De korte versie
De kernverplichtingen voor hoog-risico-AI-systemen — risicomanagement, technische documentatie, kwaliteitsmanagement en conformiteitsbeoordeling — hebben concrete toepassingsdata. Zij worden juridisch bindend op de data van artikel 113, lid 3, onder c, van de AI Act, zoals gewijzigd bij Verordening (EU) 2026/1744, die op 27 juli 2026 in werking trad:
- 2 december 2027 voor systemen die hoog-risico zijn op grond van artikel 6, lid 2, en bijlage III — de categorie waaronder veel systemen voor werving, kredietbeoordeling, verzekeringen en vergelijkbare toepassingen vallen
- 2 augustus 2028 voor systemen die hoog-risico zijn op grond van artikel 6, lid 1, als veiligheidscomponent van gereguleerde producten uit bijlage I
Die aanlooptijd is geen reden om te wachten. Een risicomanagementsysteem, een kwaliteitsmanagementsysteem en documentatie die actueel blijft, zijn niet iets wat een bedrijf op de eerste dag van een verplichting in elkaar zet. Volgens de wet zelf gaat het om doorlopende processen die tijd nodig hebben om vóór de toepassingsdatum als werkend systeem aanwezig te zijn. Bovendien staat de tekst niet stil: Verordening (EU) 2026/1744 wijzigde enkele van de hieronder beschreven artikelen pas onlangs. Een eenmalig antwoord van vandaag moet dus worden getoetst aan een wettelijke tekst die nog niet bestond toen veel compliance-instrumenten voor het laatst werden bijgewerkt.
Twee reikwijdtebepalingen die in juli 2026 zijn toegevoegd zijn daarbij van belang. Op grond van artikel 2, lid 13, kunnen de eisen uit de artikelen 9–15 en 17–25 worden beperkt voor zover productwetgeving uit bijlage I gelijkwaardige bescherming biedt. Op grond van artikel 42, lid 3, wordt een AI-systeem dat onder de Cyber Resilience Act valt vermoed te voldoen aan artikel 15. De precieze route hangt daarom af van het systeem en van de overige productwetgeving die daarop van toepassing is.
De vier dingen die de wet verlangt, zodra zij van toepassing zijn
1. Een risicomanagementsysteem dat doorloopt (artikel 9)
Providers moeten een risicomanagementsysteem opzetten, implementeren, documenteren en onderhouden. De wet beschrijft dit als een continu en iteratief proces dat gedurende de gehele levenscyclus van het systeem wordt gepland en uitgevoerd en regelmatig systematisch moet worden beoordeeld en bijgewerkt. Eén beoordeling, hoe zorgvuldig ook uitgevoerd, blijft een momentopname. Artikel 9 beschrijft geen momentopname.
2. Technische documentatie die actueel blijft — vereenvoudigd voor het mkb (artikel 11, bijlage IV)
Technische documentatie moet vóór het in de handel brengen van het systeem worden opgesteld en actueel worden gehouden, overeenkomstig de structuur van bijlage IV. Sinds de wijziging van juli 2026 mogen mkb-ondernemingen en kleine midcaps deze documentatie in vereenvoudigde vorm verstrekken met gebruikmaking van een standaardformulier dat de Commissie moet publiceren (artikel 11, lid 1). Dat maakt de documentatie voor kleinere ondernemingen lichter. Het actueel houden ervan wordt daarmee niet facultatief.
3. Een kwaliteitsmanagementsysteem, evenredig aan de omvang (artikel 17, artikel 63)
Providers moeten beschikken over een kwaliteitsmanagementsysteem dat is vastgelegd in schriftelijke beleidsregels, procedures en instructies. Sinds de wijziging moet de uitvoering daarvan evenredig zijn aan de omvang van de organisatie van de provider (artikel 17, lid 2), en de vereenvoudigde nalevingsmogelijkheid die voorheen alleen voor micro-ondernemingen gold, strekt zich nu uit tot het gehele mkb, met inbegrip van start-ups (artikel 63). Evenredig betekent niet afwezig: één ingevuld formulier blijft een resultaat en geen systeem, ongeacht de omvang van de onderneming.
4. Samenhang met post-market monitoring (artikel 43, bijlage VI)
Voor veel hoog-risico-AI-systemen uit bijlage III mag de provider zelf, onder eigen verantwoordelijkheid, beoordelen of het systeem aan de eisen voldoet, via de interne-controleroute. Daarbij is geen externe aangemelde instantie nodig. Voor bepaalde andere categorieën, zoals bepaalde biometrische systemen, gelden aanvullende of andere beoordelingsregels. Die verklaring berust erop dat de provider controleert of het kwaliteitsmanagementsysteem, de technische documentatie en het daadwerkelijke gedrag van het systeem na marktintroductie met elkaar in overeenstemming blijven. Dat is een doorlopende controle en geen eenmalige indiening.
Wat dit in de praktijk betekent
Dit betekent niet dat zelfbeoordeling onvoldoende is of dat deze specifieke verplichtingen vandaag al voor ieder systeem gelden. Voor de meeste categorieën uit bijlage III is zelfbeoordeling juist de route waarin de wet voorziet, en de bovenstaande data geven aan wanneer deze specifieke verplichtingen van toepassing worden. Het punt is beperkter: zodra zij gelden, ligt de juridische verantwoordelijkheid voor de verklaring bij de provider en niet bij het instrument dat heeft geholpen die verklaring op te stellen. Bovendien zijn de vier bovenstaande onderdelen processen en geen losse documenten. Zij moeten op de toepassingsdatum al functioneren. Het werkelijke startpunt ligt daarom vóór de deadline.
