AI-functie in je app: wat vraagt de AI Act?

Een AI-functie is zo gebouwd: een knop die een dossier samenvat, een assistent in je klantportaal, een veld dat een offertetekst voorstelt. De AI Act kijkt niet naar hoe klein die functie is. Hij kijkt naar wat de functie doet en wie hem aanbiedt. Hieronder per stap hoe je je eigen software naloopt, met de data waarop de regels ingaan.

Dit is uitleg, geen juridisch advies. Welke regels voor jouw software gelden, beoordeelt een jurist.

Herken je dit?

Je rol bepaalt wat je moet

De AI Act onderscheidt de aanbieder en de gebruiksverantwoordelijke. De aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt. De gebruiksverantwoordelijke zet een AI-systeem in voor zijn eigen werk.

Bouw je een AI-functie in je SaaS, dan ben je voor die functie meestal aanbieder, ook al draait hij op een model van OpenAI, Anthropic of Google. Je klant die de functie gebruikt, is gebruiksverantwoordelijke. De makers van het model hebben hun eigen plichten, voor modellen voor algemene doeleinden, en die gelden sinds 2 augustus 2025. Dat zijn hun plichten, niet de jouwe. Pas je een model ingrijpend aan, dan kan dat anders liggen.

De volledige tekst staat in de AI-verordening op EUR-Lex. Sinds 27 juli 2026 is die gewijzigd door de Digital Omnibus, Verordening (EU) 2026/1744.

Zo loop je je software na

1. Zet elke AI-functie op een lijst

Per functie: wat gaat erin, wat komt eruit, wie ziet het, welk model doet het werk. Die lijst is het antwoord op de inkoopvragenlijst van je klant, en de basis voor elke volgende stap.

Functie:            Samenvatting van een klantdossier
Gebruikt door:      medewerkers van onze klanten
Gaat erin:          dossiertekst, met namen en adressen
Komt eruit:         tekst, alleen zichtbaar in het portaal
Model:              [aanbieder en model], verwerking in [regio]
Praat met mensen:   nee
Genereert inhoud:   ja, tekst
Beoordeelt mensen:  nee
Sinds:              maart 2026

Gaan er persoonsgegevens in, dan komt de AVG erbij. Hoe je die buiten de aanroep houdt, staat in persoonsgegevens anonimiseren voor AI.

2. Controleer dat de functie niet verboden is

Artikel 5 verbiedt sinds 2 februari 2025 een aantal toepassingen. Voor software voor bedrijven zijn er twee die je moet kennen: emoties herkennen van mensen op het werk of op school, behalve om medische of veiligheidsredenen, en technieken die mensen ongemerkt sturen naar beslissingen die ze anders niet zouden nemen en die hun schade doen. Een functie die uit de webcam van een medewerker afleidt of hij boos of ontevreden is, valt onder het verbod.

3. Kijk of de functie hoog-risico is

Bijlage III noemt de gebieden. Voor SaaS zijn dat vooral werving en selectie, onderwijs, de toegang tot essentiële diensten en de kredietwaardigheid van personen. Een functie die cv’s sorteert of sollicitanten een score geeft, valt eronder. Voor die systemen gelden de zware eisen vanaf 2 december 2027. AI die een veiligheidsonderdeel is van een product waarvoor al Europese productregels gelden, zoals een medisch hulpmiddel, valt onder bijlage I en volgt op 2 augustus 2028.

Valt je functie hieronder, dan is dit artikel niet genoeg. Dan heb je een jurist nodig, en tijd.

4. Meld het waar je app met mensen praat

Artikel 50, lid 1: een AI-systeem dat rechtstreeks met mensen communiceert, laat weten dat het AI is, tenzij dat al duidelijk is. Dat geldt sinds 2 augustus 2026 en is niet uitgesteld. Voorbeeldteksten voor zo’n melding staan in AI-chatbot op je website: wat moet je melden?.

5. Markeer wat je app genereert

Artikel 50, lid 2: een AI-systeem dat tekst, beeld, geluid of video genereert, markeert die uitvoer zo dat een machine kan zien dat het door AI is gemaakt. Voor nieuwe functies geldt dat sinds 2 augustus 2026. Stond je generatieve functie al vóór die datum op de markt, dan heb je tot 2 december 2026.

Voor beeld bestaat er een standaardveld. In de IPTC-metadata van een afbeelding zet je de bron op “trained algorithmic media”. Content Credentials (C2PA) gaan verder en ondertekenen de herkomst.

exiftool -XMP-iptcExt:DigitalSourceType="http://cv.iptc.org/newscodes/digitalsourcetype/trainedAlgorithmicMedia" beeld.jpg

Voor tekst is er nog geen veld dat iedereen gebruikt. Begin bij je eigen gegevens: sla bij elke gegenereerde tekst op dat AI hem schreef, met welk model en wanneer, en geef dat mee in je API en je exports. Dan kun je het tonen of doorgeven zodra er een afspraak ligt over hoe. Artikel 50, lid 7 voorziet in praktijkcodes die dat uitwerken.

{
  "id": 4182,
  "tekst": "Beste meneer Jansen, ...",
  "herkomst": {
    "door_ai": true,
    "model": "[aanbieder/model]",
    "gemaakt_op": "2026-10-30T14:12:00+01:00",
    "nagekeken_door_mens": false
  }
}

6. Spreek af hoe je team met AI werkt

Artikel 4 over AI-geletterdheid geldt sinds 2 februari 2025. De Digital Omnibus heeft het bijgesteld: je neemt maatregelen die passen bij de mensen en het gebruik, je hoeft geen niveau per persoon te garanderen. Leg op één pagina vast welke tools jullie gebruiken, welke gegevens er nooit in gaan en wie de uitvoer controleert voordat die naar een klant gaat.

De data op een rij

Waar het vaak misgaat

Wanneer je hulp nodig hebt

De juridische vraag beantwoordt een jurist. De technische kant doen wij: in kaart brengen wat elke functie naar het model stuurt, de markering in je uitvoer bouwen, en persoonsgegevens uit de aanroep halen met een laag die pseudonimiseert. Is je app met AI gebouwd en wil je eerst weten of hij dicht zit, begin dan met de securitycheck voor je AI-app. Alle regels rond AI staan bij privacy en regels rond AI.