De Europese Commissie heeft haar langverwachte richtsnoeren gepubliceerd voor de classificatie van hoog-risico AI-systemen. Deze richtsnoeren zijn direct gekoppeld aan artikel 6 van de AI-verordening en vormen de blauwdruk voor compliance in de nabije toekomst. Het pakket is opgedeeld in drie omvangrijke documenten: de algemene beginselen, de zogeheten Bijlage I-route (gericht op productveiligheid) en de Bijlage III-route (gericht op specifieke maatschappelijke use-cases).
De publieke consultatieperiode loopt tot 23 juni 2026. Dit betekent dat organisaties slechts vijf weken de tijd hebben om de documenten te analyseren en eventuele feedback in te dienen bij de Commissie.
Juridische status: Let op, dit is nog een concept (draft)
Het is belangrijk om te weten dat deze richtsnoeren op dit moment nog niet-bindend zijn en dat het gaat om een concept (draft). De Europese Commissie heeft de documenten, zoals aangegeven, gepubliceerd voor een publieke consultatie, wat betekent dat de inhoud op basis van marktfeedback nog kan wijzigen.
Zelfs na de definitieve publicatie blijft een gezaghebbende interpretatie van de AI-verordening uitsluitend voorbehouden aan het Hof van Justitie van de Europese Unie (HvJ-EU). Desalniettemin vormen deze concepten de meest gedetailleerde praktische handvatten tot nu toe. Ze geven een heel duidelijke indicatie van de richting die de Commissie op wil en hoe toezichthouders de wetgeving straks waarschijnlijk gaan interpreteren. Voor jouw compliance-strategie zijn dit de kaders waar je nu alvast rekening mee moet houden.
Hoe werkt de classificatie van hoog-risico AI-systemen onder Artikel 6?
De kernvraag voor elke organisatie die werkt met kunstmatige intelligentie is: wanneer valt mijn software onder de strenge regels voor hoog-risico AI? De richtsnoeren volgen hierin strikt de wettelijke structuur van artikel 6 van de AI-wetgeving. Er worden twee onafhankelijke, parallelle routes onderscheiden waarlangs een AI-systeem als zodanig wordt aangemerkt. Zodra een systeem via één van deze wegen kwalificeert, treden alle zware verplichtingen uit Hoofdstuk III (zoals risicobeheersystemen, datagovernance en menselijk toezicht) onherroepelijk in werking.
1. De Bijlage I-route: AI en Productveiligheid (Artikel 6 lid 1)
Onder de eerste route (artikel 6(1)) wordt een AI-systeem als hoog-risico geclassificeerd wanneer het aan twee cumulatieve voorwaarden voldoet:
- Het AI-systeem is bestemd om te worden gebruikt als een veiligheidscomponent van een product (of is zelf het product) dat valt onder de specifieke EU-harmonisatiewetgeving die is opgesomd in Bijlage I. Dit omvat sectoren zoals medische hulpmiddelen, luchtvaart, speelgoed, liften en machines.
- Het eindproduct is op grond van diezelfde productspecifieke wetgeving onderworpen aan een verplichte conformiteitsbeoordeling door een derde partij (een zogenaamde Notified Body) voordat het op de markt mag worden gebracht.
De richtsnoeren verduidelijken een belangrijk mechanisme om de administratieve lasten voor ondernemers te minimaliseren. Op grond van de artikelen 8(2), 9(10) en 17(3) van de AI Act mogen aanbieders de AI-specifieke risicobeoordelingen en kwaliteitsmanagementsystemen naadloos integreren in reeds bestaande sectorale compliance-trajecten (zoals de CE-markeringstrajecten onder de MDR of de Machinerichtlijn).
2. De Bijlage III-route: Specifieke use-cases en toepassingen (Artikel 6 lid 2)
De tweede route (artikel 6(2)) kijkt niet naar productcategorieën, maar naar de maatschappelijke impact van de software. Een systeem is hoog-risico als de beoogde bestemming valt binnen de lijst van gevoelige use-cases in Bijlage III. De richtsnoeren lichten deze categorieën uitgebreid toe, waaronder:
- Biometrie en herkenning: Systemen voor biometrische identificatie of categorisering van natuurlijke personen.
