Hoog-risico AI-systemen: praktische gids voor SaaS-teams

Hoog-risico AI-systemen zijn systemen die onder de strengere compliance-route van de EU AI Act vallen door hun doel, productcontext of mogelijke impact op gezondheid, veiligheid of fundamentele rechten. Voor SaaS-teams is de praktische vraag niet alleen of het product AI gebruikt. De vraag is of een specifieke use case veiligheidscomponent van een gereguleerd product is, zelf een gereguleerd product is, of bedoeld is voor een Annex III-gebruik.

Als het antwoord mogelijk ja is, heeft het team een gestructureerde workflow nodig. Die workflow legt systeem, rol, doel, betrokken personen, data, klantconfiguratie, vendor, evidence, controls, owner en launch gate vast. De beslissing hoort niet alleen in een juridische memo; zij moet sturen hoe product, engineering, security, privacy, compliance en customer teams werken.

De draft guidelines van de European Commission uit mei 2026 zijn nuttig omdat ze de huidige interpretatie van Article 6 en voorbeelden geven. Ze blijven draft guidance, dus de AI Act zelf blijft de bron van de wettelijke verplichting.

Waarom dit telt

High-risk classificatie kan eisen activeren voor risk management, data governance, technische documentatie, logging, transparantie, human oversight, accuracy, robustness, cybersecurity, quality management, conformity assessment, registratie, monitoring en incident handling.

Het grootste operationele risico is onduidelijkheid. Een team kan ranking, scoring, filtering, aanbevelingen, HR, onderwijs, healthcare of toegang tot diensten lanceren zonder te beslissen of high-risk review nodig is. Tegen de tijd dat procurement, klantsecurity of audit vraagt, zit de feature vaak al in contracten.

Classificatie versnelt omdat het werk routeert. Een drafting assistant heeft niet hetzelfde proces nodig als een systeem dat kandidaten filtert. Een interne samenvattingstool is anders dan scoring voor krediet, werk, onderwijs of essential services.

Twee hoofdroutes

De eerste route gaat over gereguleerde producten. Een AI-systeem kan high-risk zijn als het veiligheidscomponent van een product is, of zelf product is, onder Annex I-harmonisatieregels valt en een third-party conformity assessment vereist. Dit raakt SaaS in medical devices, machinery, transport, aviation, robotics, industrie of infrastructure.

De tweede route is Annex III: biometrics, critical infrastructure, education, employment, worker management, essential services, law enforcement, migration, justice en democratic processes. De analyse volgt doel en concreet gebruik, niet de modelnaam.

Voor SaaS is Annex III vaak de meest voorkomende trigger. Hiring, candidate filtering, worker evaluation, student assessment, creditworthiness, insurance risk, biometric identification of legal decision support verdienen diepere review.

Wanneer review starten

Start review bij een nieuwe AI feature, nieuw model of vendor, nieuw doel, nieuwe klantconfiguratie, gebruik in HR, onderwijs, healthcare, essential services, credit of insurance, biometrie, geautomatiseerde ranking, minder human review, EU-markttoegang of klantvragen over AI Act exposure.

Vendor AI vraagt dezelfde discipline. Woorden als insight, intelligence, automation, recommendation, screening, identity of safety beantwoorden de classificatie niet. Het team moet weten wat het systeem doet, welke data het gebruikt, wie geraakt wordt, hoe output wordt gebruikt, welke gevoelige configuraties bestaan en welke rol de klant heeft.

Praktische workflow

Begin met een korte intake: systeem, owner, doel, user journey, betrokken personen, geografie, data, model of vendor, AI Act-rol, output, human review, klantconfiguratie en verband met Annex I of Annex III.

Routeer daarna. Zaken zonder red flags gaan naar gewone classificatie, privacy, security en vendor review. Waarschijnlijke high-risk kandidaten gaan voor launch naar legal en compliance assessment. Ambigue gevallen gaan naar een benoemde reviewer met deadline.

Voor waarschijnlijk high-risk systemen breid je het dossier uit: risk management, data governance, technical documentation, logging, gebruiksinstructies, human oversight, testing, cybersecurity, post-market monitoring, incident escalation, vendor evidence, conformity route en klantdocumentatie.

Evidence en ownership

Evidence moet beantwoorden wat is bekeken, waarom deze classificatie is gekozen, welke controls volgen en wanneer de beslissing opnieuw wordt bekeken. Bewaar inventory, intake, product- of vendorbeschrijving, dataflow, analyse van betrokken personen, intended purpose, screening, role analysis, conclusie, reviewer, datum, bronnen, launch decision, controls en reviewtrigger.

Product bezit doel en configuratie. Engineering bezit architectuur, data, logs en testing. Security bezit vendor en cybersecurity. Privacy bezit data protection. Legal en compliance bezitten AI Act-interpretatie en evidence standard. Leadership bezit risk acceptance voor gevoelige of ambigue launches.

Veelgemaakte fouten

De eerste fout is high-risk behandelen als merklabel. Hetzelfde model kan low-risk drafting of high-risk employment review ondersteunen. De tweede is alleen vertrouwen op vendor assurances. De derde is aannemen dat human review alles oplost. De vierde is change management vergeten wanneer doel, data, geografie, klant, model of toezicht verandert.

FAQ

Wat is het praktische doel?

AI-systemen identificeren die een strengere governance-route, sterker bewijs en lifecycle controls nodig hebben voordat ze op de markt komen, in gebruik worden genomen of in gevoelige workflows worden gebruikt.

Wanneer geldt dit voor SaaS-teams?

Wanneer het team AI bouwt, verkoopt, integreert, configureert of gebruikt als veiligheidscomponent van een gereguleerd product, als gereguleerd product of voor Annex III-gebruik zoals werk, onderwijs, essential services, biometrics, law enforcement, migration, justice of democratic processes.

Wat documenteer je eerst?

AI inventory, high-risk intake, role analysis, intended purpose, betrokken personen, classification decision, owner, evidence-locatie en launch gate.

Sources

• Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence.
• European Commission draft guidelines on the classification of high-risk AI systems.
• European Commission AI Act FAQ on high-risk AI systems.
• AI Act Service Desk guidance on high-risk AI in regulated products.