- Inventariseer uw AI-systemen en classificeer risico (minimaal, beperkt, hoog, onaanvaardbaar)
- Stel voor hoog-risico AI een technische documentatie op (Bijlage IV EU AI Act)
- Implementeer data governance voor trainingsdata: kwaliteit, representativiteit, bias-checks
- Documenteer data lineage voor alle AI-trainings- en validatiesets
- Integreer AI Act-vereisten in uw bestaande AVG/GDPR-processen
- Wijs een verantwoordelijke aan voor AI-governance (naast uw DPO)
De EU AI Act trad op 1 augustus 2024 in werking. De meeste verplichtingen voor organisaties die hoog-risico AI-systemen ontwikkelen of gebruiken, gelden vanaf augustus 2026. Voor Nederlandse organisaties is dit een combinatie van bekende AVG-logica en nieuwe AI-specifieke data-eisen. Dit artikel legt uit welke data governance-vereisten de AI Act stelt en hoe u ze integreert in uw bestaande beleid.
Wat zegt de EU AI Act over data governance?
De EU AI Act besteedt een volledig artikel aan data governance: Artikel 10 stelt dat aanbieders van hoog-risico AI-systemen adequate datapraktijken moeten hanteren. De kernvereisten:
- Kwaliteitsstandaarden: trainings-, validatie- en testdata moeten voldoen aan kwaliteitscriteria gericht op het beoogde gebruik
- Relevantie en representativiteit: data moet relevant, representatief en zo volledig mogelijk zijn. Bias moet actief worden geïdentificeerd en — waar mogelijk — gecorrigeerd
- Menselijk toezicht: data governance-processen moeten menselijk toezicht op de gegevenskwaliteit garanderen
- Documentatie: dataverzamelingsprocessen, doelen, categorieën, aannames en beperkingen moeten worden gedocumenteerd
- Privacy by design: waar persoonsgegevens in trainingsdata worden gebruikt, gelden aanvullende AVG-vereisten (rechtsgrondslag, dataminimalisatie)
Dit is geen vrijblijvend kwaliteitsbeleid — het is een wettelijke verplichting met handhaving door nationale toezichthouders. In Nederland is dat de Autoriteit Persoonsgegevens (AP) in combinatie met de marktautoriteiten.
Risicoklassificatie: welke AI-systemen vallen onder de strenge vereisten?
| Risicoklasse | Voorbeelden | Data governance-verplichting |
|---|---|---|
| Onaanvaardbaar risico | Social scoring overheid, biometrische massasurveillance | Verboden — niet van toepassing |
| Hoog risico | CV-screening AI, kredietbeoordeling, medische diagnostiek, biometrische ID | Volledig artikel 10 — data governance verplicht |
| Beperkt risico | Chatbots, deepfake-generatoren | Transparantieplicht — beperkte datavereisten |
| Minimaal risico | Spamfilters, AI in videogames | Geen specifieke vereisten |
Cruciale vraag voor elke Nederlandse organisatie: welke van mijn AI-systemen vallen onder "hoog risico"? Bijlage III van de EU AI Act somt de categorieën op. De meest relevante voor het Nederlandse bedrijfsleven: AI in werving en selectie, AI voor kredietbeoordeling, AI in veiligheidssystemen, en AI in essentiële dienstverlening.
Data Governance voor Hoog-Risico AI: De 5 Kernvereisten
1. Kwaliteitsstandaarden voor trainingsdata
U moet aantoonbaar maken dat uw trainingsdata voldoet aan kwaliteitscriteria die relevant zijn voor het doel van het AI-systeem. In de praktijk betekent dit:
- Definieer datakwaliteitsdimensies specifiek voor uw AI-toepassing (volledigheid, nauwkeurigheid, consistentie)
- Meet deze dimensies systematisch — niet eenmalig, maar bij elke hertraining
- Documenteer afwijkingen en de mitigerende maatregelen
- Sla de meetresultaten op als onderdeel van de technische documentatie (Bijlage IV)
2. Representativiteit en bias-detectie
Hoog-risico AI-systemen mogen geen systematische bias bevatten die schadelijk is voor beschermde groepen. De AI Act vereist dat u actief bias identificeert en corrigeert. Concreet:
- Analyseer de samenstelling van uw trainingsdata op demografische representativiteit
- Voer bias-audits uit voor beschermde kenmerken (leeftijd, geslacht, etniciteit, handicap)
- Documenteer de gevonden biassen en de correctiemaatregelen
- Test het AI-systeem op prestatie-dispariteiten tussen groepen
3. Data lineage documentatie
Voor elk hoog-risico AI-systeem moet u kunnen aantonen waar de trainingsdata vandaan komt, hoe ze zijn verwerkt, en welke transformaties zijn toegepast. Data lineage is niet langer optioneel.
