Zelfaudit vs. ingehuurde audit voor de EU AI Act: wanneer is welke aanpak verstandig?

# Zelfaudit vs. ingehuurde audit voor de EU AI Act: wanneer is welke aanpak verstandig?

Ik voer betaalde audits uit. Ik publiceer ook een gratis checklist. Ik ben dus de verkeerde persoon om objectief over dit onderwerp te zijn — behalve wat betreft het feit dat de verkeerde keuze je echt geld of echt tijd kost, en ik er liever voor zorg dat je de juiste keuze maakt.

Deze post legt de beslissing uit op de manier waarop ik haar uitleg aan potentiële klanten die ernaar vragen. Ongeveer een derde van hen doet uiteindelijk de zelfaudit en betaalt mij nooit. De andere twee derde betaalt voor de audit. Beide zijn de juiste keuze voor verschillende teams.

De twee paden in gewone taal

Zelfaudit. Je leest Verordening (EU) 2024/1689 of onze open-source checklist, classificeert je AI-functies zelf, schrijft de verplichte mededelingen zelf, stelt je eigen audittrail op en dient die in. Kosten: alleen tijd. Risico: je maakt een classificatiefout die niemand opmerkt totdat een toezichthouder dat wel doet.

Ingehuurde audit. Iemand met regelgevingsexpertise loopt je product door, classificeert elke functie aan de hand van Bijlage III, schrijft de documentatie, levert de code voor de mededelingen en overhandigt je een PDF-rapport met zijn of haar naam erop. Kosten: doorgaans 800 tot 30.000 euro, afhankelijk van het bureau. Risico: je geeft geld uit dat je niet had hoeven uitgeven als jouw situatie eenvoudiger was dan gedacht.

Wanneer is een zelfaudit de juiste keuze?

Je kunt het beste een zelfaudit doen als vier dingen waar zijn:

1. Je hebt uitsluitend AI met een minimaal risico. Automatisch aanvullen, spamdetectie, zoekrangschikking, aanbevelingswidgets zonder significante impact op het leven van een gebruiker. Geen triggers voor Bijlage III. Geen chatbots met hoge inzet. De Verordening laat je grotendeels ongemoeid.
2. Je hebt tijd. Een zelfaudit kost een gefocuste oprichter of technisch verantwoordelijke ongeveer 8 tot 16 uur, van begin tot afgerond dossier. Als je die tijd hebt vóór je deadline, kun je het zelf doen.
3. Je bent vertrouwd met het lezen van regelgeving. De AI-Verordening is compact maar leesbaar. Als "transparantie op grond van artikel 50" en "Bijlage III(4) werkgelegenheid" je niet nerveus maken, kun je er doorheen navigeren. Als dat wel zo is, zie dan de volgende sectie.
4. Je hoeft het dossier niet aan een klant of investeerder te tonen. Een zelfaudit is verdedigbaar tegenover een toezichthouder. Het is soms moeilijker te verdedigen tegenover een professionele zakelijke klant die als onderdeel van zijn aankoopproces een door een derde partij ondertekend compliance-dossier wil zien.

Als die vier dingen waar zijn, is onze gratis open-source checklist alles wat je nodig hebt. Gebruik hem. Stuur een pull request als je een omissie ontdekt.

Wanneer is een ingehuurde audit de juiste keuze?

Je kunt het beste betalen voor een audit als een van de volgende dingen waar is:

