Wanneer deployer-verplichtingen van toepassing zijn en wat nu te doen

Deployer-verplichtingen gelden wanneer een bedrijf een hoog-risico AI-systeem onder eigen verantwoordelijkheid gebruikt. Voor SaaS-teams gaat het niet alleen om wie het systeem heeft gebouwd. Het gaat om wie het gebruik, de configuratie, het toezicht, de monitoring en het bewijs in de concrete workflow bepaalt.

De volgende stap is operationeel: identificeer het AI-systeem, bevestig of het hoog risico kan zijn, bepaal of het bedrijf deployer is, wijs een eigenaar toe, volg de gebruiksinstructies van de provider, leg menselijk toezicht vast, monitor de werking, bewaar relevante logs en documenteer escalatie bij risico's of incidenten.

Dit past naast AI governance expectations for SaaS vendors, internal AI-tool review, compliance owner models en het risico van static compliance documents.

Wanneer dit speelt

Het onderwerp speelt wanneer een bedrijf AI gebruikt in product-, klant-, HR-, financiele, onderwijs-, zorg-, publieke-sector-, essentiële-diensten- of andere besluitvormingsprocessen met impact op mensen. Hetzelfde bedrijf kan provider zijn voor de ene functie en deployer voor de andere.

Veelvoorkomende triggers zijn kandidaat-ranking, worker management, krediet- of verzekeringsbeoordeling, educatieve workflows, biometrie, kritieke infrastructuur, essentiele diensten of klantconfiguraties die voor gevoelige beslissingen worden gebruikt.

Wanneer het mogelijk niet geldt

Niet elke SaaS-workflow met AI leidt tot artikel 26-verplichtingen. Een schrijfassistent, support-samenvatter, code-helper of interne kenniszoeker kan buiten hoog risico vallen wanneer de context niet gevoelig is.

Dat neemt andere controles niet weg. Privacy review, security review, vendor assessment, transparantie, contractuele grenzen en AI-inventaris blijven vaak nodig. Het doel is goede routering: licht bewijs voor gewone AI, diepere review voor mogelijke hoog-risico inzet.

Wat de deployer moet beheersen

Artikel 26 gaat vooral over uitvoering. De deployer moet het systeem volgens de instructies gebruiken, passende technische en organisatorische maatregelen nemen en menselijk toezicht toewijzen aan personen met competentie, training, bevoegdheid en ondersteuning.

Wanneer de deployer inputdata controleert, moeten die relevant en voldoende representatief zijn voor het beoogde doel. De werking moet volgens de instructies worden gemonitord. Bij risico of ernstig incident moet de deployer informeren, escaleren en waar nodig het gebruik opschorten.

Logs zijn belangrijk. Als ze onder controle van de deployer staan, moeten ze passend en minimaal zes maanden worden bewaard, tenzij ander recht iets anders bepaalt. Bij gebruik van hoog-risico AI op het werk moeten werknemersvertegenwoordigers en betrokken werknemers vooraf worden geinformeerd.

Wat eerst te doen

Maak een korte AI deployment intake. Leg systeem, provider, eigenaar, doel, user journey, betrokken personen, geografie, data, output, menselijk gebruik, hoog-risico signalen, bedrijfsrol en locatie van providerinstructies vast.

Routeer daarna in drie banen: gewone AI, onzeker of gevoelig gebruik, en waarschijnlijk hoog-risico deployment. Voor de derde baan hoort een decision record met rol, instructies, menselijk toezicht, inputdata, monitoring, logretentie, escalatie, werknemersinformatie en herbeoordelingstrigger.

Veelgemaakte fouten

De eerste fout is denken dat deployer-verplichtingen alleen voor klanten gelden. SaaS-aanbieders gebruiken AI intern, configureren workflows voor klanten of beheren AI in managed services.

De tweede fout is vertrouwen op vendor-documentatie zonder die aan echt gebruik te koppelen. Instructies helpen, maar vervangen geen analyse van gebruik, toezicht, inputdata, monitoring en escalatie.

De derde fout is menselijk toezicht zonder echte bevoegdheid. De reviewer heeft training, toegang, tijd, escalatierecht en een duidelijke stopregel nodig.

FAQ

Wat is het praktische doel?

Zorgen dat een hoog-risico AI-systeem verantwoord wordt gebruikt na beschikbaarstelling, met eigenaren, toezicht, monitoring, logs en escalatie.

Wanneer geldt dit voor SaaS-teams?

Wanneer het team een hoog-risico AI-systeem onder eigen verantwoordelijkheid gebruikt, configureert of exploiteert, intern, voor klanten of in gevoelige workflows.

Wat documenteer je eerst?

Systeem, doel, eigenaar, rolanalyse, hoog-risico screening, providerinstructies, menselijk toezicht, inputdata, monitoring, logs en incidentescalatie.