Een jurist bij een middelgrote zorginstelling krijgt een mailtje van de bestuurssecretaris: "Ik las dat een AI-register verplicht wordt. Hebben wij er een?" Ze opent de AI-verordening en zoekt op "register". Ze vindt een EU-databank, een verplichting voor aanbieders en iets over overheidsinstanties, maar nergens een artikel dat zegt dat haar instelling een lijst moet bijhouden.
Dat ziet ze goed. De AI-verordening verplicht niet iedere organisatie om één universeel AI-register in een voorgeschreven vorm bij te houden. Wat er wel voor je geldt, hangt af van twee dingen: welke rol je hebt (aanbieder of gebruiksverantwoordelijke) en welke systemen je inzet. Verwerk je persoonsgegevens, dan komt daar het verwerkingsregister uit de AVG bij. En los van dat alles houden veel organisaties een intern register bij, om een reden die niets met een wetsartikel te maken heeft.
Wat verlangt de AI-verordening wel?
De AI-verordening maakt onderscheid tussen de aanbieder, die een AI-systeem ontwikkelt of onder eigen naam op de markt brengt, en de gebruiksverantwoordelijke, die het systeem onder eigen verantwoordelijkheid inzet. De meeste organisaties vallen in die tweede groep: ze gebruiken Copilot, een chatbot of een transcriptietool van een leverancier.
De registratieplicht ligt bij de aanbieder. Artikel 49 verplicht aanbieders van hoogrisicosystemen uit bijlage III (denk aan AI voor werving en selectie, beoordeling van werknemers of toegang tot voorzieningen) om het systeem in de EU-databank van artikel 71 te registreren voordat het op de markt komt. Gebruiksverantwoordelijken hebben die plicht alleen als ze een overheidsinstantie zijn of namens een overheidsinstantie handelen. Zij registreren hun gebruik van zo'n systeem in dezelfde databank.
Andere gebruiksverantwoordelijken van hoogrisicosystemen hoeven niet te registreren, maar hebben wel documentatieplichten uit artikel 26: het systeem gebruiken volgens de gebruiksaanwijzing, menselijk toezicht beleggen bij mensen die daarvoor bevoegd en opgeleid zijn, de automatisch gegenereerde logbestanden bewaren (ten minste zes maanden, voor zover ze onder je beheer vallen) en werknemers vooraf informeren als het systeem op het werk wordt ingezet. Wie dat naleeft, houdt in de praktijk iets bij dat op een register lijkt. Maar het is documentatie per systeem, niet één lijst van alles.
Sinds de Digital Omnibus gelden die verplichtingen voor bijlage III vanaf 2 december 2027, en voor AI met een hoog risico in gereguleerde producten (bijlage I) vanaf 2 augustus 2028. Het volledige tijdpad staat in de tijdlijn van de AI-verordening na de Digital Omnibus. Twee dingen gelden al wel: de transparantieverplichtingen van artikel 50 sinds 2 augustus 2026, en de plicht uit artikel 4 om de AI-geletterdheid van medewerkers te ondersteunen sinds 2 februari 2025.
En de AVG?
Die stond hier altijd al los van, en aan de AVG verandert niets. Verwerkt een AI-tool persoonsgegevens (een sollicitatiebrief samenvatten, een klantmail beantwoorden), dan is dat een verwerking en eist artikel 30 AVG een register van verwerkingsactiviteiten, met het doel, de categorieën betrokkenen en gegevens, de ontvangers, de bewaartermijn en de beveiligingsmaatregelen. De uitzondering voor organisaties met minder dan 250 medewerkers is smal: ze vervalt zodra de verwerking niet incidenteel is of bijzondere persoonsgegevens betreft, en AI-gebruik tijdens het werk is zelden incidenteel.
Dat verwerkingsregister is geen AI-register. Het beschrijft de verwerking, niet het systeem. Hoe de twee zich tot elkaar verhouden en wat je in een AI-register vastlegt, lees je in ons basisartikel over het AI-register. Hoe de AI-verordening en de AVG naast elkaar werken, lees je in het artikel over wat de AI-verordening naast de AVG voor je bedrijf betekent.