- Kritieke infrastructuur: AI ingezet voor het beheer en de beveiliging van vitale infrastructuren (bijv. wegverkeer, water- of elektriciteitsvoorziening).
- Onderwijs en beroepsopleiding: Software gebruikt voor de selectie, toelating of beoordeling van studenten.
- HR en werkgelegenheid: AI-systemen voor werving en selectie, CV-screening, promotiebeslissingen of het monitoren van werknemers gedurende de arbeidsrelatie.
Beoogde doel van AI-systemen en contractuele uitsluitingen
Het zogeheten beoogde doel (intended purpose) is het absolute fundament van het EU-classificatiesysteem. Hoe presenteer je het product en waar is het feitelijk voor gemaakt? Paragraaf 12 van de nieuwe richtsnoeren legt de lat voor aanbieders van multi-purpose AI-systemen en General-Purpose AI (GPAI) hoog.
Wanneer de instructies, contractuele documenten, marketingmaterialen of technische documentatie een AI-systeem presenteren als breed of algemeen toepasbaar (multi-purpose), wordt het beoogde doel (intended purpose) in beginsel objectief uitgelegd. Als hoog-risico toepassingen niet uitdrukkelijk, consistent en effectief worden uitgesloten, kan het beoogde doel juridisch geacht worden mede deze hoog-risico use-cases te omvatten. Dit risico is met name reëel wanneer zulke toepassingen, gelet op de functionaliteiten van de software, technisch haalbaar en redelijkerwijs voorzienbaar zijn.
Deze benadering in de concept-richtsnoeren maakt direct een einde aan de zogeheten ‘papieren werkelijkheid’. Het louter opnemen van een standaardrestrictie in de algemene voorwaarden of de licentieovereenkomst (EULA) – waarin hoog-risico gebruik door de afnemer abstract wordt verboden – zal niet volstaan wanneer dit in strijd is met de feitelijke presentatie van het product. Indien de algehele positionering, de API-architectuur of de marketinguitingen dergelijke hoog-risico toepassingen in de praktijk faciliteren of aanmoedigen, loopt de aanbieder het risico dat de toezichthouder het systeem integraal als hoog-risico kwalificeert. De zware complianseverplichtingen en handhavingsrisico’s van Hoofdstuk III zijn dan onverkort van toepassing.
Het filtermechanisme van Artikel 6(3): Hoe werken de uitzonderingen?
Een van de belangrijkste verduidelijkingen in de concept-richtsnoeren is de praktische werking van de uitzonderingsgronden onder Artikel 6(3) van de AI Act. Dit artikel fungeert als een ‘risicofilter’: zelfs als jouw software binnen een gevoelige use-case van Bijlage III valt, kan het systeem worden vrijgesteld van de zware hoog-risikoverplichtingen wanneer het aantoonbaar geen significant risico vormt voor de gezondheid, veiligheid of grondrechten.
De richtsnoeren illustreren dit aan de hand van de aard van de AI-interventie. Zo kan software die puur is ontworpen om het resultaat van een reeds voltooide menselijke activiteit te verbeteren – zoals een AI-tool die de toon en stijl van een door mensen geschreven politieke campagnetekst controleert – buiten de hoog-risicoclassificatie vallen. Hetzelfde geldt voor systemen die zich uitsluitend richten op strikte randtaken of logistieke voorbereidingen zonder inhoudelijke stempel te drukken op de uiteindelijke besluitvorming.
Het is hierbij wel kritisch om te onthouden dat deze uitzondering geen algehele vrijbrief is; de algemene transparantieverplichtingen uit de AI Act, zoals de actieve informatieplicht bij het inzetten van een chatbot onder Artikel 50, blijven onverkort van kracht.
