Je zoekt een getal. Een licentieprijs, een adviesuurtarief, een interne businesscase die klopt op een A4'tje. Dat getal bestaat niet zonder een paar antwoorden vooraf, en de meeste aanbieders van software of advies geven die antwoorden niet uit zichzelf. Dit artikel geeft geen offerte. Het legt uit waar het geld in elke route naartoe gaat, wat elke route niet oplost, en welke vraag je aan iedere partij moet stellen voordat je tekent.
De grootste kostenpost zit bijna nooit in de licentie of het uurtarief
Software kost een abonnement. Een adviseur kost een tarief per uur of een vast bedrag per traject. Zelf doen kost salaris dat je toch al betaalt. Op papier lijkt het simpel te vergelijken. In de praktijk is de post die alle drie routes gemeen hebben, en die vrijwel nooit in de offerte staat, de interne tijd: het opsporen van elk AI-systeem dat in de organisatie draait (van het HR-screeningtool tot de chatbot die de klantenservice erbij heeft gekocht zonder IT te vragen), het vinden van de eigenaar per systeem, en het uitvragen van leveranciers over trainingsdata, testresultaten en technische documentatie.
Die inventarisatie doe je zelf, laat je doen, of vult iemand hem voor je in met een tool. Maar de feiten moeten uit de organisatie komen. Geen enkele licentie en geen enkele adviseur haalt ze eruit zonder dat iemand intern antwoord geeft op "welke systemen gebruiken we, wie is eigenaar, en wat doet dit systeem precies". Reken hierop voordat je een van de drie routes kiest, anders vergelijk je drie manieren om hetzelfde probleem te verbergen.
Route 1: governance-software of een compliance-platform inkopen
Wat je koopt. Een systeem om AI-systemen te registreren, risicoclassificaties bij te houden, taken en deadlines te beheren en documentatie te centraliseren. De licentiekosten zijn meestal opgebouwd uit een prijs per gebruiker of per geregistreerd systeem, plus een implementatiefee en jaarlijks onderhoud. Reken dat door: bij tien systemen en vijf gebruikers betaal je een heel andere licentie dan bij honderd systemen en een compliance-afdeling van twintig mensen.
Wat het niet oplost. Een lege database. Software vult zichzelf niet. Iemand moet elk systeem invoeren, de classificatievraag beantwoorden (is dit systeem verboden onder artikel 5, hoog-risico onder bijlage III, of geen van beide1) en het bewijs uploaden. Zonder een eigenaar die dat werk doet, krijg je een duur dashboard met drie ingevulde regels. Dat is de meest voorkomende valkuil bij deze route: het platform wordt gekocht om het probleem "weg te automatiseren", terwijl het probleem in de mensen zit die het moeten voeden.
Interne inspanning. Hoog aan de voorkant. Iemand moet het systeem inrichten, elk AI-systeem invoeren, eigenaren aanwijzen en ze trainen om het bij te houden. Structureel: iemand moet het platform onderhouden zodra er een nieuw systeem bijkomt of een leverancier wijzigt.
Doorlooptijd. De doorlooptijden in dit artikel zijn ervaringscijfers uit trajecten die wij zelf doen, geen marktonderzoek; gebruik ze als orde van grootte, niet als belofte. De software zelf is in dagen operationeel. Een register dat de werkelijkheid dekt, kost weken tot maanden, afhankelijk van hoeveel systemen en leveranciers je hebt.
Wanneer dit de verkeerde route is. Als niemand in de organisatie eigenaarschap krijgt over het vullen en onderhouden. Als je nog niet weet welke systemen je hebt, is een platform kopen voordat je hebt geïnventariseerd, geld uitgeven aan een lege doos.
Route 2: een externe adviseur of implementatiepartner
Wat je koopt. Expertise en tempo. Een adviseur kent de wet, heeft eerdere classificaties gedaan, en structureert het traject zodat je niet zelf hoeft uit te zoeken wat een FRIA is of wanneer artikel 26 lid 5 in werking treedt. Adviestrajecten zijn meestal vast geprijsd per fase (scan, classificatie, gap-analyse, implementatie) of op uurbasis.
