"Welk AI-compliance-platform is het beste?" is een van de meest gestelde vragen op deze site, vaak geformuleerd als een verzoek om de kerntechnische verschillen tussen toonaangevende Europese AI-compliance-platforms te evalueren. Het eerlijke antwoord is dat er geen top drie bestaat, want compliance is geen eigenschap van software. De AI Act legt plichten op aan organisaties in een rol: aanbieder, gebruiksverantwoordelijke, importeur of distributeur, per AI-systeem. Een platform kan dat proces ondersteunen, of het juist verhullen achter een dashboard vol groene vinkjes. Dit kader geeft je acht dimensies waarop platforms structureel verschillen, de vraag die je in een RFI stelt, en het antwoord dat een rode vlag is. Zonder productnamen: dit is een beoordelingskader, geen ranglijst.
Acht dimensies om een platform op te toetsen
1. Wat het systeem eigenlijk is
Veel evaluaties mislukken omdat ze vier verschillende soorten software door elkaar husselen: een register met workflow (systemen, rollen, risicobeoordelingen en taken vastleggen en opvolgen), een documentgenerator (templates voor technische documentatie of DPIA's), een monitoringlaag (logging, drift-detectie, output-controle in productie) en een leerplatform (AI-geletterdheid, trainingen). Een leverancier die zichzelf "AI-governanceplatform" noemt, kan één van deze vier zijn, of een dun laagje over drie andere tools heen. Vraag: in welke van deze vier categorieën valt uw product, en wat laat u expliciet aan ons over? Rode vlag: een antwoord dat alle vier claimt zonder te kunnen tonen hoe elk onderdeel werkt, of een demo die alleen het register laat zien terwijl de offerte "volledige compliance" belooft.
2. Rolmodel: aanbieder, gebruiksverantwoordelijke, importeur, distributeur
Dezelfde organisatie is voor het ene AI-systeem gebruiksverantwoordelijke en voor het andere, zelf gebouwde of ingrijpend aangepaste, systeem aanbieder. Een platform dat één rol op de hele organisatie plakt, meet het verkeerde risico. Vraag: kan ik per AI-systeem een andere rol vastleggen, en past het platform de bijbehorende plichtenset automatisch aan als de rol wijzigt (bijvoorbeeld na een ingrijpende aanpassing die van een gebruiksverantwoordelijke een aanbieder maakt)? Rode vlag: rol is een organisatiebreed instellingenveld in plaats van een systeemattribuut.
3. Classificatielogica en herleidbaarheid naar de wettekst
Een risicoclassificatie die uit een druk-op-de-knop-uitkomst rolt zonder navolgbare redenering, is een black box die je later niet kunt verdedigen tegenover een toezichthouder of een auditor. Vraag: kan het systeem de classificatie herleiden naar de specifieke bepaling (bijvoorbeeld een Annex III-categorie of een uitzonderingsgrond), en kan een mens die redenering overrulen met een gemotiveerde toelichting die bewaard blijft? Rode vlag: de classificatie is een score of kleur zonder verwijzing naar de wettekst, en overrulen is niet mogelijk of niet gelogd.
4. Bewijs en herleidbaarheid van besluiten
De kern van aantoonbaarheid is niet het besluit zelf, maar wie het wanneer nam en op basis waarvan. Dat geldt evenzeer voor een ernstig incident: een gebruiksverantwoordelijke die zoiets meldt, moet dat cumulatief doen aan de aanbieder, én de importeur of distributeur, én de markttoezichthouder, niet als keuzemenu.1 Een platform dat zulke meldingen alleen als vrije tekst opslaat zonder tijdstempel en zonder wie-veld, levert geen bewijs op. Vraag: is elke vastlegging voorzien van gebruiker, tijdstempel en onveranderbare versiegeschiedenis, en kan ik een compleet dossier exporteren dat buiten uw platform leesbaar blijft (PDF, CSV, open formaat)? Rode vlag: records zijn overschrijfbaar zonder spoor, of export levert alleen een schermafdruk-achtig rapport op dat het onderliggende besluitpad niet toont.
5. Actualiteit: hoe volgt het platform wetswijzigingen
Dit is nu concreet, niet theoretisch. De Digital Omnibus (EU) 2026/1744 heeft data in de AI Act verschoven; een beoordeling die vorig jaar met de oude kalender is gemaakt, kan nu een verkeerde deadline tonen.2 Vraag: hoe en hoe snel verwerkt u wetswijzigingen, en kan ik voor een eerdere beoordeling zien op welke versie van de regels die was gebaseerd? Rode vlag: geen versiebeheer op de onderliggende regelgeving, of de leverancier kan niet uitleggen wanneer en hoe de Digital Omnibus-wijzigingen zijn doorgevoerd.