Drie concrete voorbeelden van hoog-risico AI uit de richtsnoeren
Om de theorie tot leven te wekken, bevatten de concept-richtsnoeren een reeks zeer gedetailleerde praktijkvoorbeelden voor toepassingen onder Bijlage III. Deze casussen laten haarscherp zien wanneer de Europese Commissie oordeelt dat de grens naar ‘hoog-risico’ definitief is overschreden. We lichten er drie opvallende uit:
1. De gepersonaliseerde leerassistent in het onderwijs
Denk aan een AI-gestuurde onderwijstool die tussentijds feedback en aanbevelingen geeft aan studenten op basis van hun voortgang. In de basis is dit bedoeld ter ondersteuning van het leerproces (formatieve evaluatie). De richtsnoeren verduidelijken echter dat als dit systeem aan het eind van elke module rapporten genereert met harde cijfers en verbeterpunten, én de docent deze output feitelijk gebruikt om de uiteindelijke eindbeoordeling (summatieve evaluatie) te bepalen, de tool direct onder het hoog-risicoregime valt. Het feitelijke gebruik door de docent trekt de tool hier dus over de streep.
2. Geautomatiseerde ‘background checks’ bij werving en selectie
Een ander sprekend voorbeeld is een AI-systeem dat tijdens een sollicitatieprocedure de achtergrond van kandidaten doorlicht. De software aggregeert data zoals diploma’s, arbeidsverleden, kredietgegevens en zelfs online activiteit op sociale netwerken. De recruiter krijgt vervolgens een risicoscore gepresenteerd (‘laag’, ‘medium’ of ‘hoog risico’). Omdat deze scores in de praktijk als filter worden gebruikt bij grote volumes aan sollicitanten, beïnvloedt het systeem de baankans van kandidaten wezenlijk. Omdat de software bovendien aan profiling doet, maakt het systeem geen schijn van kans bij het filter van Artikel 6(3); het is onherroepelijk hoog-risico AI.
3. Slimme werklastverdeling binnen de zakelijke dienstverlening
Het derde voorbeeld raakt de werkvloer rechtstreeks: een AI-systeem dat binnen een advocatenkantoor automatisch taken en dossiers verdeelt onder de associates. Het systeem analyseert hiervoor declarabele uren, reactiesnelheid op e-mails en zelfs vrijwillige deelname aan kantooractiviteiten. Hoewel dit puur een interne planningstool lijkt, stelt de Commissie dat dit systeem hoog-risico is. De software verdeelt namelijk taken op basis van individueel gedrag en beïnvloedt daarmee zowel de dagelijkse werkomstandigheden als de carrièrekansen op de lange termijn.
Deze voorbeelden onderstrepen precies waarom een simpele disclaimer in je algemene voorwaarden of SaaS-contracten niet voldoende is. Zodra jouw software gedrag analyseert of scores toekent die in de praktijk door de afnemer worden gebruikt om cruciale beslissingen over mensen te nemen, zit je al heel snel in de gevarenzone van de AI-verordening.
Stappenplan voor AI-compliance: wat moet je nu doen in 2026?
De publicatie van deze concept-richtsnoeren vraagt om directe, proactieve actie van organisaties. De tijd van afwachten is definitief voorbij. Wij adviseren de volgende drie stappen:
- Voer een AI-inventarisatie en classificatie-audit uit: Breng al je interne en commerciële AI-toepassingen in kaart. Toets ze direct aan de hand van de nieuwe interpretatieve regels en filtermechanismen uit de Bijlage I- en Bijlage III-documenten.
- Herzie je commerciële documentatie en productmarketing: Analyseer kritisch hoe jouw software in de markt wordt gezet. Komen je marketinguitingen overeen met de technische restricties in de software? Zijn je contracten en disclaimers juridisch sluitend onder de nieuwe norm van Paragraaf 12?
- Overweeg deelname aan de publieke consultatie: Maak gebruik van de korte termijn tot 23 juni 2026 om onduidelijkheden of onwerkbare situaties in de richtsnoeren via een formele reactie terug te koppelen aan de Europese Commissie.
Samen grip krijgen op jouw AI-compliance?
Hoe jouw AI-software officieel wordt geclassificeerd, bepaalt de toekomst van jouw product op de Europese markt. Dat kan spannend zijn, maar je hoeft het wiel niet zelf uit te vinden. Door nu alvast kritisch naar je documentatie en software-inrichting te kijken, voorkom je verrassingen achteraf en loop je soepel mee met de nieuwste richting van de Europese Commissie.
Sparren over de impact van deze richtsnoeren op jouw software? Neem gerust contact met ons op. We denken graag met je mee.
