Industries We Serve

Wat binnen het toepassingsgebied valt, en hoe het wordt geclassificeerd

• Kredietwaardigheidsbeoordeling en kredietscoring van natuurlijke personen worden genoemd in bijlage III, punt 5, onder b). Risicobeoordeling en tarifering in levens- en ziektekostenverzekeringen staan daarnaast genoemd.
• Fraudedetectie, transactiemonitoring in het kader van witwasbestrijding en intern modelrisico vallen in de meeste opzetten buiten bijlage III, en worden in plaats daarvan bereikt via MaRisk en DORA.
• Artikel 6, lid 3, staat toe dat een in bijlage III genoemd systeem buiten de categorie hoog risico valt wanneer het de uitkomst van een beslissing niet wezenlijk beïnvloedt. Of dat opgaat, is een vaststelling per systeem, te documenteren en niet te veronderstellen.

De termijnen die gelden

• 18 dec 2025 DORA — Leidraad van BaFin over ICT-risico's bij het gebruik van AI bij financiële entiteiten (geldt al)
• 29 jul 2026 KI-MIG — Ging gelden, na bekendmaking in het Bundesgesetzblatt op 28 juli 2026 (geldt al)
• 2 dec 2027 EU AI Act — Hoogrisicoverplichtingen voor zelfstandige systemen uit bijlage III

Wat een toezichthouder wil zien

• Eén conformiteitsdossier per hoogrisicosysteem: risicobeheer, datagovernance, technische documentatie, logging, en het menselijk toezicht dat feitelijk is ingericht.
• Voor BaFin onder DORA: elk AI-systeem opgenomen in de inventaris van ICT-middelen met levenscyclustoezicht — van dataverwerving tot buitengebruikstelling — en verwerkt in het informatieregister.
• Bewijs dat de AVG-, DORA- en EU AI Act-stukken afzonderlijk bestaan. Een DPIA op grond van artikel 35 is geen conformiteitsdossier, en het ene kwijt het andere niet.

Wat Alleina daarvoor levert

Twee valkuilen die deze sector het vaakst tegenkomt. Een substantiële wijziging laat de conformiteitstermijn opnieuw ingaan, zodat een systeem dat leunt op de overgangsregeling voor modellen die al in de handel zijn, die door een gewone hertraining kan verliezen. En wanneer de conformiteitsdocumentatie van een externe leverancier onvolledig is, vervallen de verplichtingen van de gebruiksverantwoordelijke instelling niet — documentatie doorgeven geeft de aansprakelijkheid niet mee door.

Wat binnen het toepassingsgebied valt, en hoe het wordt geclassificeerd

• Bijlage III, punt 2, noemt AI die wordt gebruikt als veiligheidscomponent bij het beheer en de exploitatie van kritieke digitale infrastructuur en van de levering van water, gas, warmte en elektriciteit.
• Belasting- en vraagvoorspelling, voorspellend onderhoud en handelsoptimalisatie vallen daar niet automatisch buiten. Of een model een veiligheidscomponent is, hangt af van wat er misgaat als het ernaast zit; dat is een afbakeningsvraag, geen vaststaande uitzondering.
• Duitse energieleveranciers hebben daarnaast verplichtingen uit het EnWG die aan het proces hangen in plaats van aan het model — waaronder transparantie over prijswijzigingen en de verantwoordelijkheid voor de balanshandhaving.

De termijnen die gelden

• 6 dec 2025 NIS2 / BSIG — De Duitse uitvoeringswet ging gelden, zonder overgangsperiode (geldt al)
• 29 jul 2026 KI-MIG — Ging gelden, na bekendmaking in het Bundesgesetzblatt op 28 juli 2026 (geldt al)
• 2 dec 2027 EU AI Act — Hoogrisicoverplichtingen voor zelfstandige systemen uit bijlage III

Wat een toezichthouder wil zien

• Een verdedigbare vastlegging van welke modellen als veiligheidscomponent zijn beoordeeld en welke niet, met de redenering, gedateerd.
• Voor exploitanten die onder NIS2 vallen: maatregelen voor het beheer van cyberbeveiligingsrisico's en het gefaseerde tijdschema voor incidentmelding, met de registratie bij het BSI afgerond.
• De samenhang tussen beide: een AI-incident in een besturingssysteem is vaak al meldingsplichtig onder NIS2 voordat een verplichting uit de EU AI Act in beeld komt.

Wat Alleina daarvoor levert

Wat binnen het toepassingsgebied valt, en hoe het wordt geclassificeerd

• AI die deel uitmaakt van een onder de MDR of IVDR gereguleerd hulpmiddel wordt bereikt via bijlage I, en de conformiteit ervan loopt via de bestaande productveiligheidsroute en de aangemelde instantie daarvan, in plaats van daarnaast.
• Zelfstandige zorg-AI die geen medisch hulpmiddel is — triage, aanspraak en toegang tot essentiële gezondheidsdiensten — wordt daarentegen bereikt via bijlage III, op de vroegere datum.
• Hetzelfde klinische idee kan aan de ene of de andere kant belanden, afhankelijk van het beoogde doeleinde; dat is de classificatievraag en geen formaliteit.