Als concreet ijkpunt: Embed AI hanteert publieke vaste prijzen voor gebruiksverantwoordelijken binnen bevestigde scope, exclusief btw. Een begeleide AI-governancescan van 2.950 euro, eenmalig verrekenbaar met een vervolgtraject dat binnen zestig dagen start. Een AI Act Readiness Sprint van 9.900 euro vast, met register, classificatie, gap-analyse, eigenaarschap en een 30-60-90 dagen roadmap. Een AI Act Compliance Bundle van 21.900 euro vast, die daar leveranciersbewijs, artikel 4-bewijs, beleid en implementatie aan toevoegt. Aanbieders (partijen die zelf een AI-systeem op de markt brengen) vallen buiten deze vaste prijzen en krijgen maatwerk, omdat hun verplichtingen wezenlijk zwaarder zijn. Dit zijn geen marktgemiddelden, ze zijn een enkel voorbeeld van hoe een vast traject is opgebouwd; andere bureaus prijzen anders, en je moet dat bij elke offerte navragen.
Wat het niet oplost. Eigenaarschap na afronding. Het klassieke risico van deze route is het rapport dat in een la belandt: een adviseur levert een gap-analyse en een roadmap op, en niemand in de organisatie voelt zich verantwoordelijk om de acties daadwerkelijk uit te voeren. Een adviesrapport is geen compliance. Het is een routebeschrijving. Als niemand hem volgt, verandert er niets.
Interne inspanning. Lager dan zelf doen, maar niet nul. Een adviseur kan de methode en de juridische interpretatie leveren, maar de feitelijke input (welke systemen, welke leveranciers, welke data) moet nog steeds van intern personeel komen. Reken op een interne projecttrekker die tijd vrijmaakt om vragen te beantwoorden en documenten aan te leveren.
Doorlooptijd. Een scan is in dagen tot een paar weken klaar. Een afgebakende readinessfase is in enkele weken te doen. Een volledig traject waarin ook leveranciersbewijs wordt opgehaald en beleid wordt geïmplementeerd, loopt langer, en de bepalende factor is bijna altijd de reactietijd van leveranciers, niet de snelheid van de adviseur.
Wanneer dit de verkeerde route is. Als je alleen een rapport wilt zonder dat iemand intern het eigenaarschap overneemt. Een adviseur kan classificeren en adviseren, maar niet het beleid handhaven binnen jouw organisatie nadat het traject is afgerond.
Route 3: zelf doen met eigen mensen
Wat je koopt. Niets, in geld. Je zet compliance, juridische of IT-mensen in op tijd die ze anders aan iets anders zouden besteden. De directe kosten zijn dus verborgen in salariskosten, niet in een factuur.
Wat het niet oplost. De eerste classificatievraag. De meeste interne trajecten lopen vast zodra iemand moet bepalen of een systeem onder bijlage III valt, of de organisatie aanbieder of gebruiksverantwoordelijke is in de keten, en welk bewijs een toezichthouder zou willen zien. Zonder een referentiekader (de wettekst, richtsnoeren, precedenten) is die vraag makkelijk fout te beantwoorden, in beide richtingen: te streng classificeren kost onnodig veel implementatie-inspanning, te soepel classificeren laat een echte verplichting liggen.
Interne inspanning. Volledig. Dit is de route waarin de interne uren niet gedeeld worden met een leverancier of adviseur. Reken op weken werk voor een enkele gekwalificeerde persoon, of maanden als de taak erbij komt naast een reguliere functie.
Doorlooptijd. Het langst van de drie routes, meestal omdat het werk naast bestaande taken wordt gedaan en niet de prioriteit krijgt die het nodig heeft.
Wanneer dit de verkeerde route is. Als de organisatie een aanbieder is (zelf een AI-systeem op de markt brengt of onder eigen naam laat gebruiken), of als de toepassingen in HR, krediet, zorg, onderwijs, essentiële diensten of overheidsbesluitvorming zitten. Die profielen vragen een zwaardere bewijslaag en een precieze classificatie waar een verkeerde interne inschatting duur kan uitpakken.
