Conformiteitsbeoordeling en CE-markering (AI Act)

Wat zijn conformiteitsbeoordeling en CE-markering onder de AI Act?

Een conformiteitsbeoordeling is de controle die een fabrikant zelf op zijn product uitvoert, tegenover de regels die voor dat product gelden, voor het in de EU verkocht mag worden. De CE-markering is het zichtbare resultaat: twee letters die zeggen dat de fabrikant die controle gedaan heeft en de verantwoordelijkheid voor het antwoord draagt. Machines, speelgoed, liften en medische hulpmiddelen werken al decennia zo, en de AI Act zet hoog-risico AI in datzelfde kader in plaats van er een nieuw voor te bedenken.

De vorm ligt altijd vast. De wet zet de eisen neer, normalisatie-instellingen schrijven de technische invulling, de fabrikant toetst zijn product daaraan, stelt een verklaring op, plaatst de markering en registreert het systeem in een Europese databank. Een toezichthouder kan daarna het dossier opvragen.

Daar volgen twee dingen uit, en die wegen zwaarder dan de details. De markering is geen vergunning die een overheid uitreikt: in de meeste gevallen kijkt er niemand van buiten het bedrijf naar voor het product de deur uit gaat. En onder de AI Act geldt ze enkel voor hoog-risico systemen. Een badge "AI Act certified" op een chatbot of een voorspellingstool is dus marketing, geen compliance.

De twee wegen, en welke voor jou geldt

Artikel 43 verdeelt elk hoog-risico systeem over drie situaties.

Interne controle, bijlage VI. Artikel 43(2) zet de punten 2 tot 8 van bijlage III op deze weg, "zonder tussenkomst van een aangemelde instantie". Daar zit alles in van kredietscores en verzekeringsprijzen tot werving, personeelsopvolging en onderwijs. Elke toepassing die een gewoon bedrijf raakt, zit hier, en de aanbieder beoordeelt zichzelf.

Een aangemelde instantie, bijlage VII. Alleen punt 1 van bijlage III, biometrie, komt op deze weg terecht. Artikel 43(1) laat een aanbieder die geharmoniseerde normen toepaste kiezen tussen de twee bijlagen, en maakt bijlage VII verplicht wanneer die normen niet bestaan of niet volledig toegepast zijn. Een externe instantie auditeert dan het kwaliteitsbeheersysteem en onderzoekt de technische documentatie, met volledige toegang tot de trainings-, validatie- en testdatasets. Artikel 44(2) beperkt zo'n certificaat tot vier jaar voor systemen uit bijlage III.

AI in een gereguleerd product, bijlage I. Artikel 43(3) stuurt die naar de beoordeling die hun eigen productwetgeving al oplegt. Een machinebouwer doet geen aparte AI-beoordeling: de AI-eisen worden deel van de machinebeoordeling, en zit er in die wetgeving al een aangemelde instantie, dan kijkt die ze mee na.

Wat er moet klaarstaan voor die beoordeling iets betekent

Bijlage VI bestaat uit drie korte controles. De aanbieder gaat na of zijn kwaliteitsbeheersysteem voldoet aan artikel 17, bekijkt de technische documentatie om te zien of het systeem beantwoordt aan de eisen uit hoofdstuk III, afdeling 2, en controleert of het ontwerpproces en de monitoring nadat het systeem op de markt is overeenkomen met wat in die documentatie staat. Alle drie verwijzen naar werk dat eerder gedaan is. De beoordeling controleert dat werk. Ze doet het niet in jouw plaats.

Die eisen zijn de artikelen 9 tot 15: een risicobeheersysteem dat over de hele levensduur loopt in plaats van een document dat je een keer schrijft, datagovernance over waar de trainings- en testdata vandaan komen en waar de gaten zitten, technische documentatie in de vorm van bijlage IV, automatische logging, een gebruiksaanwijzing, menselijk toezicht dat ingebouwd zit in plaats van dat de koper het er achteraf bij bedenkt, en accuraatheid, robuustheid en cyberbeveiliging. Artikel 11(1) laat kmo's die documentatie in vereenvoudigde vorm aanleveren, en een aangemelde instantie moet die vorm aanvaarden.