Het Algoritmeregister voor overheden
Voor Nederlandse overheidsorganisaties is er nog iets: het Algoritmeregister op algoritmes.overheid.nl. De Rijksoverheid vraagt overheidsorganisaties om impactvolle algoritmes en AI-systemen met een hoog risico daar openbaar te beschrijven, zodat burgers, toezichthouders en journalisten kunnen zien welke algoritmes de overheid gebruikt. Of en wanneer dat een wettelijke plicht wordt, is politiek nog niet beslist; kijk voor de actuele stand op de site zelf. Voor bedrijven bestaat er geen vergelijkbaar openbaar register.
Zo ziet het geheel eruit:
| Verplichting | Voor wie | Wat | Vanaf wanneer |
|---|---|---|---|
| Registratie in de EU-databank (artikel 49 AI-verordening) | Aanbieders van hoogrisicosystemen uit bijlage III; overheidsinstanties die zo'n systeem gebruiken | Het systeem of het gebruik ervan registreren | Met de verplichtingen voor hoogrisicosystemen, 2 december 2027 |
| Plichten van de gebruiksverantwoordelijke (artikel 26 AI-verordening) | Iedere organisatie die een hoogrisicosysteem inzet | Gebruik volgens de gebruiksaanwijzing, menselijk toezicht, logs bewaren, werknemers informeren | 2 december 2027 (bijlage III), 2 augustus 2028 (bijlage I) |
| Verwerkingsregister (artikel 30 AVG) | Iedere verwerkingsverantwoordelijke, met een smalle uitzondering onder 250 medewerkers | Alle verwerkingen van persoonsgegevens, ook die via AI-tools | Geldt al |
| Algoritmeregister | Nederlandse overheidsorganisaties | Impactvolle algoritmes en AI met een hoog risico openbaar beschrijven | Op verzoek van de Rijksoverheid |
| Intern AI-register | Vrijwillig, voor elke organisatie | Welke AI-tools in gebruik zijn en wat erover is besloten | Eigen keuze |
Waar loopt de zorginstelling tegenaan?
Terug naar de jurist. Bij haar instelling spelen twee dingen tegelijk. HR wil een tool inzetten die sollicitatiebrieven voorsorteert. Dat is een toepassing uit bijlage III, dus vanaf 2 december 2027 gelden daarvoor de plichten uit artikel 26: menselijk toezicht, logs en werknemers informeren. En de aanbieder moet het systeem in de EU-databank hebben geregistreerd.
Tegelijk gebruiken zo'n veertig collega's een schrijfassistent voor brieven aan cliënten. Dat is geen hoogrisicosysteem, en de AI-verordening vraagt daar geen registratie voor. Maar er gaan persoonsgegevens in, dus die verwerking hoort in het verwerkingsregister, met een verwerkersovereenkomst eronder. En de instelling weet niet welke andere tools er naast die schrijfassistent worden gebruikt. Dat laatste staat in geen enkele wet, en het is precies de vraag waar de bestuurssecretaris mee zat.
Waarom organisaties er toch een bijhouden
Zonder register heb je geen antwoord op de eerste vraag van elke toezichthouder, accountant of bestuurder: welke AI gebruiken jullie, en wat hebben jullie daarover besloten? Het verwerkingsregister beantwoordt die vraag niet, want het gaat over gegevens, niet over tools. En de verplichtingen uit de AI-verordening beginnen bij een classificatie die je pas kunt maken als je weet welk systeem je in handen hebt.
Een intern register is dus geen wettelijke eis, maar wel een voorwaarde om te voldoen aan de eisen die er wél zijn. Het zwakke punt van zo'n register is dat het beschrijft wat mensen hebben gemeld, niet wat er in de praktijk wordt geopend. BeeSensible zet het gebruik dat het in de organisatie waarneemt naast zijn catalogus van meer dan 1.000 beoordeelde AI-tools. Het legt alleen het domein vast, hooguit één keer per dag per apparaat en zonder gebruikers-id. Een beheerder ziet welke tools nog geen besluit hebben en legt dat besluit vast; BeeSensible neemt dat besluit nooit zelf.