Vergelijking op hoofdlijnen
| | Software / platform | Externe adviseur | Zelf doen | |---|---|---|---| | Kostenopbouw | Licentie per gebruiker/systeem + implementatie + onderhoud | Vast per fase of per uur | Salariskosten, geen directe factuur | | Wat je koopt | Registratie- en beheersysteem | Expertise, tempo, structuur | Niets, tijd van eigen mensen | | Grootste risico | Leeg register | Rapport in de la | Vastlopen op classificatie | | Interne inspanning | Hoog (invoeren en onderhouden) | Gemiddeld (input leveren) | Volledig | | Doorlooptijd | Weken tot maanden voor een dekkend register | Weken tot ~12 weken voor een volledig traject | Meestal het langst | | Beste fit | Al geclassificeerd, wil structuur en tracking | Snelheid en juridische zekerheid nodig | Klein, laag risicoprofiel, tijd beschikbaar |
Wat de rekening werkelijk bepaalt
Vier factoren stuwen de kosten van elke route omhoog of omlaag, ongeacht welke je kiest.
Je rol in de keten. Een gebruiksverantwoordelijke (je zet een AI-systeem in dat een ander heeft gebouwd) heeft een wezenlijk lichtere verplichtingenset dan een aanbieder (je brengt zelf een AI-systeem op de markt of onder je eigen naam in gebruik). Aanbieders dragen conformiteitsbeoordeling, technische documentatie en kwaliteitsmanagement; dat is een andere orde van werk dan een gebruiksverantwoordelijke die vooral moet weten wat hij inzet en hoe hij het gebruikt.
Het aantal AI-systemen en leveranciers. Elke route schaalt met dit getal. Tien systemen van drie leveranciers is een ander project dan zestig systemen verspreid over afdelingen die niemand centraal heeft bijgehouden. Het uitvragen van leveranciers (trainingsdata, testresultaten, technische documentatie) is vaak de traagste stap, omdat je afhankelijk bent van hun reactietijd.
Het risicoprofiel van de toepassingen. Systemen in HR, kredietbeoordeling, zorg, onderwijs, essentiële diensten of overheidsbesluitvorming vallen sneller onder een classificatieplicht en een zwaardere bewijslaag1. Voor een deel van die toepassingen (publiekrechtelijke instanties, private partijen die publieke diensten leveren, kredietwaardigheidsbeoordelingen, levens- en ziektekostenverzekeringen) komt er een fundamentele rechtenbeoordeling bij, die deels kan leunen op een bestaande DPIA1. Die plichten worden afdwingbaar volgens de bijlage III-kalender, vanaf 2 december 20271, maar de voorbereiding (weten welke systemen dat raakt) kost nu al tijd, ongeacht wanneer de handhaving begint.
Het verschil tussen weten waar je staat en een leesbaar dossier. Een lijstje in een spreadsheet dat jij begrijpt, is niet hetzelfde als een dossier dat een inkoper in een aanbesteding of een toezichthouder kan doorlezen: onderbouwd, met bronverwijzingen, eigenaarschap en versiebeheer. De tweede vorm kost meer tijd om te bouwen, in elke route, omdat het niet alleen feiten verzamelen is maar ze ook presenteerbaar maken.
Zekerheid die je nog niet kunt kopen
Een kostenpost die vaak wordt vergeten is herwerk. De Europese normen waarmee je straks kunt aantonen dat je aan de hoog-risico-eisen voldoet, zijn nog in ontwikkeling bij CEN-CENELEC onder normalisatieverzoek M/6135. Een geharmoniseerde norm levert pas een vermoeden van conformiteit op zodra hij in het Publicatieblad is vermeld. Wie vandaag een leverancier hoort zeggen dat zijn product je "conform" maakt, koopt dus een belofte die de norm zelf nog niet kan waarmaken. Dat pleit niet voor stilzitten, wel voor investeren in wat hoe dan ook nodig blijft: weten welke systemen je hebt, wie eigenaar is, en wat de leverancier kan aantonen.
