Een gebruiksverantwoordelijke is, in het woord van de AI-verordening, elke natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die een AI-systeem onder eigen verantwoordelijkheid gebruikt, behalve wanneer het gebruik persoonlijk en niet-beroepsmatig is (artikel 3(4)). Dat zijn de meeste bedrijven: het HR-team dat een screeningtool licentieert, de kredietverstrekker die een scoremodel koopt, het nutsbedrijf dat de besturingssoftware van een leverancier draait. Voor een systeem met een hoog risico zijn hun plichten verzameld in artikel 26 van Verordening (EU) 2024/1689, twaalf leden die Verordening (EU) 2026/1744, de digitale omnibus voor AI, ongewijzigd liet terwijl zij de datum verschoof waarop ze gaan gelden: 2 december 2027 voor systemen met een hoog risico onder bijlage III, 2 augustus 2028 voor de veiligheidscomponenten van producten van bijlage I (artikel 113 zoals gewijzigd). Dit artikel leest de twaalf leden op volgorde, dan de effectbeoordeling van artikel 27, de drie manieren waarop een gebruiksverantwoordelijke in de aanbieder verandert, het recht van de betrokkene op een uitleg, het boeteplafond en de ISO/IEC 42001-registratie achter elk ervan, uit de twee verordeningen op CELLAR op 12 september 2026. Het is geen juridisch advies.
Of u überhaupt gebruiksverantwoordelijke bent
Artikel 26 is van toepassing op gebruiksverantwoordelijken van AI-systemen met een hoog risico, dus de eerste vraag is of het systeem een hoog risico heeft: een veiligheidscomponent van een product van bijlage I dat een conformiteitsbeoordeling door een derde nodig heeft, of een systeem dat bedoeld is voor een van de in bijlage III vermelde toepassingen, tenzij een van de voorwaarden van artikel 6(3) het eruit haalt. De gratis bepaling loopt de vragen door met de lijst van bijlage III woordelijk. Heeft het systeem geen hoog risico, dan is artikel 26 niet van toepassing; artikel 4 over AI-geletterdheid en artikel 50 over transparantie blijven gelden.
De tweede vraag is of u de gebruiksverantwoordelijke bent of de aanbieder bent geworden, wat artikel 25 beantwoordt en een latere paragraaf behandelt. Tot dan gaan we ervan uit dat u een systeem gebruikt dat een aanbieder onder eigen naam in de handel heeft gebracht, en dat de gebruiksaanwijzing van de aanbieder onder artikel 13 erbij zat.
De twaalf leden van artikel 26
26(1), gebruik volgens de aanwijzing. Passende technische en organisatorische maatregelen nemen om te waarborgen dat het systeem wordt gebruikt volgens de bijgevoegde gebruiksaanwijzing. De aanwijzing is het document van de aanbieder onder artikel 13: het beoogde doel, het niveau van nauwkeurigheid en robuustheid, de bekende omstandigheden die tot risico's leiden, de maatregelen voor menselijk toezicht, de verwachte levensduur en het onderhoud. Al het overige in artikel 26 verwijst daarnaar terug.
26(2), menselijk toezicht door bekwame mensen. Het menselijk toezicht toewijzen aan natuurlijke personen met de nodige bekwaamheid, opleiding en bevoegdheid, en de nodige ondersteuning. Dit is het lid dat artikel 4, AI-geletterdheid, voor een gebruiksverantwoordelijke tanden geeft: de mensen die toezicht houden op een systeem met een hoog risico worden genoemd, en wat zij moesten weten is een registratie.
26(3), uw eigen organisatie. De twee plichten hierboven laten andere verplichtingen onder Unie- of nationaal recht onverlet, en de vrijheid van de gebruiksverantwoordelijke om zijn eigen middelen en activiteiten te organiseren voor het uitvoeren van de door de aanbieder aangegeven toezichtmaatregelen. Hoe u het toezicht bemenst, beslist u; dat u het bemenst, niet.
26(4), inputdata. Voor zover u controle heeft over de inputdata, ervoor zorgen dat die relevant en voldoende representatief zijn gelet op het beoogde doel. Een screeningtool die alleen wordt gevoed met de sollicitaties die in een bepaalde inbox belandden, is het probleem van de gebruiksverantwoordelijke, niet van de aanbieder.