Artikel 17 legt daarbovenop het kwaliteitsbeheersysteem zelf op, dertien onderdelen die je moet documenteren, van ontwerpcontrole over databeheer tot het melden van ernstige incidenten. De tweede paragraaf maakt de uitvoering evenredig aan de grootte van de organisatie, en zegt er meteen bij dat de striktheid en het beschermingsniveau hetzelfde blijven. Kleiner bedrijf, kortere documenten. Je beantwoordt nog altijd elke vraag.

Wat er aan het eind uitkomt, en wat je terug naar start stuurt

1. De EU-conformiteitsverklaring. Artikel 47 vraagt er een per systeem, machineleesbaar, op papier of elektronisch ondertekend, en tien jaar lang beschikbaar voor de nationale autoriteiten. Bijlage V legt de inhoud vast: naam en versie van het systeem, naam en adres van de aanbieder, de vermelding dat de verklaring onder diens eigen verantwoordelijkheid uitgaat, welke geharmoniseerde normen toegepast zijn, en naam, identificatienummer en certificaat van de aangemelde instantie als er een aan te pas kwam.

2. De CE-markering. Artikel 48 vraagt ze zichtbaar, leesbaar en onuitwisbaar, of op de verpakking wanneer de aard van het systeem dat onmogelijk maakt. Systemen die digitaal geleverd worden mogen een digitale CE-markering gebruiken, op voorwaarde dat je ze bereikt via de interface waarin het systeem draait of via een machineleesbare code. Kwam er een aangemelde instantie aan te pas, dan volgt haar identificatienummer op de markering.

3. De registratie. Volgens artikel 49 registreert de aanbieder zichzelf en het systeem in de Europese databank voor hij het op de markt brengt. Wie op basis van artikel 6(3) besloot dat zijn systeem uit bijlage III geen hoog risico inhoudt, registreert ook dat besluit. Artikel 71 maakt die informatie publiek en machineleesbaar, en net dat deel kan een koper gebruiken.

Daarna kan het je terugsturen naar start. Artikel 43(4) zegt dat een substantiële wijziging een nieuwe beoordeling vraagt. Een verandering die de aanbieder vooraf ingecalculeerd heeft, telt niet mee: een systeem dat blijft bijleren nadat het op de markt kwam, blijft binnen zijn oorspronkelijke beoordeling zolang die veranderingen op voorhand vastgelegd zijn en in de technische documentatie staan.

Hier bijt artikel 25 bij een koper. Wijzig je een hoog-risico systeem substantieel, dan word je er de aanbieder van. Die beoordeling moet gebeuren voor je het systeem op de markt brengt, dus op de dag dat je doorhebt dat je over de lijn ging, is de juiste volgorde al gebroken.

De geharmoniseerde normen zijn nog niet af

Artikel 40 geeft een vermoeden van conformiteit aan een systeem dat geharmoniseerde normen volgt waarvan de referenties in het Publicatieblad staan. Zo toont een aanbieder normaal aan dat zijn risicobeheer deugt: verwijs naar de norm, laat zien dat je ze toepaste. Zonder norm schrijf je zelf op wat deugdelijk betekent, en verdedig je dat bij een toezichthouder.

De Commissie vroeg CEN en CENELEC om normen in tien domeinen. De eerste kwam er in juli 2026: EN 18286:2026, "Artificial intelligence. Quality management system for EU AI Act regulatory purposes", geschreven tegenover artikel 17. De rest zat nog in ontwerp, onder meer prEN 18228 over risicobeheer en prEN 18284 over datakwaliteit en datagovernance.

Gepubliceerd is nog niet hetzelfde als aangekomen, en net dat verschil bepaalt of het papierwerk van een leverancier iets waard is. Een norm draagt het vermoeden pas zodra de Commissie ze beoordeeld heeft en de referentie in het Publicatieblad staat. Op de eigen normalisatiepagina van de Commissie, laatst bijgewerkt op 3 augustus 2026, stond nog geen enkele AI Act-norm vermeld. Ook aangemelde instanties zijn dun gezaaid: in de eerste helft van 2026 verscheen er nog geen enkele op de lijst van de Commissie voor de AI Act.