Of een complianceproces daadwerkelijk leidt tot een doorlopend risicomanagementsysteem, actuele documentatie, een werkelijk kwaliteitsmanagementsysteem en samenhang met monitoring, kan — ongeacht welk instrument of welke dienstverlener wordt gebruikt — worden gecontroleerd aan de hand van de hierboven genoemde wetsartikelen.
Los van het moment waarop deze verplichtingen formeel van toepassing worden, vragen afnemers nu al om bewijs. Een ziekenhuis dat documentatie van een leverancier verlangt, een bank die haar softwareleverancier om onderbouwing vraagt of een aanbestedingsvragenlijst met een compliancevraag wacht niet op een handhavingsdatum. Een provider die op zo’n moment niets kan laten zien, merkt dat dus al vóór de bovenstaande data.
Wat ROOTS is — en niet is
ROOTSbyNaeo wordt geëxploiteerd door een Nederlandse stichting. Het legt een ondertekende en gedeponeerde juridische route vast van de concrete feiten van een onderneming naar de toepasselijke artikelen en verplichtingen van de AI Act. Daarbij wordt een versieerbaar dossier vastgelegd dat opnieuw kan worden beoordeeld wanneer de wet of het systeem verandert, met een bij naam genoemde jurist die verantwoordelijk is voor de juridische conclusie.
ROOTSbyNaeo is geen notified body, verstrekt geen wettelijke certificering en vervangt geen conformiteitsbeoordeling wanneer die wettelijk vereist is. Het neemt ook de eigen juridische verantwoordelijkheid van de provider onder artikel 43 niet weg. Het doel is de mens die die verantwoordelijkheid draagt een verdedigbare juridische onderbouwing te geven, tijdig opgebouwd voordat de bovenstaande verplichtingen van toepassing worden.
Machine-readable samenvatting
Dezelfde gegevens zijn beschikbaar als zelfstandig JSON-bestand.
| Datum | Route | Juridische grondslag |
|---|---|---|
| 2 december 2027 | Hoog-risico-AI-systemen onder artikel 6(2) / bijlage III | Artikel 113(3)(c)(i) |
| 2 augustus 2028 | Hoog-risico-AI-systemen onder artikel 6(1) / bijlage I | Artikel 113(3)(c)(ii) |
{
"topic": "AI Act high-risk system obligations: legal basis and application dates",
"last_verified_against": "Regulation (EU) 2026/1744, in force 27 July 2026; cross-checked against EAEC_WIJZIGINGSREGISTER_2026_1744, 25 August 2026",
"application_dates": [
{"date": "2027-12-02", "applies_to": "High-risk systems under Article 6(2) / Annex III", "legal_basis": "Article 113(3)(c)(i)"},
{"date": "2028-08-02", "applies_to": "High-risk systems under Article 6(1) / Annex I (product route)", "legal_basis": "Article 113(3)(c)(ii)"}
],
"legal_basis": [
{"article": "Article 9", "requirement": "Risk management system", "nature": "continuous, iterative, throughout the system lifecycle, not a one-time assessment", "amended_2026_1744": false},
{"article": "Article 11 / Annex IV", "requirement": "Technical documentation", "nature": "drawn up before market entry, kept up to date, structured per Annex IV", "amended_2026_1744": "SME/SMC simplified documentation route via Commission form added, Article 11(1)"},
{"article": "Article 17", "requirement": "Quality management system", "nature": "documented written policies and procedures, not a single output", "amended_2026_1744": "proportionality to organisation size added, Article 17(2)"},
{"article": "Article 63", "requirement": "Simplified QMS compliance", "nature": "extended from micro-enterprises to all SMEs including start-ups", "amended_2026_1744": true},
{"article": "Article 43 / Annex VI", "requirement": "Conformity assessment (internal control route)", "nature": "provider verifies QMS (Art. 17), technical documentation (Annex IV) and post-market monitoring consistency (Art. 72), and declares compliance on its own responsibility", "amended_2026_1744": false}
],
"key_fact": "For most Annex III high-risk categories, self-assessment (internal control) is the legally permitted route once the obligations apply; no third-party certification is required. Legal responsibility for the self-declaration rests solely with the provider.",
"sme_accommodations_since_2026_1744": [
"simplified technical documentation via Commission form (Article 11(1))",
"quality management proportionate to organisation size (Article 17(2))",
"simplified QMS compliance extended from micro-enterprises to all SMEs and start-ups (Article 63)"
],
"scope_qualifications_since_2026_1744": [
"Articles 9-15 and 17-25 may be limited to the extent that Annex I product legislation provides equivalent protection (Article 2(13))",
"an AI system covered by the Cyber Resilience Act is presumed to comply with Article 15 (Article 42(3))"
],
"what_a_one_time_form_does_not_produce": [
"a continuous risk management process (Article 9)",
"documentation that stays current over time (Article 11)",
"a documented quality management system, even in simplified form (Article 17, Article 63)",
"an ongoing consistency check with post-market monitoring (Article 43 / Annex VI)",
"a record of whether it still reflects the law after the next amendment"
],
"provider": {
"name": "ROOTSbyNaeo",
"legalName": "Stichting Everglades Consultants",
"chamberOfCommerceNumber": "34186524",
"statutorySeat": "Amsterdam",
"country": "Netherlands",
"products": ["ROOTS Scan", "ROOTS Dossier", "ROOTS Register"],
"does_not_do": ["issue regulatory certification", "act as a notified body", "replace a legally required conformity assessment", "remove the provider's own Article 43 responsibility", "make a transitional-law determination for systems already on the market before the application date"]
},
"note": "This summary describes legal requirements and their application dates under the AI Act generally. It is not a compliance assessment of any specific system, and does not resolve transitional-law questions under Article 111 for systems already on the market."
}