Een AI-register bijhouden: wat is het en hoe pak je het aan?

Wat is een AI-register?

Een AI-register is een gestructureerd intern document waarin u bijhoudt welke AI-systemen uw bedrijf gebruikt, waarvoor u ze inzet en welke rol uw bedrijf daarbij speelt. Denk aan een spreadsheet of een eenvoudige tabel met per systeem de naam, de leverancier, het doel, de betrokken medewerkers en het risiconiveau.

Het register is geen wettelijk vereiste voor elke mkb'er, maar de AI Act legt voor specifieke rollen wel degelijk documentatieverplichtingen op. En los van die verplichtingen: zonder overzicht weet u niet wat u moet regelen.

Wanneer is een AI-register verplicht?

De AI Act maakt onderscheid tussen providers (ontwikkelaars) en deployers (gebruikers van AI van een ander). Voor de meeste mkb-bedrijven is de deployer-rol van toepassing.

Artikelen 11 en 16 verplichten providers van hoog-risico AI-systemen tot uitgebreide technische documentatie. Artikel 26 legt deployers van hoog-risico systemen verplichtingen op rond toezicht, instructies en het bijhouden van logs. Voor hoog-risico AI in de categorie werving, krediet, onderwijs en biometrie (Annex III) geldt de deadline van 2 december 2027. Voor AI ingebouwd in gereguleerde producten (Annex I) is dat 2 augustus 2028.

Voor niet-hoog-risico systemen staat er geen expliciete registerplicht in de wet. Toch is een intern overzicht verstandig, om twee redenen. Ten eerste kunt u dan aantonen dat u bewust heeft nagedacht over risiconiveaus. Ten tweede helpt het u bij de verplichtingen die al wel gelden, zoals AI-geletterdheid (artikel 4, van kracht sinds 2 februari 2025) en transparantie richting gebruikers (artikel 50, deadline 2 augustus 2026).

Wat zet u in een AI-register?

Een werkbaar register voor het mkb bevat minimaal de volgende kolommen per AI-systeem:

• Naam van het systeem en de leverancier
• Datum van eerste gebruik binnen uw bedrijf
• Doel waarvoor u het inzet (bijvoorbeeld: klantenservice, tekstgeneratie, planning)
• Welke medewerkers of afdelingen het gebruiken
• Of het systeem contact heeft met klanten of derden (relevant voor artikel 50)
• Uw rol: provider, deployer of beide
• Risicocategorie: verboden, hoog-risico, beperkt risico of minimaal risico
• Welke maatregelen u heeft getroffen (instructies, logging, menselijk toezicht)
• Datum van laatste beoordeling

U hoeft dit niet ingewikkeld te maken. Een spreadsheet met deze kolommen is voor de meeste mkb-bedrijven meer dan voldoende als startpunt.

Hoe pakt u het praktisch aan?

Begin met inventariseren. Loop alle afdelingen langs en vraag welke tools medewerkers gebruiken waarbij AI een rol speelt. Dat zijn niet alleen de grote namen zoals ChatGPT of Copilot, maar ook AI-functies in boekhoudsoftware, planningstools, e-mailclients of klantenserviceplatforms.

Bepaal daarna per systeem de risicocategorie. De meeste tools die een gemiddeld mkb-bedrijf gebruikt vallen in de categorie minimaal of beperkt risico. Systemen die beslissingen nemen over mensen, zoals bij werving of kredietverlening, kunnen hoog-risico zijn.

Vul vervolgens de kolommen in en sla het register op een centrale plek op, toegankelijk voor de persoon die verantwoordelijk is voor compliance. Dat hoeft geen aparte functionaris te zijn; bij kleinere bedrijven is dat vaak de eigenaar of een aangewezen medewerker.

Plan een vaste moment in, bijvoorbeeld elk kwartaal, om het register te actualiseren. AI-tools veranderen snel en nieuwe functies kunnen een ander risiconiveau meebrengen.

Wat heeft het register te maken met andere verplichtingen?

Het register is geen doel op zich, maar een hulpmiddel. Het helpt u bij drie concrete verplichtingen.

Eerste: AI-geletterdheid (artikel 4). U moet aantoonbaar kunnen maken dat medewerkers begrijpen hoe de AI-systemen die zij gebruiken werken en wat de beperkingen zijn. Het register laat zien welke systemen in scope zijn voor die training.

Tweede: transparantie (artikel 50). Als u een chatbot op uw website heeft of AI-gegenereerde content publiceert, moet u dat melden aan gebruikers. De deadline is 2 augustus 2026. Het register helpt u te bepalen welke systemen onder deze verplichting vallen.

Derde: hoog-risico verplichtingen (artikel 9, 10, 14, 26). Als u hoog-risico AI inzet, heeft u een risicobeheersysteem, datakwaliteitsmaatregelen en menselijk toezicht nodig. Het register is het vertrekpunt om te bepalen of en waar dat van toepassing is.

Wat als u nu nog niets heeft?

Dan bent u niet de enige. De meeste mkb-bedrijven hebben nog geen formeel AI-register. De verplichtingen die nu al gelden (artikel 4 en artikel 5 sinds 2 februari 2025) vereisen geen register als zodanig, maar u kunt ze moeilijk nakomen als u niet weet welke AI-systemen u gebruikt.

Een eerste inventarisatie kost een middag. Dat is een reële investering voor de zekerheid die het oplevert.

Volgende stap

Weet u niet zeker welke AI-systemen in uw bedrijf in scope zijn of welk risiconiveau ze hebben? Begin met de gratis zelfscan op nuchter.ai. Die helpt u in een paar minuten bepalen waar u staat en wat u als eerste moet regelen.