Dat gat is de officiële reden waarom de data opschoven. De digitale omnibus AI, verordening (EU) 2026/1744, van kracht sinds 27 juli 2026, schoof de hoog-risico verplichtingen voor zelfstandige systemen uit bijlage III van 2 augustus 2026 naar 2 december 2027, en voor AI in producten uit bijlage I naar 2 augustus 2028. Aan de artikelen 43, 47, 48 en 49 is niets herschreven. Alleen de dag waarop ze bijten is verzet.

Als je koopt in plaats van bouwt: de twee documenten die je vraagt

Bijna geen enkele Vlaamse kmo is aanbieder van een hoog-risico AI-systeem. Het nut van begrijpen hoe die beoordeling werkt, zit erin dat je kan lezen wat een leverancier je geeft en kan inschatten wat het waard is.

Neem een producent van zestig mensen die een tool koopt om sollicitaties te screenen. Werving staat in punt 4 van bijlage III, dus die tool is hoog-risico en de softwareleverancier is de aanbieder. Twee documenten horen in het aankoopdossier.

De EU-conformiteitsverklaring. Een pagina of twee, in de vorm van bijlage V. Of ze iets waard is, lees je in punt 6: welke geharmoniseerde normen toegepast zijn. Omdat er nog geen enkele AI Act-norm in het Publicatieblad staat, benoemt een eerlijke verklaring in 2026 de interne methode die in de plaats kwam. Een verklaring die wel een gepubliceerde geharmoniseerde norm voor risicobeheer opgeeft, beschrijft iets dat niet bestaat, en een die een aangemelde instantie noemt zonder identificatienummer verdient een tweede vraag.

De gebruiksaanwijzing. Artikel 13(3) legt de inhoud vast: accuraatheidscijfers en resultaten van robuustheidstests, voorzienbare risico's, hoe het systeem presteert voor specifieke groepen mensen, welke inputdata het verwacht, welke toezichtmaatregelen erin zitten, en hoe je de logs verzamelt en leest. Dat is geen marketingmateriaal. Het is net op basis daarvan dat artikel 26 jou verantwoordelijk maakt voor correct gebruik.

Een kanttekening verandert de toon van dat gesprek. Tot 2 december 2027 is de aanbieder van een zelfstandig hoog-risico systeem tot niets van dit alles verplicht. Een leverancier die vandaag al een verklaring heeft, loopt voor op de deadline. Wat je nu redelijk kan vragen, is wanneer ze er een verwachten, en om schriftelijk te horen welke toepassingen de beoordeling zal dekken.

Conformiteitsbeoordeling tegenover een effectbeoordeling op de grondrechten

Die twee worden in één adem genoemd en ze horen bij verschillende partijen op verschillende momenten.

De conformiteitsbeoordeling is die van de aanbieder, en ze gebeurt voor het systeem op de markt komt. Ze vraagt of het product overal in de Unie verkocht mag worden, en dat gebeurt één keer, voor alle kopers samen. Het resultaat kijkt naar buiten: een verklaring, een markering, een publieke registratie.

De FRIA is die van de gebruiksverantwoordelijke, en maar een deel van hen moet er een maken volgens artikel 27. Ze gebeurt voor het eerste gebruik, binnen één organisatie, en vraagt wat dit systeem hier zal aanrichten bij de specifieke mensen over wie het mee beslist. Het resultaat gaat naar de markttoezichtautoriteit, niet naar de markt.

De scheidslijn is dus een leverancierscontrole tegenover een gebruikscontrole. Een systeem kan een geldige CE-markering dragen en toch het verkeerde systeem zijn voor jouw proces, jouw data en de mensen die je bedient. Niets in de beoordeling van de aanbieder zegt wie bij jou op kantoor het ding op een dinsdagnamiddag overrulet.