AI-register voor bedrijven en gemeenten: zo werkt het in de praktijk

Steeds meer bedrijven en gemeenten zetten AI in voor klantcontact, besluitvorming en interne processen. Daarmee groeit het belang van overzicht, risicobeheersing en verantwoording. Een AI-register maakt dat gebruik inzichtelijk en helpt om te voldoen aan de AI Act en de AVG. In dit artikel lees je wat een AI-register is, wat erin moet staan en hoe je er stap voor stap een opzet, eerst voor bedrijven en daarna voor gemeenten, met de actuele regels van 2026.

Wat is een AI-register?

Een AI-register is een gestructureerd overzicht waarin een organisatie alle gebruikte of aangeboden AI-systemen vastlegt. Per systeem staat erin met welk doel het wordt ingezet, welke data het gebruikt, hoe het werkt, welke risico’s eraan verbonden zijn en welke maatregelen die risico’s beperken. Het register heeft twee functies: het geeft de organisatie zelf overzicht en controle, en het maakt verantwoording naar buiten mogelijk.

Voor bedrijven is een register vooral een intern beheers- en compliance-instrument. Voor overheden is het daarnaast een openbaar transparantie-instrument. In beide gevallen geldt hetzelfde principe: zonder register weet een organisatie niet welke AI zij in huis heeft en kan zij niet aantonen dat zij de regels naleeft.

Een AI-register voor bedrijven

De AI Act maakt geen onderscheid tussen profit en non-profit: elk bedrijf dat AI-systemen ontwikkelt of professioneel gebruikt, valt eronder. Dat geldt ook voor bedrijven buiten de EU, zodra hun AI-systeem of de uitkomst ervan in de EU wordt gebruikt.

Aanbieder of gebruiker: ken je rol

De AI Act onderscheidt twee hoofdrollen, en de rol bepaalt welke verplichtingen gelden. Veel bedrijven zijn allebei tegelijk, afhankelijk van het systeem.

• Aanbieder (provider): je ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het op de markt onder je eigen naam of merk. Aanbieders van hoogrisico-systemen hebben de zwaarste verplichtingen, waaronder een conformiteitsbeoordeling vooraf.
• Gebruiker (deployer): je zet een AI-systeem in onder eigen verantwoordelijkheid voor professioneel gebruik, bijvoorbeeld ingekochte software. Gebruikers van hoogrisico-systemen moeten onder andere zorgen voor menselijk toezicht en het systeem volgens de instructies inzetten.

Pas je een ingekocht AI-systeem wezenlijk aan of zet je het in onder je eigen merk, dan kun je juridisch aanbieder worden, ook al heb je het systeem niet zelf gebouwd. Leg daarom per systeem vast welke rol je organisatie heeft.

Wat de AI Act van bedrijven vraagt

De AI Act werkt met vier risiconiveaus. Het niveau bepaalt hoe zwaar de verplichtingen zijn. De tabel hieronder geeft het overzicht.

Voor de meeste bedrijven zijn vooral de hoogrisico- en de beperkt-risico-categorie relevant. Zet je AI in voor beslissingen over mensen, bijvoorbeeld bij sollicitaties, dan is de kans groot dat het om hoogrisico-AI gaat. Gebruik je AI om hoogrisico-systemen in te zetten, dan moet je daarnaast een grondrechtentoets uitvoeren, in de AI Act de Fundamental Rights Impact Assessment (FRIA) genoemd.

De boetes zijn fors en gelaagd. Voor verboden AI-praktijken geldt een boete tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor het schenden van andere verplichtingen, waaronder die voor hoogrisico-systemen, geldt tot 15 miljoen euro of 3 procent. Voor onjuiste informatie aan toezichthouders geldt tot 7,5 miljoen euro of 1,5 procent. Steeds geldt het hoogste van de twee bedragen.

Stappenplan voor bedrijven

Een AI-register opzetten binnen een bedrijf is goed te doen in zes stappen. Reken op enkele maanden, vooral voor de inventarisatie.

1. Inventariseer alle AI-systemen. Breng zowel zelf ontwikkelde AI als ingekochte software met AI-functies in kaart. Vergeet AI-functies in standaardsoftware niet.
2. Bepaal per systeem de rol en de risicoklasse. Leg vast of je aanbieder of gebruiker bent en onder welk risiconiveau het systeem valt.
3. Verzamel de documentatie. Werk samen met IT, juridische zaken, de privacy officer en de business om doel, data, werking, impactanalyses en maatregelen vast te leggen.
4. Voer de vereiste analyses uit. Voor hoogrisico-systemen horen daar een DPIA en meestal een FRIA bij. Koppel de uitkomsten aan het register.
5. Wijs eigenaarschap toe. Benoem een verantwoordelijke voor het register en voor elk systeem, zodat het beheer geborgd is.
6. Richt een updateproces in. Werk een registratie bij zodra een systeem wezenlijk verandert en houd een vast controlemoment aan, bijvoorbeeld elk kwartaal.

