 %. Onjuiste of misleidende informatie kan leiden tot maximaal 7,5 miljoen EUR of 1 %.

Vóór de inkoop

• Stel vast of het gebruiksgeval van het systeem binnen een van de acht Bijlage III-categorieën valt.
• Toets de specifieke gebruiksgevallen en uitzonderingen, niet alleen het overkoepelende gebied.
• Bepaal uw rol: gebruiksverantwoordelijke of aanbieder – en volg artikel 25.
• Bereid de naleving van artikel 26 voor: gebruiksaanwijzing, menselijk toezicht, monitoring en incidentmelding.
• Beoordeel of een FRIA op grond van artikel 27 vereist is.
• Plan richting 2 augustus 2026 en volg het Digital Omnibus-voorstel over 2 december 2027.

PowerQuant wordt geleverd als documentatieondersteuning: Module 1 (AI-inventarisatie + Artikel 4-register) en Module 2 (Aanbiedersdocumentatiepakket).

Deze pagina bevat algemene informatie over de AI-verordening en vormt geen juridisch advies.