Providerverplichtingen: praktische gids voor SaaS-teams

Providerverplichtingen onder de EU AI Act zijn relevant wanneer een SaaS-bedrijf een AI-systeem of GPAI-model ontwikkelt, verkoopt, substantieel wijzigt of op de EU-markt brengt onder eigen naam of controle. Het gaat niet alleen om wie de modelcode schreef. Ook wie het doel bepaalt, de feature verkoopt, de klantervaring controleert of een systeem wijzigt telt mee.

Begin met rolanalyse per workflow. Een bedrijf kan deployer zijn voor een intern tool, provider voor een klantgerichte feature, GPAI model provider voor een API, of nieuwe provider volgens Article 25 bij rebranding, substantial modification of wijziging van intended purpose.

Welk verplichtingenpad

Voor high-risk AI-systemen bundelt Article 16 onder meer compliance met vereisten, quality management, technische documentatie, logs, conformity assessment, EU declaration of conformity, CE marking, registratie, corrective actions, samenwerking met autoriteiten en accessibility waar nodig.

Article 25 kan verantwoordelijkheid in de waardeketen verschuiven. Een deployer, importer, distributor of derde kan provider worden bij eigen naam, substantial modification of wijziging van doel.

Voor GPAI-modellen geldt Article 53: technische documentatie, informatie voor downstream providers, copyright policy, publieke samenvatting van trainingscontent en samenwerking met autoriteiten.

Wat eerst vastleggen

Leg AI asset, intended purpose, rol, risk track, geactiveerde verplichtingen en evidence vast. Voeg owner, reviewer, documentatielocatie, risk-management file, tests, data governance, vendor documents, conformity status, release ticket, monitoring, incident process, klantdocumentatie en reassessment triggers toe.

In product gates opnemen

Zet provider checks in discovery, architecture review, vendor review en release readiness. Product weet wanneer te escaleren, legal krijgt feiten vroeg, engineering weet welke logs en tests tellen, compliance weet waar de evidence staat.

Veelgemaakte fouten

Neem niet aan dat de modelvendor altijd provider is. Vermijd inventories zonder rolveld, technische documentatie op het laatst, verloren downstream informatie en geen triggers voor substantial modifications.

FAQ

Wat is het praktische doel?

Aantonen dat de organisatie die een AI-systeem of GPAI-model ontwikkelt, verkoopt, wijzigt of op de markt brengt design, documentatie, beoordeling, monitoring en support kan bewijzen.

Wanneer geldt het voor SaaS?

Wanneer het team ontwikkelt, laat ontwikkelen, onder eigen naam verkoopt, substantieel wijzigt, het doel verandert of een GPAI-model levert.

Wat documenteer je eerst?

Rol en classificatie: AI asset, doel, klantcontext, vendors, risk track, conclusie, verplichtingen, evidence owner en reassessment.