Geschatte leestijd: 6 minuten
Organisaties moeten voor de AI Act in kaart brengen welke AI ze gebruiken, welke risico’s dat oplevert en welke beheersmaatregelen zijn genomen. Dit moet je structureel borgen en periodiek herbeoordelen (PDCA). Het platform FullyInControl helpt je om dit proces centraal vast te leggen, te beheren en aantoonbaar te maken.
Franklin Bolder – consultant bij Fully In Control – laat aan de hand van een stappenplan zien hoe je inventarisatie, borging en herbeoordeling praktisch en efficiënt aanpakt én hoe je daarbij het platform inzet.
Een praktisch stappenplan
Het stappenplan bestaat uit vijf stappen:
- Bepaal per informatiesysteem. Is dit een AI-systeem of niet?
- Classificeer het risiconiveau: minimaal/beperkt, hoog of onaanvaardbaar (stop).
- Hoog risico? Voer een FRIA uit (Fundamental Rights Impact Assessment) of een vorm zoals een IAMA (Impact Assessment Mensenrechten en Algoritmes).
- Leg algoritmes vast (ook bij laag/beperkt risico) en houd documentatie bij.
- Borg cyclisch met PDCA en governance (eigenaar, akkoord, herbeoordeling en change management).
Hieronder zie je de uitwerking per stap.
Stap 1: start bij je informatiesystemen – AI ja/nee
Check per informatiesysteem – er stroomt data doorheen en speelt een rol in verwerking of besluitvorming – of het AI in zich heeft. Als het antwoord ‘ja’ is, komt stap 2 in beeld.
Hoe FullyInControl dit ondersteunt
In FullyInControl werk je vanuit informatiesystemen: je voegt een systeem toe, wijst een eigenaar toe en gebruikt een beoordelingsformulier.
Je kunt AI herkennen met behulp van praktische checkvragen. Simpel en herhaalbaar werkt het best. Gebruik bijvoorbeeld vragen als:
- Neemt het systeem (deels) autonoom beslissingen?
- Hoeveel menselijke tussenkomst zit er nog tussen input en output?
- Wat gebeurt er “onder de motorkap” (welke algoritmes/modellen)?
Tip: dit onderzoek doe je niet altijd alleen intern. Je hebt soms informatie van leveranciers nodig om te begrijpen wat er precies gebeurt in het systeem.
Stap 2: risicoclassificatie – van “oké” tot “stop”
Als je hebt vastgesteld dat er AI in zit, volgt de vraag: welk risiconiveau heeft dit AI-systeem volgens de AI Act? De hoofdlogica is:
- Onaanvaardbaar → stoppen (niet gebruiken)
- Laag/beperkt → weinig vervolgacties, vaak wel transparantie-eisen
- Hoog risico → vereist extra verplichtingen en aantoonbaarheid
Hoe FullyInControl dit ondersteunt
In FullyInControl leg je de risicoclassificatie vast bij het informatiesysteem. Het platform helpt om je beoordeling consistent, aantoonbaar en organisatiebreed herhaalbaar te maken. Je kunt dit uitbreiden met extra begeleidende vragen om de onderbouwing te versterken.
Stap 3: hoog risico? Dan volgt FRIA als vaste vervolgstap
Als de risicoclassificatie hoog is, moet je een FRIA (Fundamental Rights Impact Assessment) uitvoeren. Daarmee identificeer, beoordeel en beperk je vooraf welke risico’s de informatiesystemen kunnen opleveren. En zorg je ervoor – met de juiste mitigerende maatregelen – dat het gebruik van AI-systemen in lijn is met de waarden en grondrechten die binnen de EU wettelijk zijn beschermd.
FRIA versus DPIA: aanvullend, niet hetzelfde
- DPIA: privacy en persoonsgegevens (AVG)
- FRIA: grondrechten (AI Act) bredere impact op fundamentele rechten door het AI-systeem
In de praktijk vullen ze elkaar aan: op procesniveau een DPIA (gegevensverwerking) en op systeemniveau een FRIA voor specifieke AI-systemen binnen dat proces.