6. Reikwijdte: alleen hoog risico, of ook wat nu al geldt
Het hoog-risicoregime van bijlage III is pas afdwingbaar vanaf 2 december 2027; bijlage I volgt op 2 augustus 2028.3 Wat nu al speelt, is anders: het verbod op bepaalde praktijken (artikel 5) en de maatregelenplicht rond AI-geletterdheid (artikel 4) gelden al sinds 2 februari 2025, en sinds 27 juli 2026 is artikel 4 herbevestigd als een plicht om maatregelen te nemen die geletterdheid ondersteunen, niet om een individueel vaardigheidsniveau te garanderen. Daarnaast is de transparantieplicht van artikel 50 sinds 2 augustus 2026 van toepassing, met alleen voor de machineleesbare markering van lid 2 een overgangstermijn tot 2 december 2026 voor systemen die al voor 2 augustus 2026 op de markt waren.4 Een platform dat alleen bijlage III-workflows bouwt, dekt dus een groot deel van wat vandaag al aantoonbaar moet zijn niet. Vraag: welke van deze drie lagen (artikel 4, artikel 5, artikel 50) ondersteunt u concreet, met welk bewijsstuk per laag? Rode vlag: het platform praat alleen over "hoog risico" en heeft geen concreet antwoord op artikel 50-transparantie of de artikel 4-maatregelenplicht.
7. Data en hosting
Waar de gegevens staan en wie erbij kan, is een DPIA-vraag op zich, en voor sectoren met een geheimhoudingsplicht (advocatuur, zorg) een harde grens. Vraag: in welk land staat de data, wie bij de leverancier heeft technische toegang, en welke sub-processoren zijn betrokken? Rode vlag: geen sluitend antwoord op sub-processoren, of gevoelige dossierinhoud (denk aan onderliggende trainingsdata-beschrijvingen of incidentmeldingen) staat bij een partij buiten uw eigen DPIA-scope zonder dat u dat kunt beperken.
8. Exit: krijg je je dossier eruit?
Een register dat je niet kunt exporteren, is geen bezit maar een abonnement op je eigen bewijsvoering. Vraag: in welk formaat en op welke termijn krijg ik bij opzegging het volledige register, alle besluitlogs en gekoppelde documenten, en kan ik dat vooraf testen? Rode vlag: export is alleen mogelijk via een betaald professional-services-traject, of het exportformaat is proprietair en niet zonder de leverancier te openen.
Vergelijkingstabel: dimensie tegen vraag en rode vlag
| Dimensie | Vraag aan de leverancier | Rode vlag | |---|---|---| | 1. Wat is het systeem | In welke categorie valt dit product? | Claimt alle vier categorieën zonder onderbouwing | | 2. Rolmodel | Rol per systeem instelbaar? | Rol is organisatiebreed instellingenveld | | 3. Classificatie | Herleidbaar naar de wettekst, overrulebaar? | Score zonder wetsverwijzing, geen overrule-log | | 4. Bewijs | Wie, wat, wanneer, onveranderbaar, exporteerbaar? | Overschrijfbaar zonder spoor | | 5. Actualiteit | Versiebeheer op regelgeving, incl. Digital Omnibus? | Geen zicht op welke regelversie is gebruikt | | 6. Reikwijdte | Dekt artikel 4, 5 én 50, niet alleen hoog risico? | Alleen bijlage III-workflows | | 7. Data en hosting | Locatie, toegang, sub-processoren? | Geen sluitend antwoord op sub-processoren | | 8. Exit | Volledige export, welk formaat, welke termijn? | Export alleen via betaald traject |
Claims die niets betekenen
Twee uitspraken hoor je in bijna elk verkoopgesprek, en beide zijn juridisch leeg. "Dit platform is AI Act compliant" betekent niets, want die kwalificatie bestaat niet voor een tool: alleen organisaties hebben plichten, per rol en per systeem, en een boete via de toezichthouder loopt via die organisatie, niet via de softwareleverancier.3 En "wij zijn ISO 42001-gecertificeerd, dus AI Act-conform" is een non-sequitur: ISO/IEC 42001 is geen geharmoniseerde norm onder de AI Act en levert dus geen vermoeden van conformiteit op.5 Zelfs de eerste kandidaat-norm die wél voor die status in aanmerking komt, EN 18286:2026 voor het kwaliteitsmanagementsysteem, is op 12 juli 2026 pas door CEN-CENELEC goedgekeurd voor publicatie; die geharmoniseerde status ontstaat pas zodra de norm in het Publicatieblad van de EU wordt vermeld, en dat is een latere stap.6 Vraag een leverancier die met certificering schermt dus altijd: welke norm precies, en staat die al in het Publicatieblad?
