EU opent consultatie over “high-risk” AI-richtlijnen: wat betekent dit voor bedrijven?

De Europese Commissie heeft een gerichte consultatie geopend over conceptrichtlijnen die moeten verduidelijken wanneer een AI-systeem onder de EU AI Act als “high-risk” wordt gezien. Dat is geen detail: de high-risk kwalificatie bepaalt of je straks te maken krijgt met zwaardere verplichtingen rond risicomanagement, documentatie, monitoring en audits. De consultatie loopt tot 23 juni 2026 (22:00 CET). Bron: Europese Commissie.

In de praktijk is dit een signaal aan bedrijven: ga nu al in kaart brengen welke AI-toepassingen mogelijk in Annex III-domeinen (zoals HR, krediet, onderwijs of kritieke infrastructuur) vallen, en waar je nog aannames maakt over “niet high-risk”. Ook ITPro benadrukt dat de draft guidance bedoeld is om providers én deployers houvast te geven bij die classificatie. Bron: ITPro.

Wat verandert er door deze conceptrichtlijnen?

De AI Act zelf bevat de basisregels (met name Artikel 6): een systeem kan high-risk zijn omdat het (1) onderdeel is van bepaalde gereguleerde producten (Annex I) of (2) een stand-alone use case heeft in de gevoelige domeinen van Annex III. De service desk van de EU vat die classificatieregels samen en verwijst expliciet naar de rol van guidance voor de praktische implementatie. Bron: AI Act Service Desk – Artikel 6.

De nieuwe stap is dat de Commissie nu praktische voorbeelden en interpretatiekaders op tafel legt, juist voor grensgevallen. In een juridische analyse wordt benadrukt dat de draft guidance de beoordeling sterk koppelt aan intended purpose en context, en dat classificatie niet “automatisch” volgt uit het feit dat er AI in het product zit. Bron: Baker McKenzie (Connect On Tech).

Waarom dit juist nu urgent is (ook als je alleen ‘tools’ gebruikt)

Veel organisaties zitten inmiddels in fase twee van adoptie: niet alleen experimenteren met chat, maar AI inzetten in workflows en beslissingen. Denk aan agentic systemen die taken uitvoeren, afspraken plannen of kandidaten rangschikken. Hoe meer een systeem invloed krijgt op uitkomsten in HR, finance of publieke dienstverlening, hoe sneller je richting Annex III-gebied schuift.

Dit sluit aan op eerdere AI Feiten-updates over “agentic” trends (bijv. Gemini 3.5 Flash en agentic workflows) en over de vraag hoe je AI-output en beslissingen herleidbaar maakt (bijv. SynthID + C2PA voor herkomst van AI-beelden). Zodra compliance-eisen zwaarder worden, wordt provenance vaak een praktisch hulpmiddel in je audit trail.

Wat kun je als bedrijf nu concreet doen?

Ook zonder definitieve richtlijnen kun je al veel voorbereiden:

• Maak een AI-inventaris: welke modellen en systemen draaien er (ook “shadow AI”), met welk doel en in welk domein?
• Map use cases naar Annex III: vooral HR, krediet/verzekeringen, onderwijs, biometrie en kritieke infrastructuur zijn typische risico-gebieden.
• Leg de “intended purpose” vast: wat claimt het systeem te doen, wie gebruikt het, en welke beslissingen beïnvloedt het?
• Check je governance: wie is eigenaar, wie monitort drift, en wie kan overrulen?
• Overweeg input op de consultatie: juist sectorpartijen kunnen voorbeelden aanleveren waar de guidance (te) breed of (te) smal uitpakt.

Voor extra context: we schreven eerder al over de kernvraag “wanneer is iets high-risk?” in EU werkt aan richtlijnen voor “high-risk” AI. En als je AI ook raakt aan infrastructuurkeuzes, zie bijvoorbeeld Nvidia’s kwartaalcijfers en de compute-realiteit (want compliance zonder controle over je deployment is zelden houdbaar).

Conclusie: high-risk wordt een operationele categorie

De belangrijkste boodschap van deze consultatie is dat “high-risk” straks niet alleen een juridisch label is, maar een operationeel regime: processen, logging, tests en verantwoordelijkheden. De draft guidance is daarom een goed moment om je AI-portfolio te ordenen en (waar nodig) je inzet te herontwerpen voordat deadlines en toezicht dichterbij komen.