Hoe FullyInControl dit ondersteunt
Je kunt het proces in FullyInControl zo inrichten dat bij een AI-systeem met een hoog risico automatisch een FRIA als assessment/vragenlijst wordt gekoppeld. Daarmee wordt het geen losse actie, maar onderdeel van je workflow en dossieropbouw. Bij processen kan een verwerking worden vastgelegd, waarbij een pre-DPIA checklist wordt gehanteerd. Afhankelijk van het resultaat wordt er dan wel/niet een DPIA gekoppeld aan de verwerking.
Vanuit de FRIA of IAMA worden er risico’s in kaart gebracht. Deze risico’s worden direct gekoppeld aan deze FRIA (en daarmee indirect aan het AI-systeem). Hiermee krijg je een overzicht van alle risico’s vanuit AI-systemen. Als een risico al eerder is benoemd vanuit een ander AI-systeem, kun je hier naar refereren/linken vanuit een andere FRIA. Oftewel terugkerende risico’s hoeven slechts eenmaal opgevoerd en beheerst te worden.
Bij een risico voer je een risicoanalyse uit op bijvoorbeeld kans en impact en bepaal je of je dit risico accepteert, overdraagt of mitigeert. In dit laatste geval koppel je hier maatregelen aan om dat te realiseren (en het netto risico te bepalen).
Stap 4: algoritmes vastleggen – ook bij laag risico
Algoritmeregistratie is niet alleen nuttig bij hoog risico. Ook bij laag of beperkt risico wil je kunnen aantonen welke algoritmes je gebruikt, waar en waarvoor. Dat helpt bij transparantie, interne controle en vragen van toezichthouders.
Hoe FullyInControl dit ondersteunt
FullyInControl biedt een module AI-register (algoritmeregister). Daarmee kun je:
- algoritmes registreren en koppelen aan één of meerdere informatiesystemen.
- per algoritme metadata vastleggen, zoals product, leverancier en evaluatie-afspraken.
Dit helpt ook bij wijzigingen. Als een leverancier iets aanpast, kun je snel herleiden welke systemen mogelijk opnieuw beoordeeld moeten worden.
Stap 5: borging met governance en PDCA
Het echte verschil zit in herhaalbaarheid. AI verandert, processen veranderen en wetgeving ontwikkelt door. Richt het daarom in als PDCA:
- Plan/Do: beoordelen en vastleggen.
- Check: periodiek herbeoordelen (of bij grote wijzigingen).
- Act: bijstellen van maatregelen, classificatie en documentatie.
Governance hoort daarbij. Beslissingen moeten navolgbaar zijn. Denk aan: wie heeft beoordeeld? En: wie heeft akkoord gegeven?
Hoe FullyInControl dit ondersteunt
- Owner-based workflow: je wijst een eigenaar toe die de beoordeling uitvoert.
- Two-step akkoord: voeg een tweede stap toe, bijvoorbeeld akkoord door FG/privacy officer.
- Het aangeven van vervaldata met notificaties naar verantwoordelijken.
- Herbeoordeling: werk met beoordeeldatum/vervaldatum en reminders voor periodieke toetsen, plus herbeoordeling bij changes.
Wat je hiermee bereikt (en waarom dit ‘audit-ready’ is)
Als je dit in samenhang inricht, kun je aantoonbaar laten zien dat je:
- een actueel overzicht hebt van AI in je informatiesystemen.
- per systeem het risiconiveau hebt vastgelegd en beslissingen kunt uitleggen.
- bij hoog risico een FRIA hebt uitgevoerd en risico’s/maatregelen beheerst.
- algoritmes centraal registreert en kunt herleiden waar ze gebruikt worden.
- periodiek en bij changes controleert of de situatie is veranderd (PDCA).
Dat is precies het type bewijsvoering waar governance, interne audits en toezichthouders om vragen.
Aan de slag met FullyInControl
Wil je dit stappenplan vertalen naar jullie praktijk (met jullie typen systemen, rollen en het ritme van herbeoordeling)? Dan kun je dit in FullyInControl inrichten met AI-checks per informatiesysteem, risicoclassificatie, FRIA-workflow en een AI-register, zodat je het proces herhaalbaar en aantoonbaar borgt.