26(5), monitoren, en stoppen bij een risico. De werking monitoren op basis van de gebruiksaanwijzing en, waar relevant, de aanbieder informeren onder artikel 72. Heeft u reden om aan te nemen dat gebruik volgens de aanwijzing ertoe kan leiden dat het systeem een risico vormt in de zin van artikel 79(1), informeer dan zonder onnodige vertraging de aanbieder of distributeur en de markttoezichtautoriteit, en schors het gebruik. Heeft u een ernstig incident vastgesteld, informeer dan onmiddellijk eerst de aanbieder, daarna de importeur of distributeur en de markttoezichtautoriteiten; is de aanbieder niet bereikbaar, dan geldt artikel 73 voor u zoals voor de aanbieder. Financiële instellingen onder het financiëledienstenrecht van de Unie voldoen aan de monitoringplicht via hun regels voor interne governance.
26(6), de logs bewaren. De logs die het systeem automatisch genereert, voor zover onder uw controle, bewaren gedurende een periode die past bij het beoogde doel en van ten minste zes maanden, tenzij Unie- of nationaal recht, in het bijzonder het gegevensbeschermingsrecht, anders bepaalt. Financiële instellingen bewaren ze als onderdeel van hun documentatie onder het financiëledienstenrecht.
26(7), eerst de werknemers informeren. Voordat een systeem met een hoog risico op de werkplek in gebruik wordt gesteld of gebruikt, informeert een werkgever de werknemersvertegenwoordigers en de betrokken werknemers dat zij aan het gebruik ervan onderworpen zullen zijn, volgens de Unie- en nationale regels over het informeren van werknemers waar die gelden. Dit is een plicht die vóór het eerste gebruik loopt, niet erna.
26(8), overheidsinstanties registreren. Gebruiksverantwoordelijken die overheidsinstanties of instellingen, organen of instanties van de Unie zijn, voldoen aan de registratieverplichtingen van artikel 49; staat het systeem dat zij willen gebruiken niet in de EU-databank van artikel 71, dan gebruiken zij het niet en informeren zij de aanbieder of distributeur.
26(9), de DPIA. Waar van toepassing, de informatie die de aanbieder onder artikel 13 heeft verstrekt gebruiken om de gegevensbeschermingseffectbeoordeling onder artikel 35 van de AVG of artikel 27 van Richtlijn (EU) 2016/680 uit te voeren. De gebruiksaanwijzing is input voor een document dat de meeste gebruiksverantwoordelijken al schrijven.
26(10), biometrische identificatie op afstand achteraf. Een lid voor rechtshandhaving: een voorafgaande, of binnen 48 uur verkregen, toestemming van een rechterlijke of bindend beslissende bestuurlijke autoriteit voor elk gebruik bij een gerichte zoektocht, geen ongericht gebruik, geen nadelig besluit alleen op de output, een politiedossier voor elk gebruik, en jaarlijkse verslagen aan de markttoezicht- en gegevensbeschermingsautoriteiten.
26(11), de mensen informeren. Gebruiksverantwoordelijken van systemen van bijlage III die besluiten over natuurlijke personen nemen of daarbij helpen, informeren die personen dat zij onderworpen zijn aan het gebruik van het systeem met een hoog risico, onverminderd de transparantieverplichtingen van artikel 50. Voor rechtshandhaving geldt in plaats daarvan artikel 13 van Richtlijn (EU) 2016/680.
26(12), samenwerken. Samenwerken met de bevoegde autoriteiten bij elke actie die zij ten aanzien van het systeem ondernemen om de verordening uit te voeren.
