AI-register Opstellen: de Kolommen die je Nodig Hebt
Een AI-register opstellen onder de AI Act: de negen kolommen die je nodig hebt, of het verplicht is, en de verborgen AI die vaak ontbreekt.
Gepubliceerd door NordX Consulting — AI bureau voor enterprise bedrijven in Nederland.
Bijna elk artikel over de AI Act eindigt met hetzelfde advies: begin met een AI-register. Zelden staat erbij wat er dan precies in moet. Dit is die invulling — welke kolommen je nodig hebt, waar de verplichting vandaan komt, en hoe je het bijhoudt zonder dat het een papieren tijger wordt.
Wat is een AI-register?
Een AI-register is één overzicht van alle AI-systemen die je organisatie gebruikt of aanbiedt, met per systeem het doel, de leverancier, de betrokken data, de risicoclassificatie en wie er verantwoordelijk voor is. Het is het document waar elk ander compliance-gesprek op leunt: zonder register weet je niet waarop de regels van toepassing zijn.
Het is geen wettelijk voorgeschreven formulier. Het is de praktische manier om aantoonbaar te maken dat je weet wat je in huis hebt.
Is een AI-register verplicht?
Genuanceerd: de EU AI Act — in het Nederlands de AI-verordening — schrijft nergens letterlijk "houd een AI-register bij" voor gewone bedrijven. Wat de wet wél doet:
- Aanbieders van hoog-risico AI moeten technische documentatie bijhouden (Artikel 11 en Bijlage IV) en hun systemen laten registreren in de EU-databank (Artikel 49 en 71).
- Gebruiksverantwoordelijken van hoog-risico systemen moeten logs bewaren en menselijk toezicht organiseren (Artikel 26).
- Elk bedrijf dat AI gebruikt valt onder de AI-geletterdheidsplicht (Artikel 4) en, bij AI-interactie met mensen, onder de transparantieplicht (Artikel 50).
Voor die laatste twee moet je kunnen laten zien wélke systemen je gebruikt en wie ermee werkt. Een register is niet de enige manier om dat te doen, maar het is verreweg de eenvoudigste. Voor hoog-risico aanbieders is documentatie hoe dan ook verplicht — dan is een register geen keuze meer, alleen nog een vorm.
Welke kolommen je register nodig heeft
Houd het smal genoeg om te onderhouden en breed genoeg om een vraag van een toezichthouder te beantwoorden.
| Kolom | Waarom die erin staat |
| Naam van het systeem | Herkenbaar voor collega's, niet alleen de productnaam van de leverancier |
| Doel en toepassing | Waar wordt het feitelijk voor gebruikt — niet waar het voor bedoeld was |
| Leverancier / eigen bouw | Bepaalt of je aanbieder of gebruiksverantwoordelijke bent |
| Rol onder de AI Act | Aanbieder of gebruiksverantwoordelijke; dit stuurt alle verplichtingen aan |
| Risicoclassificatie | Verboden, hoog-risico, transparantieplicht (Art. 50), of geen van beide |
| Verwerkte gegevens | Welke categorieën, inclusief persoonsgegevens — de koppeling met de AVG |
| Eindverantwoordelijke | Eén naam, geen afdeling |
| Menselijk toezicht | Wie controleert de uitkomsten, en op welk moment |
| Datum laatste beoordeling | Zonder datum weet je niet of het register nog klopt |
Twee kolommen worden het vaakst vergeten: verwerkte gegevens en datum laatste beoordeling. De eerste is waar je AI-register en je AVG-verwerkingsregister elkaar raken. De tweede is wat het verschil maakt tussen een levend document en een momentopname uit 2025.
De AI die je vergeet op te nemen
De grootste fout is alleen de voor de hand liggende tools opschrijven. AI zit inmiddels verstopt in software die niemand als "AI" aanduidt:
- Bestaande pakketten — AI-functies in je CRM, boekhoudpakket, HR-systeem of klantenservicetool. Die zijn vaak zonder aankondiging toegevoegd.
- Schaduw-AI — tools die medewerkers zelf zijn gaan gebruiken zonder inkooptraject. Dit is in de praktijk de grootste categorie.
- AI van leveranciers — partijen die namens jou werk doen met AI. Artikel 4 noemt expliciet personen die "namens" jou AI-systemen bedienen.
- Ingebedde functies — automatische samenvattingen, transcripties, spamfilters, aanbevelingen, prioritering van tickets.
