Wat is een AI-audit?
Een AI-audit is een gestructureerde toetsing van je AI-systemen aan de eisen van de EU AI Act. Je gaat per systeem na of de risico-inschatting nog klopt, of de juiste maatregelen zijn getroffen en of je het kunt onderbouwen. Het is het moment waarop je controleert of je register en je beleid stroken met wat er werkelijk gebeurt.
Een audit hoeft niet zwaar of formeel te zijn. Voor het MKB gaat het vooral om een periodieke, eerlijke controle: weten we nog welke AI we gebruiken, klopt onze classificatie, en hebben we de stukken op orde?
Wat toets je in een AI-audit?
Een goede audit loopt langs de kernverplichtingen van de wet. De tabel hieronder vat samen wat je per onderdeel controleert.
| Onderdeel | Wat je toetst | Kern uit de wet |
|---|---|---|
| Inventarisatie | Staat al je AI-gebruik in het register? | Basis voor alle verplichtingen |
| Classificatie | Klopt de risicocategorie nog per systeem? | Art. 5 / Bijlage III / Art. 50 |
| Documentatie | Zijn beleid, beoordelingen en verklaringen actueel? | Aantoonbaarheid |
| Menselijk toezicht | Is geregeld wie controleert en ingrijpt? | Art. 14 en Art. 26 |
| Transparantie | Weten mensen dat ze met AI te maken hebben? | Art. 50 |
| AI-geletterdheid | Is je personeel voldoende getraind? | Art. 4 |
Inventarisatie en classificatie
Begin altijd bij de vraag of je register compleet is. Nieuwe tools sluipen er ongemerkt in. Vervolgens controleer je of de risicocategorie per systeem nog klopt — werving en selectie vallen bijvoorbeeld onder hoog risico (Bijlage III), terwijl een eenvoudige chatbot onder beperkt risico (Art. 50) valt. Een wijziging in het gebruik kan de categorie veranderen.
Documentatie en toezicht
Vervolgens kijk je of je documentatie het gebruik nog dekt: AI-beleid, risicobeoordeling per systeem, transparantieverklaring, de procedure voor menselijk toezicht en — bij hoog risico — eventueel een FRIA (Art. 27). En je toetst of het menselijk toezicht in de praktijk ook echt werkt: is er iemand met mandaat die kan ingrijpen?
Transparantie en geletterdheid
Tot slot controleer je de transparantie naar gebruikers (Art. 50) en of je personeel nog voldoende AI-geletterd is (Art. 4) voor de systemen die het bedient.
Hoe verloopt een audit?
Een audit volgt grofweg dezelfde lijn als compliance zelf: registreren, classificeren, documentatie nalopen, gaten benoemen en acties uitzetten. Het verschil is dat je nu terugkijkt en toetst in plaats van opbouwt. Leg de bevindingen vast, want ook de audit zelf is onderdeel van je aantoonbaarheid.
In de praktijk doorloop je vier stappen. Eerst stel je de scope vast: welke systemen neem je mee? Vervolgens verzamel je het bewijs — register, beoordelingen, beleid, trainingsoverzicht. Daarna toets je dat tegen de verplichtingen die per categorie gelden. Tot slot leg je de bevindingen vast met concrete vervolgacties en een eigenaar per actie. Door die acties op te volgen, wordt de audit niet alleen een terugblik maar ook een motor voor verbetering.
Een veelgemaakte fout is om alleen naar de papieren situatie te kijken. Toets ook of het in de praktijk klopt: houdt iemand werkelijk toezicht, en wordt de transparantie naar gebruikers ook echt getoond? Het verschil tussen "beschreven" en "gedaan" is precies wat een audit zichtbaar maakt.
Hoe vaak voer je een AI-audit uit?
De wet schrijft geen vaste frequentie voor. In de praktijk werkt een combinatie het best:
- Periodiek, bijvoorbeeld per kwartaal of halfjaar, als vaste check.
- Bij wijzigingen, telkens als je een nieuwe AI-tool in gebruik neemt of een bestaand systeem anders gaat gebruiken.
- Bij nieuwe regelgeving, zoals aanpassingen via de Digital Omnibus of nieuwe deadlines.
Een vaste ritmiek voorkomt dat je achteroploopt. Het UMW-platform ondersteunt een terugkerende governance-check, en de gratis risicoscan is een laagdrempelig vertrekpunt voor je eerste toetsing. Achtergrond per onderwerp vind je in de kennisbank.