Bijlage III: wanneer uw SaaS-functie eigenlijk hoog-risico is onder de EU AI-verordening

# Bijlage III: wanneer uw SaaS-functie eigenlijk hoog-risico is onder de EU AI-verordening

De duurste fout die ik SaaS-teams zie maken, is een hoog-risicofunctie als "beperkt risico" bestempelen om een conformiteitsbeoordeling te vermijden. De op een na duurste fout is het omgekeerde: alles als hoog-risico aanmerken omdat de regel intimiderend klinkt, en uzelf begraven in papierwerk dat u helemaal niet nodig heeft.

Bijlage III van de EU AI-verordening somt acht hoog-risicogebieden op. Als uw AI-functie in een van die gebieden valt, bent u onderworpen aan een andere en zwaardere reeks verplichtingen dan de transparantieverplichtingen uit Artikel 50. Valt uw functie in geen enkel gebied, dan is het waarschijnlijk beperkt risico of minimaal risico, en is de nalevingslast veel lichter.

Dit artikel beschrijft de beslisboom die het Disclos-team bij elke audit gebruikt, aangevuld met acht voorbeelden uit echte SaaS-audits.

De acht gebieden van Bijlage III, in begrijpelijke taal

1. Biometrische identificatie en categorisering. Gezichtsherkenning, stemherkenning voor identificatie, looppatroonherkenning. Niet biometrische verificatie (een-op-eenvergelijking zoals vingerafdrukontgrendeling).
2. Kritieke infrastructuur. Water, gas, elektriciteit, verkeersbeheer. Grotendeels buiten het bereik van SaaS.
3. Onderwijs en beroepsopleiding. Toelating, beoordeling, toezicht tijdens examens, voorspelling van studieresultaten.
4. Werkgelegenheid en personeelsbeheer. CV-screening, prestatiebeoordeling, taakverdeling, ontslagbeslissingen, monitoring.
5. Toegang tot essentiële publieke en private diensten. Kredietwaardigheidsscoring, recht op publieke uitkeringen, dispatching van hulpdiensten, prijsstelling of dekkingsbeslissingen bij ziekte- en levensverzekering.
6. Rechtshandhaving. Risicobeoordeling van personen, polygraafachtige systemen, beoordeling van de betrouwbaarheid van bewijsmateriaal.
7. Migratie, asiel en grenstoezicht. Risicobeoordeling, documentverificatie, visumverwerking.
8. Rechtsbedeling en democratische processen. Feitenonderzoek, wetsinterpretatie, beïnvloeding van kiezers.

Voor SaaS komen de gebieden 1, 3, 4 en 5 het vaakst voor. De overige gebieden zijn zelden van toepassing, tenzij u verkoopt aan specifieke verticalen.

De beslisboom

Ik doorloop elke AI-functie aan de hand van drie vragen:

Vraag 1: Neemt de functie een beslissing over een persoon, of is het slechts een hulpmiddel dat de persoon zelf gebruikt?

Als de functie een persoon aanbeveelt, rangschikt, scoort of classificeert, bevindt u zich waarschijnlijk in het toepassingsgebied van Bijlage III. Als de functie de gebruiker helpt een document op te stellen, zijn eigen tekst samen te vatten of een afbeelding te genereren, is dat waarschijnlijk niet het geval.

Een grammaticacontrole is geen hoog-risicotoepassing. Een grammaticacontrole die de schrijfkwaliteit van een sollicitant scoort en die score invoert in een aanwervingsbeslissing, is dat wel.

Vraag 2: Heeft de beslissing invloed op de toegang van de persoon tot iets van wezenlijk belang?

Wezenlijk belang betekent: een baan, een uitkering, een onderwijsplaats, krediet, verzekering, gezondheidszorg. Als het antwoord ja is, is er sprake van hoog risico. Als de AI de persoon helpt beslissen in welk restaurant hij wil eten, is dat niet het geval.

Vraag 3: Is de persoon op de hoogte van de beslissing en kan hij of zij die aanvechten?

Als het antwoord op een van beide punten nee is, bevindt u zich dieper in het hoog-risicogebied en mogelijk ook in het verboden gebied van Artikel 5 (manipulatieve AI). Het risico van Artikel 5 is los te zien van Bijlage III, maar verdient vermelding in dezelfde audit.

Acht voorbeelden uit echte SaaS-audits

Deze voorbeelden zijn geanonimiseerd maar echt. Ik heb ze elk in de afgelopen zes maanden geaudit.

A: Recruitment-SaaS met AI-CV-screening. Bijlage III(4) werkgelegenheid. Hoog risico. Vereist conformiteitsbeoordeling, technische documentatie, beleid voor menselijk toezicht en registratie in de EU-databank.

