De hele EU AI Act draait om één vraag: bouw of lever je het AI-systeem, of gebruik je het? Het antwoord bepaalt of je een licht of een zwaar pakket aan verplichtingen krijgt. En het venijn zit in de staart: je wordt aanbieder sneller dan je denkt, vaak zonder dat iemand het doorheeft. In begrijpelijke taal, met voorbeelden die in elke organisatie kunnen gebeuren.
Als één begrip uit de EU AI Act blijft hangen, laat het dan dit zijn: aanbieder of afnemer. Bijna alle regels hangen aan dat onderscheid. Wie het verkeerd inschat, denkt licht weg te komen en blijkt achteraf de zwaarste verplichtingen te dragen. En dat overkomt juist organisaties die zichzelf "geen techbedrijf" noemen: een gemeente, een zorginstelling, een hogeschool, een mkb-bedrijf.
De wet maakt het in de kern simpel. Er zijn twee rollen.
De meeste organisaties zijn afnemer. Bij hoog risico betekent aanbieder zijn: risico's beheersen, documentatie maken, een keuring doen, CE-markering, registreren in een EU-databank. De afnemer doet lichtere dingen: volgens de instructies werken, een mens laten meekijken, het gebruik in de gaten houden, logboeken bewaren. Het verschil in inspanning is enorm.
Los van je rol of het risiconiveau: je personeel moet genoeg van AI weten (AI-geletterdheid, verplicht sinds februari 2025), en je moet open zijn: een chatbot vertelt dat het AI is, en door AI gemaakte content is als zodanig herkenbaar.
Dit is het belangrijkste én lastigste punt. Je kunt in de zware rol belanden zonder dat je een tool hebt verkocht of een product hebt gelanceerd. Vier dingen maken je bijna altijd aanbieder:
1. Je zet je eigen naam erop. Een ingekocht systeem doorleveren onder je eigen merk.
2. Je laat iets bouwen, of bouwt het zelf, en neemt het in gebruik onder eigen naam, ook gratis, ook puur intern.
3. Je wijzigt een bestaand systeem ingrijpend.
4. Je verandert het doel, waardoor een onschuldig systeem ineens hoog risico wordt.
"We gebruiken toch maar een skill" en "we hebben het in het team besproken" beschermt je niet. De wet kijkt naar wat je feitelijk doet, niet naar je bedoeling of je branche.
De theorie wordt pas scherp met praktijk. Hieronder vijf situaties die morgen bij jou kunnen spelen.
Een enthousiaste medewerker op HR bouwt in een AI-tool een eigen assistent die binnengekomen sollicitatiebrieven samenvat en op een rij zet welke kandidaten het best passen. Het werkt goed, dus hij deelt het met de hele afdeling. Niemand heeft iets gekocht of gelanceerd.
Toch is de organisatie nu aanbieder. Een medewerker bouwde het, de organisatie nam het in gebruik onder eigen naam. En omdat het om werving en het rangschikken van mensen gaat, is dit hoog risico: het zwaarste pakket. "In het team besproken" telt niet als naleving. Dit is precies het scenario waarin een organisatie ongemerkt de grootste verplichtingen op zich neemt.
Een mkb-bedrijf bouwt met een low-codetool een chatbot op een bestaand AI-model en zet die op de eigen site als "onze assistent". Door het onder eigen naam aan te bieden, word je aanbieder van dat nieuwe systeem. Het risico is hier beperkt: de hoofdregel is transparantie: de bot moet vertellen dat hij AI is.
Een transportbedrijf koopt routeplanning-AI, op zichzelf minimaal risico. Maar dan zet het de tool in om chauffeurs te beoordelen op hun prestaties. Het doel is veranderd, en daarmee word je aanbieder van een hoog-risicosysteem: het gaat nu over het monitoren van personeel.
Een woningcorporatie laat intern een model bouwen dat aanvragen voor sociale huur op volgorde zet. Zelf laten bouwen plus een essentiële dienst maakt de organisatie aanbieder, en omdat het over toegang tot een basisvoorziening gaat, is het hoog risico. De wet noemt overheidsinstanties uitdrukkelijk: je branche beschermt je niet.
Een docent bouwt een hulpmiddel dat scripties voorbeoordeelt en deelt het met collega's. De docent doet dit als medewerker, dus de onderwijsinstelling is aanbieder. Het beoordelen van studenten staat op de lijst voor hoog risico. Er bestaat een uitzondering als de tool alleen ondersteunt en de docent écht zelf beslist, maar zodra de tool studenten gaat profileren, is het altijd hoog risico, en die beoordeling moet je op papier zetten.
De rode draad: zelf (laten) bouwen, je naam erop zetten, ingrijpend wijzigen of het doel veranderen. Een vast bedrag betalen of iets gratis weggeven verandert daar niets aan.
Doe de AI-check: beschrijf je toepassing in je eigen woorden en krijg direct een inschatting van je rol en het risiconiveau. De AI stelt zo nodig een paar verduidelijkende vragen. Een hulpmiddel om je op weg te helpen, geen juridisch advies.
Naast je rol bepaalt het risiconiveau hoe streng de regels zijn. Hoe hoger het risico, hoe zwaarder het pakket.
Let op één uitzondering die vaak misgaat: zodra een systeem mensen profileert (een profiel opbouwt om gedrag of prestaties in te schatten), is het altijd hoog risico. En het toezicht van een mens moet echt iets voorstellen, geen vinkje achteraf.
De zware regels voor hoog risico zijn naar verwachting uitgesteld tot eind 2027, maar uitstel is geen afstel, en de val van het ongemerkt aanbieder worden bestaat nú al. Een korte checklist per AI-toepassing:
Het grootste risico is niet de boete. Het is dat niemand weet wélke AI er draait, wie hem heeft gebouwd, en in welke rol de organisatie daardoor zit. Die zelf-gebouwde HR-assistent staat nergens geregistreerd, tot een toezichthouder of een afgewezen sollicitant ernaar vraagt.
Vigil legt per AI-toepassing vast wat je nodig hebt om deze vraag te beantwoorden: wie de eigenaar is, of de organisatie aanbieder of afnemer is, en welk risiconiveau geldt, met automatische classificatie volgens de EU AI Act. Ook de zelf-gebouwde tools van enthousiaste medewerkers komen zo in beeld in plaats van in de schaduw. Eén register, in je eigen EU- of NL-omgeving, zodat je rol nooit een verrassing is.
In een strategiegesprek lopen we samen je AI-landschap door: aanbieder of afnemer, welk risiconiveau, en waar je ongemerkt zwaardere verplichtingen draagt. Helder en zonder jargon.