Artikel 27, de grondrechteneffectbeoordeling
Drie soorten gebruiksverantwoordelijken dragen vóór het eerste gebruik van een systeem van bijlage III, gebied 2 (kritieke infrastructuur) uitgezonderd, een verdere plicht: publiekrechtelijke instellingen, particuliere entiteiten die openbare diensten verlenen, en gebruiksverantwoordelijken van de kredietwaardigheids- en kredietscoresystemen van punt 5(b) en de levens- en ziektekostenverzekeringssystemen van punt 5(c). Artikel 27(1) noemt zes elementen waaruit de beoordeling bestaat: een beschrijving van de processen van de gebruiksverantwoordelijke waarin het systeem overeenkomstig zijn beoogde doel zal worden gebruikt; de periode en frequentie van gebruik; de categorieën natuurlijke personen en groepen die waarschijnlijk worden getroffen; de specifieke risico's op schade voor hen, met inachtneming van de informatie van de aanbieder onder artikel 13; een beschrijving van de uitvoering van de maatregelen voor menselijk toezicht; en de maatregelen die worden genomen als de risico's zich voordoen, met inbegrip van interne governance en klachtenmechanismen.
De beoordeling geldt voor het eerste gebruik, mag in soortgelijke gevallen steunen op een eerdere beoordeling, en wordt bijgewerkt wanneer een element verandert (artikel 27(2)). De resultaten worden aan de markttoezichtautoriteit gemeld op het sjabloon van het AI-bureau (artikel 27(3) en (5)). Artikel 27(4), zoals gewijzigd op 27 juli 2026, laat de gebruiksverantwoordelijke verwijzen naar de relevante delen van zijn gegevensbeschermingseffectbeoordeling, of er delen van opnemen, in plaats van de overlap twee keer te schrijven; de oorspronkelijke tekst zei alleen dat de twee beoordelingen elkaar aanvullen.
Wanneer een gebruiksverantwoordelijke de aanbieder wordt
Artikel 25(1) noemt drie omstandigheden waarin een distributeur, importeur, gebruiksverantwoordelijke of andere derde als de aanbieder van een systeem met een hoog risico wordt beschouwd, met de verplichtingen van artikel 16 die daarbij horen: hij zet zijn naam of merk op een systeem met een hoog risico dat al in de handel is, onverminderd contractuele afspraken die de verplichtingen anders verdelen; hij brengt een substantiële wijziging aan in een systeem met een hoog risico zodat het een hoog risico houdt; of hij wijzigt het beoogde doel van een systeem dat geen hoog risico had, een AI-systeem voor algemene doeleinden inbegrepen, zodat het onder artikel 6 een hoog risico krijgt. Het finetunen van een gelicentieerd model voor een toepassing van bijlage III is het derde geval. Doet het zich voor, dan is de oorspronkelijke aanbieder niet langer de aanbieder van dat systeem (artikel 25(2)) en moet hij, zoals gewijzigd, met de nieuwe samenwerken: technische documentatie die volstaat om de naleving van artikel 16 te beoordelen, bekende beperkingen en faalwijzen, en gerichte technische toegang voor testen en validatie, tenzij de oorspronkelijke aanbieder duidelijk heeft bepaald dat zijn systeem niet tot een systeem met een hoog risico mag worden omgevormd.
Beneden die lijn vraagt artikel 25(4), zoals gewijzigd, de aanbieder van een systeem met een hoog risico en elke derde die daarin gebruikte componenten, tools, diensten of modellen levert, om in een schriftelijke overeenkomst de informatie, capaciteiten, technische toegang en bijstand vast te leggen die de aanbieder nodig heeft om te voldoen. Een gebruiksverantwoordelijke die zijn aanbieder data of infrastructuur levert, is zo'n derde; de overeenkomst is waar dat wordt vastgelegd. De koppeling van de AI-verordening behandelt de kant van de aanbieder, artikel 17 en de artikelen 9 tot en met 15.
Artikel 86, het recht op een uitleg
Elke betrokkene die onderworpen is aan een besluit dat de gebruiksverantwoordelijke neemt op basis van de output van een systeem van bijlage III (gebied 2 uitgezonderd) en dat rechtsgevolgen heeft of hem op vergelijkbare wijze aanmerkelijk treft, op een manier die hij als nadelig voor zijn gezondheid, veiligheid of grondrechten beschouwt, heeft het recht om van de gebruiksverantwoordelijke een duidelijke en zinvolle uitleg te krijgen over de rol van het systeem in de besluitvormingsprocedure en de belangrijkste elementen van het genomen besluit (artikel 86(1)). Het geldt alleen voor zover het Unierecht dat recht niet al toekent (artikel 86(3)), en het is gericht aan de gebruiksverantwoordelijke, niet aan de aanbieder: de uitleg moet te maken zijn uit wat de gebruiksverantwoordelijke heeft bewaard.
