Welke AI-systemen vallen onder de EU AI Act?
De EU AI Act werkt met risicoklassen. Voor industriële en logistieke toepassingen zijn er drie relevante categorieën. Verboden AI (onaanvaardbaar risico) raakt deze sectoren nauwelijks. Minimaal risico omvat de meeste planningstools en routeoptimalisatie: die hebben geen extra verplichtingen. De kritieke categorie is hoog risico. Systemen die vallen onder bijlage III van de wet, waaronder AI-systemen die worden ingezet voor het beheer en de werking van kritieke infrastructuur, voor veiligheid van personen in een werkomgeving of voor het nemen van beslissingen die werknemers direct raken, vallen in deze klasse. Concreet: een systeem dat automatisch beslist over de inzet van heftruckchauffeurs, machinebewaking die veiligheidsalarm geeft, of een planningssysteem dat direct bepaalt welke orderpicker wat pakt, kan als hoog risico worden aangemerkt. Kwaliteitscontrolesystemen die producten automatisch afkeuren zonder menselijke tussenkomst zitten in dezelfde zone. AI-assistenten die een planner ondersteunen maar waar een mens de eindbeslissing neemt, scoren lager op de risicoscore.
Wat zijn de documentatieverplichtingen voor hoog-risico AI-systemen?
Voor hoog-risico systemen schrijft de AI Act een vaste set documentatie voor. Ten eerste technische documentatie: een beschrijving van het systeem, de data waarop het is getraind of geconfigureerd, de beoogde gebruiksdoelen en de bekende beperkingen. Ten tweede logboeken van de werking, zodat een toezichthouder achteraf kan reconstrueren welk besluit het systeem nam en op basis van welke invoer. Ten derde een risicobeheerdossier dat je bijhoudt gedurende de gehele levensduur van het systeem. Ten vierde instructies voor menselijk toezicht: wie mag het systeem overrulen, hoe, en wat is de procedure als het systeem een uitkomst geeft die niet klopt. Dit is geen eenmalig invulformulier. De documentatie moet actueel blijven als het systeem verandert. Voor maakbedrijven die predictief onderhoud draaien op sensordata, betekent dit dat wijzigingen in de drempelwaarden of de onderliggende configuratie opnieuw gedocumenteerd moeten worden. Voor logistieke dienstverleners met een AI-worker die orders indeelt of capaciteit toewijst, geldt hetzelfde.
Menselijk toezicht: wat bedoelt de wet daar precies mee?
Human in the loop is geen marketingterm in de AI Act, het is een juridische eis voor hoog-risico systemen. De wet vraagt dat een mens het systeem daadwerkelijk kan monitoren, begrijpen en zo nodig uitschakelen of overrulen tijdens de werking. Dat klinkt eenvoudig, maar in de praktijk zijn er drie veelvoorkomende valkuilen. Eerste valkuil: het systeem geeft een aanbeveling die de operator altijd volgt omdat afwijken te veel tijd kost. Dan is er in de ogen van de toezichthouder geen effectief menselijk toezicht. Tweede valkuil: de output van het systeem is niet uitlegbaar, waardoor de operator niet weet waarom het systeem een bepaalde beslissing neemt en dus ook niet kan beoordelen of die klopt. Derde valkuil: er is geen duidelijke procedure voor als het systeem hapert of onverwachte uitkomsten geeft. De wet vraagt dus niet alleen dat er technisch een knop bestaat waarmee je het systeem kunt stoppen, maar dat de organisatie ook procedureel heeft geregeld wie die knop bedient, wanneer, en wat er daarna gebeurt.
Wanneer heb je een conformiteitscheck nodig?
Voor hoog-risico AI-systemen is een conformiteitsbeoordeling verplicht voordat je het systeem in gebruik neemt of significant wijzigt. De meeste maakbedrijven en logistieke dienstverleners zijn geen AI-aanbieder in de zin van de wet: zij zijn gebruiker, in AI Act-termen de deployer. Als deployer ben je niet verantwoordelijk voor de conformiteitsbeoordeling van het onderliggende model, maar wel voor de manier waarop je het inzet. Als je een standaard AI-platform koopt en dat inzet voor een hoog-risico toepassing in jouw operatie, rust op jou de verantwoordelijkheid te controleren of de aanbieder de juiste CE-markering heeft, of de beoogde gebruikscontext overeenkomt met hoe jij het inzet, en of jouw interne procedures voldoen aan de eisen voor menselijk toezicht en datadocumentatie. Zet je maatwerk-AI in, waarbij de software specifiek voor jouw operatie is gebouwd, dan ben je in juridische zin zelf de aanbieder en rust de volledige conformiteitsplicht bij jou. Dat vraagt een risicobeheerdossier, technische documentatie en in sommige gevallen een notified body. Het is verstandig nu al een interne scan te doen: welke systemen draaien er, wat doen ze, en wie beslist er op basis van hun output?
Welke operationele stappen moet je nu zetten?
De tijdlijn is concreet. Voor hoog-risico AI-systemen die al draaien geldt een overgangsperiode, maar die loopt niet eindeloos. Drie stappen die je nu kunt zetten zonder te wachten op definitieve nationale uitvoeringsregels. Eerste stap: maak een inventaris van alle AI-systemen in de operatie, inclusief de AI-functies in bestaande ERP-, WMS- of TMS-pakketten. Vraag bij elke aanbieder op welke risicoklasse zij zichzelf indelen en of er een technisch dossier beschikbaar is. Tweede stap: beoordeel per systeem of er effectief menselijk toezicht is. Documenteer wie de eindverantwoordelijke is voor elk besluit dat het systeem ondersteunt of neemt. Derde stap: begin met datadocumentatie. Leg vast welke invoerdata het systeem gebruikt, hoe die data tot stand komt en wie verantwoordelijk is voor de kwaliteit ervan. Dit is ook de basis voor een eventuele audit. Als je AI-workers inzet die documenten verwerken, orders indelen of planningswerk overnemen, is het verstandig die nu te toetsen aan de risicoklasse-criteria. Dat hoeft geen duur extern traject te zijn: een interne review op basis van de criteria uit bijlage III geeft al snel inzicht in waar de echte verplichtingen zitten.