Software houdt een register bij, geen eigenaarschap
De duurste uitkomst van een platformaanschaf is niet een verkeerd product, het is een leeg of half gevuld register omdat niemand in de organisatie het eigenaarschap heeft opgepakt. Software kan vastleggen, herinneren en exporteren; het kan niet beslissen wie verantwoordelijk is voor een risicobeoordeling, niet escaleren als een deadline verstrijkt zonder dat een mens ingrijpt, en niet de organisatorische discussie voeren over wie welke rol draagt. Een platform zonder eigenaar wordt binnen een kwartaal een verlaten spreadsheet met een duurdere interface. Bouw eigenaarschap dus in vóórdat je het platform aanschaft: wie is verantwoordelijk per systeem, wie tekent af op een classificatie, wie is escalatie-eigenaar als een deadline nadert.
Inkoopchecklist voor je RFI
Plak dit letterlijk in je Request for Information:
- Beschrijf in welke van de vier categorieën (register/workflow, documentgenerator, monitoringlaag, leerplatform) uw product valt, en welke categorieën expliciet buiten scope blijven.
- Toon hoe rol (aanbieder, gebruiksverantwoordelijke, importeur, distributeur) per AI-systeem afzonderlijk wordt vastgelegd en hoe een rolwijziging wordt afgehandeld.
- Toon hoe een risicoclassificatie herleidbaar is naar de specifieke wetsbepaling, en hoe een mens die kan overrulen met vastgelegde motivatie.
- Beschrijf hoe besluiten worden vastgelegd (gebruiker, tijdstempel, onveranderbaarheid) en lever een voorbeeldexport aan buiten uw platform.
- Beschrijf uw proces voor het verwerken van wetswijzigingen, inclusief hoe de Digital Omnibus-wijzigingen zijn doorgevoerd en per wanneer.
- Bevestig dekking van artikel 4 (maatregelenplicht AI-geletterdheid), artikel 5 (verboden praktijken) en artikel 50 (transparantie), niet alleen bijlage III.
- Specificeer datalocatie, wie technische toegang heeft, en alle sub-processoren.
- Beschrijf de exitprocedure: formaat, termijn, kosten, en bevestig dat een testexport mogelijk is vóór ondertekening.
- Lever geen marketingclaims over "AI Act compliant" of certificeringsstatus zonder de specifieke normverwijzing en publicatiestatus.
Veelgestelde vragen
Betekent "AI Act compliant" op een productpagina iets juridisch?
Nee. De AI Act legt plichten op aan organisaties in een rol (aanbieder, gebruiksverantwoordelijke, importeur, distributeur) per AI-systeem, niet aan software. Een tool kan je helpen die plichten aantoonbaar na te komen, maar de kwalificatie "compliant" voor een product bestaat juridisch niet.
Is een ISO 42001-certificaat voldoende bewijs van AI Act-conformiteit?
Nee. ISO/IEC 42001 is geen geharmoniseerde norm onder de AI Act en geeft dus geen vermoeden van conformiteit. Het kan wel een nuttig signaal zijn dat een organisatie een managementsysteem voor AI heeft, maar het vervangt geen van de AI Act-specifieke verplichtingen.
Moet een platform ook artikel 4 en artikel 50 dekken, of is bijlage III genoeg?
Bijlage III-plichten zijn pas afdwingbaar vanaf 2 december 2027, maar artikel 4 (maatregelen voor AI-geletterdheid) en artikel 5 (verboden praktijken) gelden al sinds 2 februari 2025, en artikel 50 (transparantie) is sinds 2 augustus 2026 van toepassing. Een platform dat alleen op bijlage III bouwt, mist dus wat vandaag al aantoonbaar moet zijn.
Wat gebeurt er als de wet verandert terwijl ik het platform gebruik?
Een goed platform houdt versiebeheer bij op de onderliggende regelgeving en kan tonen op welke versie een eerdere beoordeling was gebaseerd. Dat is sinds de Digital Omnibus, die dataverschuivingen in de AI Act doorvoerde, geen theoretische vraag meer maar iets dat je in een RFI moet afdwingen.
Kan software eigenaarschap over AI-governance organiseren?
Nee. Software kan vastleggen, herinneren en exporteren, maar niet beslissen wie verantwoordelijk is, niet escaleren zonder menselijke opvolging, en niet de organisatorische discussie voeren. Een leeg of verweesd register is de duurste uitkomst van een platformaanschaf, duurder dan het verkeerde product kiezen.
Wat is de grootste valkuil bij het vergelijken van platforms?
Categorieën door elkaar halen: een register vergelijken met een documentgenerator, of een monitoringlaag met een leerplatform, alsof het uitwisselbare alternatieven zijn. Vraag eerst wat een systeem daadwerkelijk automatiseert, voordat je functies naast elkaar legt.