Een korte rondvraag per team levert doorgaans meer op dan een inventarisatie van de inkoopadministratie.
Hoe je het opzet in een middag
1. Vraag per team welke tools ze gebruiken. Vraag naar taken, niet naar "AI" — "wat laat je software voor je schrijven, samenvatten, sorteren of voorspellen?" levert meer op dan "gebruik je AI?".
2. Zet alles in één tabel. Een spreadsheet is prima. De vorm doet er minder toe dan het bestaan.
3. Classificeer per systeem. Voor de meeste bedrijven landt vrijwel alles op "transparantieplicht" of "geen van beide". Hoog-risico gaat over specifieke toepassingen zoals werving, kredietbeoordeling of kritieke infrastructuur.
4. Wijs per systeem één eigenaar aan. Gedeelde verantwoordelijkheid is geen verantwoordelijkheid.
5. Zet een terugkerende beoordeling in de agenda. Eén keer per kwartaal volstaat voor de meeste organisaties, mits het echt gebeurt.
6. Koppel het aan je AVG-register. Waar AI persoonsgegevens verwerkt, horen de twee registers naar elkaar te verwijzen. Zie AVG en AI: privacy bij AI-automatisering voor hoe die twee zich verhouden.
Waar het misgaat
Het register is een eenmalig project. Iemand vult het in, en niemand kijkt er nog naar. Zonder eigenaar en zonder herbeoordelingsdatum veroudert het binnen een kwartaal.
Alleen ingekochte software staat erin. Schaduw-AI is juist de categorie met het meeste risico, omdat er geen leveranciersafspraken onder liggen.
De classificatie wordt te zwaar aangezet. Niet elk AI-gebruik is hoog-risico. Alles als hoog-risico bestempelen maakt het register onbruikbaar en het werk onnodig groot.
Het staat los van de rest. Een AI-register dat niet verwijst naar je AVG-register, je leveranciersafspraken en je interne AI-huisregels dekt maar een deel van het verhaal.
Kort samengevat
Een AI-register is geen formulier dat je inlevert, maar het overzicht waarmee je elke andere AI Act-vraag kunt beantwoorden. Voor de meeste bedrijven is het een tabel met negen kolommen die in een middag te vullen is, mits je ook de AI meeneemt die niet zo heet. De organisaties die dit nu opzetten, hoeven het straks niet onder tijdsdruk te reconstrueren.
Voor het volledige overzicht van wat er wanneer geldt, zie onze AI Act compliance-gids voor Nederlandse bedrijven. Voor de plicht die het vaakst over het hoofd wordt gezien, zie AI-geletterdheid: wat Artikel 4 van je vraagt.
Bronnen
Veelgestelde vragen
Is een AI-register wettelijk verplicht?
Niet als apart voorgeschreven formulier voor gewone bedrijven. Aanbieders van hoog-risico AI moeten wel technische documentatie bijhouden (Artikel 11) en registreren in de EU-databank (Artikel 49). Voor de AI-geletterdheidsplicht en de transparantieplicht moet je kunnen laten zien welke systemen je gebruikt — een register is daarvoor de eenvoudigste manier.
Wat moet er minimaal in een AI-register staan?
Per systeem: de naam, het feitelijke doel, de leverancier of eigen bouw, je rol onder de AI Act (aanbieder of gebruiksverantwoordelijke), de risicoclassificatie, welke gegevens worden verwerkt, één eindverantwoordelijke, hoe menselijk toezicht is geregeld, en de datum van de laatste beoordeling.
Hoort schaduw-AI ook in het register?
Ja, en dat is vaak de belangrijkste categorie. Tools die medewerkers zelf zijn gaan gebruiken vallen buiten elk inkooptraject en dus buiten elke leveranciersafspraak. Een korte rondvraag per team levert daar meer op dan de inkoopadministratie.
Hoe verhoudt een AI-register zich tot het AVG-verwerkingsregister?
Ze overlappen waar AI persoonsgegevens verwerkt, maar vervangen elkaar niet. Het AVG-register gaat over verwerkingen van persoonsgegevens; het AI-register gaat over AI-systemen en hun risicoclassificatie. Laat ze naar elkaar verwijzen.
Gerelateerde artikelen
Meer weten? Bekijk onze andere artikelen op het NordX blog of neem contact op via nordx.ai.