Het plafond
Niet-naleving van de verplichtingen van gebruiksverantwoordelijken onder artikel 26 staat in de lijst van artikel 99(4): administratieve geldboeten tot 15 000 000 euro of, voor een onderneming, 3 % van de totale wereldwijde jaaromzet van het voorgaande boekjaar, waarbij het hoogste bedrag geldt, en voor kmo's, en sinds de wijziging voor kleine midcaps, het laagste (artikel 99(6) en (6a)). Artikel 27 en artikel 86 staan niet in die lijst; onder artikel 99(1), zoals gewijzigd, stellen de lidstaten de sancties vast voor elke andere inbreuk.
De registratie, lid voor lid
Elk lid van artikel 26 eindigt in iets dat een gebruiksverantwoordelijke bewaart, en ISO/IEC 42001 is een managementsysteemnorm waarvan bijlage A de beheersmaatregel die het bewaart al noemt. De tabel is de lezing van StandardOS, te controleren tegen de twee teksten; de verordening noemt geen norm en kent gebruiksverantwoordelijken geen vermoeden van conformiteit toe op grond van een ISO-certificaat.
| Artikel 26 | Wat wordt bewaard | ISO 42001 |
|---|---|---|
| 26(1) | De gebruiksaanwijzing, en de maatregelen om die te volgen | A.9.4, A.9.2 |
| 26(2) | Wie toezicht houdt op elk systeem, met bekwaamheid, opleiding en bevoegdheid | 7.2, A.4.6, A.3.2 |
| 26(4) | Welke inputdata onder uw controle vallen en hoe hun relevantie is gecontroleerd | A.7.4, A.7.3 |
| 26(5) | Het monitoringverslag, de risicomeldingen, het schorsingsbesluit, de incidentmeldingen | A.6.2.6, A.8.4, A.8.3 |
| 26(6) | De logs, met een bewaartermijn per systeem | A.6.2.8 |
| 26(7) | De informatie aan werknemersvertegenwoordigers en werknemers, gedateerd vóór het eerste gebruik | A.8.5, A.2.2 |
| 26(9) | De DPIA, met de informatie van artikel 13 die zij gebruikte | A.5.2, A.5.3 |
| 26(11) | De kennisgeving aan natuurlijke personen die aan besluiten onderworpen zijn | A.8.2, A.8.4 |
| 27 | De grondrechteneffectbeoordeling, zes elementen, en de melding ervan | A.5.2 tot en met A.5.5 |
| 25(1), 25(4) | Het register van systemen met de aanbieder genoemd, en de schriftelijke overeenkomst | A.10.2, A.10.3 |
| 86 | Waarop het besluit steunde, per besluit te produceren | A.6.2.8, A.8.2 |
Vier leden staan niet in de tabel: 26(3) bewaart uw organisatievrijheid; 26(8), de registratie van overheidsinstanties onder artikel 49, is zijn eigen registratie in de EU-databank; 26(10) is een rechtshandhavingsdossier; en 26(12) is samenwerking wanneer een autoriteit optreedt.
Wat te doen vóór de datum
Schrijf het register van gebruikte AI-systemen met de aanbieder en het beoogde doel van elk, en markeer welke een hoog risico hebben met de bepaling die zegt waarom. Berg voor elk daarvan de gebruiksaanwijzing van de aanbieder op, noem de toezichthouders en waarin zij zijn opgeleid, stel de bewaartermijn van de logs vast, en zet de informatie aan werknemers en de kennisgeving aan natuurlijke personen vóór het eerste gebruik in de agenda. Bent u een overheidsinstantie, een verlener van openbare diensten of een gebruiksverantwoordelijke in krediet of verzekeringen, stel dan nu de beoordeling van artikel 27 op aan de hand van haar zes elementen en stem haar af op de DPIA. Lees daarna artikel 25 tegen elke wijziging die u aan een gelicentieerd systeem heeft aangebracht: de dag waarop een gefinetuned model een hoog risico krijgt, is de dag waarop u artikel 16 verschuldigd bent, niet artikel 26.