1. Je hebt een functie die onder Bijlage III valt. Een classificatie als hoog risico vereist een conformiteitsbeoordeling, een technisch dossier op grond van artikel 11, menselijk toezicht op grond van artikel 14, monitoring na het in de handel brengen en registratie in de EU-databank. Dit is geen werk van 16 uur. Zelfs als je het zelf kunt, zou je dat waarschijnlijk niet moeten doen. Fouten hier kosten 3 tot 7 procent van de omzet.
2. Je verkoopt aan zakelijke klanten die bewijs van compliance vragen. Een zelfaudit die jijzelf hebt ondertekend, is moeilijker te verdedigen in een aanbestedingscontrole dan een audit ondertekend door een onafhankelijke partij. Sommige potentiële klanten zullen ernaar vragen. Je wilt dan bevestigend kunnen antwoorden.
3. Je hebt weinig tijd. Als je nog 30 dagen of minder hebt tot je deadline en nog niet begonnen bent, bespaart een ervaren auditor je kostbare tijd. Een in 5 dagen geleverde audit geeft je 25 dagen buffer.
4. Je wilt een verdedigbaar beslissingsspoor. Als je ooit te maken krijgt met een toezichthouder, een vraag van een investeerder, een bestuursreview of een klantgeschil over naleving van de AI-Verordening, is een extern auditrapport veel gemakkelijker aan te wijzen dan je eigen interne documentatie.
5. Je wilt je tijd besteden aan je product, niet aan regelgeving. De tijd van een oprichter is de duurste tijd in het bedrijf. Als je 997 euro kunt uitgeven om 16 uur van je eigen tijd terug te kopen, is de rekensom snel gemaakt.

Wat koop je voor 997 euro?

De Disclos-audit kost 997 euro, eenmalig, zonder abonnement. Binnen 5 werkdagen ontvang je:

• Een PDF-compliance-rapport gekoppeld aan Verordening (EU) 2024/1689, waarin elke AI-functie in je product wordt gekoppeld aan de bijbehorende risicocategorie
• Een Loom-videowalkthrough die elke keuze die we hebben gemaakt en de reden daarvoor uitlegt
• Kant-en-klare code voor artikel 50-mededelingen, afgestemd op de oppervlakken van jouw product
• Interne compliance-sjablonen (registratie, incidentrapportage, beleid inzake menselijk toezicht, procedure voor het contactpunt)
• Een terugbetalingsgarantie: als je SaaS op basis van het geleverde werk niet compliant is vóór 2 augustus 2026, ontvang je volledige terugbetaling

We kunnen dit doen voor 997 euro omdat de onderliggende methodologie gestandaardiseerd is. We herontwerpen geen compliance-aanpak voor elke SaaS. We voeren dezelfde bewezen 6-fasen methodologie uit, aangepast aan jouw product.

Wat koop je niet voor 997 euro?

Dit koop je niet:

• Een volledige conformiteitsbeoordeling voor hoog-risico systemen als bedoeld in Bijlage III met betrokkenheid van een aangemelde instantie. Als je een hoog-risico functie hebt waarvoor een conformiteitsbeoordeling door een derde partij vereist is (de meeste vereisen dat niet, maar controleer artikel 43), zullen we dat markeren en je doorverwijzen naar een aangemelde instantie. Dat werk valt hierbuiten en kost aanzienlijk meer.
• Doorlopende monitoring na het in de handel brengen. De audit is een momentopname. Monitoring na het in de handel brengen is operationeel en doorlopend. We kunnen advies geven over het beleid.
• Juridisch advies. Wij zijn een compliance-praktijk, geen advocatenkantoor. Voor bindend juridisch advies over randgevallen heb je een advocaat nodig.

Als je een van deze zaken nodig hebt, is de audit een nuttige eerste stap, maar niet de enige.

De eerlijke vergelijking

Als jouw situatie eenvoudig is, is de zelfaudit de juiste keuze. De gratis repo brengt je er. Als jouw situatie complexer is, of als je wilt dat dit achter de rug is zodat je weer kunt bouwen, is de audit van 997 euro de juiste keuze.

De verkeerde keuze in beide gevallen is grotendeels verspild geld of verspilde tijd. De juiste keuze in beide gevallen is grotendeels een regelgevingsdossier waar je niet meer over na hoeft te denken. Beide zijn beter dan de derde optie, namelijk hopen dat de deadline er niet echt toe doet.

2 augustus 2026 doet er echt toe.

Last updated: 2026-06-04