De termijnen die gelden

• 25 mei 2018 GDPR — Ging in de hele EU gelden (geldt al)
• 29 jul 2026 KI-MIG — Ging gelden, na bekendmaking in het Bundesgesetzblatt op 28 juli 2026 (geldt al)
• 2 aug 2028 EU AI Act — Hoogrisicoverplichtingen voor systemen uit bijlage I die in gereguleerde producten zijn ingebed

Wat een toezichthouder wil zien

• Voor hulpmiddelen uit bijlage I: EU AI Act-bewijs opgenomen in de bestaande technische documentatie en het kwaliteitsmanagementsysteem, in plaats van als een parallelle set bewaard.
• Voor systemen uit bijlage III: een zelfstandig conformiteitsdossier, en een effectbeoordeling op het gebied van de grondrechten wanneer de gebruiksverantwoordelijke een overheidsinstantie is of een aanbieder van essentiële diensten.
• De verwerking van bijzondere categorieën van gegevens op grond van artikel 9 AVG, los van beide gedocumenteerd.

Wat Alleina daarvoor levert

De twee data zijn 2 december 2027 voor zelfstandige systemen uit bijlage III en 2 augustus 2028 voor AI ingebed in een product uit bijlage I. Een portefeuille die beide bevat, draagt beide.

Wat binnen het toepassingsgebied valt, en hoe het wordt geclassificeerd

• Een softwarebedrijf dat een functie uitlevert die op een model is gebouwd, is vaak een aanbieder en niet alleen een gebruiksverantwoordelijke, en de aanbiedersverplichtingen zijn de zwaarste set.
• Artikel 50 over transparantie geldt nu: bekendmaken dat iemand met een AI-systeem communiceert, en het markeren van door AI gegenereerde inhoud. Verplichtingen voor AI-modellen voor algemene doeleinden gelden sinds augustus 2025.
• Werving- en HR-functies worden genoemd in bijlage III, punt 4, waardoor zij in de categorie hoog risico vallen op de datum in 2027 en niet op de datum die al geldt.

De termijnen die gelden

• 29 jul 2026 KI-MIG — Ging gelden, na bekendmaking in het Bundesgesetzblatt op 28 juli 2026 (geldt al)
• 2 aug 2026 EU AI Act — Algemene toepassing, met inbegrip van de transparantieplichten van artikel 50 (geldt al)
• 2 dec 2026 Digital Omnibus on AI — Nieuwe verboden in artikel 5 op AI die niet-consensueel intiem beeldmateriaal of materiaal van seksueel misbruik van kinderen genereert

Wat een toezichthouder wil zien

• Bekendmaking en inhoudsmarkering in het product geïmplementeerd en onderbouwd, niet in een beleidsstuk beschreven.
• Voor modellen voor algemene doeleinden: technische documentatie, een samenvatting van de trainingsdata en een auteursrechtbeleid.
• Een inventarisatie die per systeem de rol van aanbieder onderscheidt van die van gebruiksverantwoordelijke, omdat de verplichtingen verschillen en één organisatie routinematig beide is.

Wat Alleina daarvoor levert

Dit is de sector waarin het uitstel het minst verandert. Transparantie, verboden en verplichtingen voor modellen voor algemene doeleinden bleven door de Omnibus onaangeroerd en zijn vandaag afdwingbaar.

Wat binnen het toepassingsgebied valt, en hoe het wordt geclassificeerd

• Bijlage III, punt 5, noemt AI die wordt gebruikt om kredietwaardigheid te beoordelen of om aanspraak op essentiële particuliere diensten te bepalen. Huurderselectie, betaalbaarheidsscoring en hypotheek- of financieringsvoortoetsen zijn de vormen die dat in vastgoed aanneemt.
• Geautomatiseerde taxatiemodellen die voor prijsstelling worden gebruikt en niet voor een beslissing over een met name genoemde persoon, roepen een andere vraag op: die worden afgebakend, en niet bij voorbaat binnen of buiten geplaatst.
• In Duitsland verbiedt het AGG vandaag al discriminerende selectie bij verhuur, los van wat de EU AI Act daaraan toevoegt.

De termijnen die gelden

• 25 mei 2018 GDPR — Ging in de hele EU gelden (geldt al)
• 29 jul 2026 KI-MIG — Ging gelden, na bekendmaking in het Bundesgesetzblatt op 28 juli 2026 (geldt al)
• 2 dec 2027 EU AI Act — Hoogrisicoverplichtingen voor zelfstandige systemen uit bijlage III

Wat een toezichthouder wil zien

• Waar een selectiebeslissing geautomatiseerd is, moet de positie onder artikel 22 AVG worden gedocumenteerd — rechtsgrondslag, nuttige informatie over de onderliggende logica, en de route naar menselijke tussenkomst. Dat geldt nu, en niet vanaf 2027.
• Eerlijkheidstoetsing over beschermde kenmerken, bewaard en gedateerd, wat ook is wat een betwisting op grond van het AGG verlangt.
• Een vastlegging van menselijke beoordeling waaruit blijkt dat iemand een uitkomst kon wijzigen en dat ook heeft gedaan, in plaats van een formele goedkeuring.

Wat Alleina daarvoor levert

Het EU AI Act-werk verlengt hier beheersmaatregelen die van een verhuur- of financieringsbedrijf onder de AVG en het AGG al worden verwacht. Het is zelden een nieuw programma.