Een AI-register voor gemeenten

Gemeenten zetten AI in om dienstverlening te verbeteren en maatschappelijke opgaven aan te pakken. Omdat de overheid besluiten neemt die direct ingrijpen in het leven van burgers, telt transparantie hier extra zwaar. Een AI-register maakt dat gebruik controleerbaar.

In Nederland gebeurt dit centraal via het Algoritmeregister van de overheid. Dat register richt zich op impactvolle algoritmes, waaronder hoogrisico-AI-systemen. Volgens het ministerie van Binnenlandse Zaken bevatte het register begin 2025 ongeveer 675 algoritmes en groeide dat in de loop van 2025 naar ruim 1.000 registraties.

De regels voor gemeenten in 2026

Voor gemeenten lopen er twee sporen naast elkaar. Het eerste is nationaal: het kabinet heeft aangekondigd dat registratie van impactvolle algoritmes uiteindelijk wettelijk verplicht wordt. Tot die wet er is, worden overheidsorganisaties aangemoedigd om hun algoritmes uit eigen beweging te publiceren.

Het tweede spoor is Europees. De AI Act verplicht ook overheden tot classificatie, documentatie en risicobeheersing van hun AI-systemen. Daarnaast moeten hoogrisico-AI-systemen die door publieke instanties worden gebruikt, worden geregistreerd in een Europese databank. Juist voor de publieke sector geldt die databank-verplichting, waar ze voor private gebruikers beperkter is.

Praktijkvoorbeelden: Amsterdam en Helsinki

Stappenplan voor gemeenten

Een AI-register opzetten binnen een gemeente verloopt in zes stappen. De aanpak lijkt op die van bedrijven, met een extra accent op openbaarheid en begrijpelijkheid.

1. Breng alle AI-systemen in kaart. Maak een overzicht van bestaande en geplande toepassingen, ook eenvoudige beslisregels en ingekochte software met AI-functies.
2. Gebruik de landelijke publicatiestandaard. Sluit aan op het format van het Algoritmeregister, zodat elk systeem op dezelfde manier wordt beschreven.
3. Verzamel de informatie met de juiste mensen. Werk samen met privacy officers, IT, juridische zaken en communicatie om doel, data, werking en risico’s vast te leggen.
4. Publiceer het register openbaar. Plaats de registraties online en zorg dat ze voor burgers makkelijk vindbaar zijn, bij voorkeur via het landelijke Algoritmeregister.
5. Richt een updateproces in. Werk een systeem bij zodra het wezenlijk verandert en houd een vast controlemoment aan, bijvoorbeeld elk kwartaal.
6. Informeer medewerkers en burgers. Organiseer korte sessies over nut en werking van het register, zodat het intern wordt gedragen en extern wordt gebruikt.

Wat moet er in een AI-register staan?

Of je nu een bedrijf of een gemeente bent, een bruikbaar register legt per systeem een vaste set gegevens vast:

• Naam en beschrijving: elk AI-systeem met een heldere omschrijving van doel, gebruik en werking, in begrijpelijke taal.
• Rol en risicoklasse: of de organisatie aanbieder of gebruiker is en onder welk risiconiveau van de AI Act het systeem valt.
• Data en privacy: welke data worden gebruikt, of er persoonsgegevens worden verwerkt en hoe de privacy is geborgd.
• Impactanalyse: een samenvatting van uitgevoerde analyses, zoals een DPIA, een FRIA of, bij overheden, een Impact Assessment Mensenrechten en Algoritmes (IAMA).
• Menselijk toezicht: hoe een medewerker uitkomsten controleert of kan corrigeren.
• Beheer en updates: wie verantwoordelijk is voor onderhoud en het bijwerken van de registratie.
• Contact en feedback: contactgegevens voor vragen, opmerkingen of bezwaar.

Veelgemaakte fouten

• Het register eenmalig vullen. Zonder vast updateproces raakt de informatie binnen een jaar achterhaald en verliest het zijn waarde als bewijs van compliance.
• Ingekochte software vergeten. Ook AI-functies in standaardsoftware van leveranciers horen in het overzicht.
• De rol verkeerd inschatten. Wie een ingekocht systeem aanpast of onder eigen merk inzet, kan juridisch aanbieder worden, met zwaardere verplichtingen.
• Wachten op de deadline. Een register opbouwen kost maanden. Wie nu begint, is op tijd klaar voor de verplichtingen die in 2027 en 2028 ingaan.
• Alleen technische documenten ontsluiten (overheden). Een register vol jargon vergroot de transparantie niet. De uitleg moet leesbaar zijn voor inwoners.
• Geen eigenaar aanwijzen. Zonder verantwoordelijke afdeling blijft het register liggen zodra de eerste registratie klaar is.

Veelgestelde vragen

Dit artikel is voor het laatst gecontroleerd en bijgewerkt op 26 mei 2026.