Minimale documentatie per dataset:
- Herkomst (bron, eigenaar, verwervingsdatum, licentie)
- Verwerkingsstappen (normalisatie, filtering, augmentatie)
- Kwaliteitsmetingen op het moment van gebruik
- Versienummering (welke dataset-versie is gebruikt voor welke model-versie)
4. Integratie met AVG/GDPR
De EU AI Act en de AVG zijn parallelle verplichtingen — ze zijn niet geïntegreerd, maar overlappen wel significant wanneer trainingsdata persoonsgegevens bevat. De kritische intersectiepunten:
- Rechtsgrondslag: op welke AVG-grondslag worden persoonsgegevens verwerkt voor AI-training? (Gerechtvaardigd belang, toestemming, wettelijke verplichting?)
- Doelbinding: het hergebruik van bestaande persoonsgegevens voor AI-training vereist een compatibiliteitsbeoordeling
- Data Protection Impact Assessment (DPIA): verplicht voor hoog-risico AI-systemen die persoonsgegevens verwerken
- Geautomatiseerde besluitvorming: Artikel 22 AVG beperkt volledig geautomatiseerde besluitvorming met juridische gevolgen — hoog-risico AI-systemen zijn hieraan onderhevig
5. Menselijk toezicht in het data governance-proces
De AI Act vereist dat data governance-processen menselijk toezicht garanderen — niet slechts geautomatiseerde kwaliteitscontroles. In de praktijk: een benoemde Data Owner of AI-verantwoordelijke die de kwaliteitsrapporten beoordeelt en aftekent vóór elke hertraining van een hoog-risico model.
Tijdlijn: Wanneer moet u wat geregeld hebben?
| Datum | Verplichting |
|---|---|
| Augustus 2024 | EU AI Act van kracht — verboden toepassingen direct verboden |
| Februari 2025 | Verbod op onaanvaardbaar-risico AI volledig van kracht |
| Augustus 2026 | Verplichtingen hoog-risico AI van kracht — inclusief data governance (art. 10) |
| Augustus 2027 | Hoog-risico AI in bestaande producten (Bijlage I) volledig compliant |
Praktische Stappen voor Nederlandse Organisaties
- AI-inventarisatie: maak een register van alle AI-systemen die u gebruikt of ontwikkelt. Classificeer elk systeem op risiconiveau (gebruik Bijlage III als checklist).
- Gap-analyse: vergelijk uw huidige data governance-praktijken met de vereisten van Artikel 10. Identificeer de hiaten voor hoog-risico systemen.
- Technische documentatie opstellen: voor elk hoog-risico systeem, begin nu met het opstellen van de technische documentatie (Bijlage IV). Dit vereist input van data scientists, juridische adviseurs en business owners.
- Data lineage implementeren: als u nog geen data lineage-tool gebruikt, is dit het moment. Opties: Microsoft Purview, Apache Atlas, Collibra, of een open-source alternatief.
- Bias-audits plannen: voer voor elk hoog-risico AI-systeem een initiële bias-audit uit. Documenteer de resultaten en de mitigerende maatregelen.
- AVG x AI Act alignment: laat uw juridisch team de overlap analyseren. Waarschijnlijk moeten bestaande DPIA's worden uitgebreid voor AI-systemen.
Voor meer context over data governance in het algemeen: ons artikel over data governance best practices 2026. Over de bredere impact van AI in Nederland: AI op de Nederlandse werkvloer. En over privacy en AVG: AVG en privacy in de praktijk.