Wat gratis kan: artikel 4 en artikel 5
Niet alles vraagt een budget. De verplichtingen van artikel 4 (AI-geletterdheid) en artikel 5 (verboden praktijken) gelden al sinds 2 februari 20251 en vragen vooral gedrag en vastlegging, geen software en geen adviseur. Artikel 4 is per 27 juli 2026 herschreven tot een maatregelenplicht2: de organisatie neemt maatregelen die AI-geletterdheid ondersteunen, ze garandeert geen individueel vaardigheidsniveau3. Dat betekent in de praktijk: een interne richtlijn over welk gebruik van AI is toegestaan, een overzicht van wie welke systemen gebruikt, en een paar uur voorlichting, vastgelegd. Artikel 5 verbiedt praktijken zoals sociale scoring en bepaalde vormen van manipulatieve beïnvloeding4; het toetsen of je daar niet aan raakt is een gesprek en een korte toetsing, geen implementatietraject. Dit is de goedkoopste stap die elke organisatie nu al kan zetten, onafhankelijk van welke route je later kiest voor de rest.
Beslisregel per organisatietype
Een kleine organisatie met een handvol AI-toepassingen, allemaal ingekocht en laag risico, redt het vaak met zelf doen plus de gratis stappen uit artikel 4 en 5, en schakelt pas software of advies in zodra er een aanbesteding of een specifieke hoog-risicotoepassing bijkomt. Een middelgrote organisatie met tien tot dertig systemen verspreid over afdelingen heeft meestal het meeste aan een adviestraject voor de eerste inventarisatie en classificatie, gevolgd door software om het daarna te onderhouden. Een organisatie die zelf AI-systemen op de markt brengt, of die werkt in HR, krediet, zorg, onderwijs, essentiële diensten of overheidsbesluitvorming, moet niet op zelf doen vertrouwen voor de classificatievraag; de kosten van een verkeerde inschatting zijn hoger dan de kosten van hulp inhuren.
Stel bij elke offerte, van elke leverancier, deze ene vraag: zit inventarisatie, classificatie, eigenaarschap, leveranciersbewijs en implementatie in scope, of koop je alleen een deel daarvan en moet de rest er intern nog bij? Een offerte die dat niet expliciet maakt, laat je de rekening later ontdekken.
Veelgestelde vragen
Wat kost EU AI Act-compliance gemiddeld?
Een gemiddelde bestaat niet, en elk bedrag dat je zonder vragen krijgt, is een gok. De rekening wordt bepaald door je rol in de keten, het aantal AI-systemen en leveranciers, en het risicoprofiel van de toepassingen. Als ijkpunt: bij Embed AI kost een begeleide governancescan EUR 2.950, een Readiness Sprint EUR 9.900 vast en de Compliance Bundle EUR 21.900 vast, exclusief btw, voor gebruiksverantwoordelijken binnen bevestigde scope.
Is software goedkoper dan een adviseur?
Op de factuur vaak wel, in totale kosten lang niet altijd. Software vult zichzelf niet: iemand moet elk systeem invoeren, de classificatievraag beantwoorden en het bewijs verzamelen. Reken de interne uren mee voordat je de twee vergelijkt, anders vergelijk je een licentie met een compleet traject.
Kunnen we dit zelf doen?
Voor een organisatie met een paar bekende systemen, een lage risicoklasse en iemand die er echt tijd voor krijgt: ja. Loopt het vast, dan gebeurt dat vrijwel altijd op de classificatievraag of op leveranciers die niet antwoorden. Werk je in HR, krediet, zorg, onderwijs, essentiële diensten of overheidsbesluitvorming, dan zijn de kosten van een verkeerde inschatting hoger dan de kosten van hulp.
Wat moet er nu al gebeuren en wat kan wachten?
Artikel 5 (verboden praktijken) en artikel 4 (maatregelen voor AI-geletterdheid) gelden sinds 2 februari 2025, en artikel 50 (transparantie) sinds 2 augustus 2026. De hoog-risicoplichten uit bijlage III worden afdwingbaar op 2 december 2027. Wachten met inventariseren is toch onverstandig: de inkoopbeslissingen van dit jaar bepalen wat in 2027 nog te repareren valt.
Welke vraag moet ik aan elke offerte stellen?
Deze: zitten inventarisatie, classificatie, eigenaarschap, leveranciersbewijs en implementatie in scope, of koop ik daar maar een deel van? Een offerte die dat niet expliciet maakt, laat je de rest later intern ontdekken.