B: HR-SaaS met AI-gegenereerde functiebeschrijvingen. De AI helpt de recruiter de functiebeschrijving te schrijven. De recruiter plaatst de vacature. Er wordt geen beslissing genomen over sollicitanten. Beperkt risico onder Artikel 50(2) (openbaarmaking van synthetische inhoud). Geen hoog risico.

C: Klantenservice-SaaS met AI-antwoordsuggesties. De AI stelt antwoorden voor; de menselijke supportmedewerker kiest er een. Er wordt geen geautomatiseerde beslissing over de klant genomen. Beperkt risico onder Artikel 50(1) als het antwoord van de supportmedewerker wordt verstuurd als door AI gegenereerd, anders minimaal risico.

D: Leenplatform met AI-kredietscoring. Bijlage III(5) kredietwaardigheid. Hoog risico. Dit geval is ondubbelzinnig. Volledige conformiteitsbeoordeling vereist.

E: EdTech-platform met AI-tutoring zonder beoordelingsfunctie. De AI legt concepten uit aan studenten. Geen beoordeling, geen toelatingsbeslissing, geen examentoezicht. Beperkt risico onder Artikel 50(1). Vermeld de AI-toepassing en klaar.

F: EdTech-platform met AI-beoordeling van opstellen. Bijlage III(3) onderwijs. Hoog risico. Ook als een docent de AI-beoordeling controleert vóór de definitieve indiening, verricht de AI het inhoudelijke beoordelingswerk, en dat activeert Bijlage III.

G: HealthTech-SaaS die artsen helpt bij het opstellen van patiëntnotities. De arts controleert en ondertekent elke notitie. De AI stelt geen diagnose en doet geen behandelingsaanbevelingen. Beperkt risico onder Artikel 50(2) voor synthetische inhoud. Geen Bijlage III.

H: HealthTech-SaaS die patiëntsymptomen triageert en een urgentieniveau aanbeveelt. Dit geval ligt op de grens. Als de aanbeveling niet-bindend is en een clinicus de definitieve beslissing neemt, kan het beperkt risico zijn. Als de aanbeveling bepaalt wie wordt gezien en in welke volgorde, is het Bijlage III(5) toegang tot essentiële diensten. We hebben dit geval in de audit als hoog-risico geclassificeerd en het team aanbevolen de menselijke controle goed in te richten vóór de lancering.

Het kostenverschil tussen een juiste en een onjuiste classificatie

Als u een functie correct als beperkt risico classificeert, plaatst u een vermelding en documenteert u de beslissing. Tijdsinvestering: een halve dag.

Als u een functie correct als hoog risico classificeert, bouwt u een risicobeheersysteem, technische documentatie conform Artikel 11, een beleid voor menselijk toezicht, nauwkeurigheids- en robuustheidstests, markttoezicht achteraf, en registreert u in de EU-databank. Tijdsinvestering: 6 tot 12 weken voor een klein team.

Als u hoog-risico ten onrechte als beperkt risico classificeert, handelt u in strijd met de regelgeving. Artikel 99(3) bepaalt de sanctie voor niet-naleving van hoog-risicoverplichtingen: tot 15 miljoen euro of 3 procent van de wereldwijde jaarlijkse omzet.

Als u beperkt risico ten onrechte als hoog-risico classificeert, verspilt u zes weken engineeringtijd die u niet had hoeven spenderen.

De classificatiestap is de meest impactvolle stap in het gehele nalevingsproces voor de EU AI-verordening. Doe het goed.

Hoe het Disclos-team dit aanpakt

Elke 5-daagse audit die we uitvoeren begint met het in kaart brengen van elke AI-functie in het product ten opzichte van Bijlage III. We hanteren dezelfde beslisboom als hierboven, functie voor functie toegepast en schriftelijk gedocumenteerd, zodat u het dossier aan een toezichthouder of een bestuurslid kunt overhandigen zonder de redenering opnieuw te hoeven reconstrueren.

De classificatie staat in het PDF-eindproduct. De redenering staat in het PDF-eindproduct. Het bewijs van hoe we elke beslissing hebben genomen, staat in het PDF-eindproduct. Dat is waarvoor u 997 euro betaalt. Terugbetaling gegarandeerd als uw SaaS niet compliant is op 2 augustus 2026.

U kunt dezelfde classificatie ook zelf uitvoeren met het classify.py-script in onze open-source repository. Gratis, MIT-gelicentieerd, beantwoordt vijf vragen en geeft de risicocategorie terug. Gebruik het voor een eerste triage en beslis daarna of u wilt dat wij de formele audit uitvoeren.

Welk pad u ook kiest: voer de classificatiestap uit vóór u iets anders doet. Het verandert alles wat daarna komt.

Last updated: 2026-06-04