Europese norm voor AI-kwaliteitsbeheer: wat staat er eigenlijk in?

In eerdere blogs is besproken dat Europese normen gaan helpen om aan te tonen dat organisaties voldoen aan de verplichtingen uit de AI Act.

De eerste norm is inmiddels gepubliceerd: prEN 18286 - Quality management system for EU AI Act regulatory purposes.

Er is het nodige geschreven over deze norm, maar wat er nu feitelijk in staat is lang niet voor iedereen duidelijk. In deze blog lichten we een tip van de sluier op.

Het is belangrijk om te beseffen dat deze norm is geschreven voor aanbieders die hoog-risico AI ontwikkelen en op de markt brengen. Dergelijke aanbieders krijgen met deze norm een duidelijke, erkende route om de verplichtingen uit artikel 17 van de AI Act na te leven. Als zij hun kwaliteitsmanagementsysteem inrichten conform deze norm, profiteren zij van een wettelijk vermoeden dat wordt voldaan aan de eisen van artikel 17 van de AI-verordening.

Aanbieders kunnen artikel 17 nog steeds op andere manieren naleven, maar moeten dan zelf aantonen hoe zij dit doen

De norm heeft echter geen effect op de gebruiksverantwoordelijken. Partijen die hoog-risico AI bijvoorbeeld inzetten op gebieden zoals werving of kredietverlening, moeten zelf zorgen voor implementatie van de verplichtingen uit artikel 26 (gebruik in overeenstemming met de gebruiksaanwijzingen, menselijk toezicht, monitoring, het bijhouden van logboeken, het informeren van personeel en betrokkenen).

Totstandkoming

De norm is ontwikkeld door CEN-CENELEC JTC 21, het in 2021 door CEN en CENELEC opgerichte gezamenlijke Europese comité voor kunstmatige intelligentie. Dit comité ontwikkelt Europese AI-normen in opdracht van de Europese Commissie.

Bij besluit van 12 oktober 2026 (2026/2274) heeft de Commissie vastgesteld dat de norm voldoet aan de gestelde eisen en bruikbaar is als raamwerk voor het voldoen aan de eisen uit artikel 17 van de AI Act.

JTC 21 werkt ondertussen verder aan diverse andere normen voor hoog-risico AI, waaronder risicobeheer (artikel 9 AI Act), datagovernance en -kwaliteit (artikel 10), logging (artikel 12), transparantie (artikel 13), menselijk toezicht (artikel 14), nauwkeurigheid en robuustheid (artikel 15), cyberbeveiliging (artikel 15) en conformiteitsbeoordeling (artikel 43).

Inhoud van de norm

Artikel 17 van de AI Act verplicht aanbieders van hoogrisico-AI-systemen om een kwaliteitsbeheersysteem te implementeren. Dat systeem mag worden afgestemd op de omvang van de organisatie van de aanbieder (bijvoorbeeld een start-up, of een kleine midcaponderneming) en moet op systematische en ordelijke wijze worden gedocumenteerd in de vorm van schriftelijke beleidslijnen, procedures en instructies.

De norm geeft aan hoe dat systeem kan worden ingericht. Hoofdstukken (of volgens de Engelse versie: clausules) 1 tot en met 3 beschrijven met name voor wie de norm is bedoeld en hoe de begrippen in de norm moeten worden uitgelegd.

Hoofdstuk 4 beschrijft het kwaliteitsmanagementsysteem. De aanbieder moet identificeren welke wettelijke vereisten van toepassing zijn, welke AI-systemen onder het kwaliteitsmanagementsysteem vallen en moet een nalevingsstrategie formuleren en documenteren. Die strategie omvat ook de maatregelen die worden gebruikt om naleving aan te kunnen tonen, zoals gebruik van geharmoniseerde normen of andere standaarden. Hoofdstuk 4 geeft ook handreikingen over het vastleggen van deze informatie, het updaten en doorlopende controle.

Hoofdstuk 5 gaat over “Leiderschap”: het topmanagement stelt het kwaliteitsbeleid (en de kwaliteitsdoelstellingen) vast, zorgt voor de benodigde middelen en wijst rollen, verantwoordelijkheden en bevoegdheden toe.

Hoofdstuk 6 ziet op planning: bepalen welke doelen bijdragen aan het goed functioneren van het kwaliteitsmanagementsysteem (dus niet het risicobeheer van het AI-systeem zelf), risico’s identificeren en acties plannen om die risico’s te mitigeren en de effectiviteit van die acties evalueren.

Hoofdstuk 7 ziet op ondersteuning: bepaal welke middelen, competenties van medewerkers, communicatie (intern en externe partijen) en acties rondom bewustwording nodig zijn.

Hoofdstuk 8 gaat over “AI system realization”: er moeten processen en procedures worden opgesteld, gedocumenteerd, geïmplementeerd en onderhouden gedurende de gehele levenscyclus van het AI-systeem, gericht op naleving van wettelijke eisen en systeemvereisten. Daaronder valt ook het inrichten van een risicomanagement systeem, data management en product documentatie.

Hoofdstuk 9 regelt wat er moet gebeuren nadat het AI-systeem op de markt is gebracht of in gebruik is genomen: markttoelating, ondersteuningsdiensten, ketenbeheersing (toeleveranciers), wijzigingsbeheer, post-marktmonitoring, melding van ernstige incidenten en afhandeling van niet-naleving.

Hoofdstuk 10 is het laatste hoofdstuk. De norm vereist periodieke managementreviews, waarin de effectiviteit van het systeem wordt beoordeeld aan de hand van meetbare criteria. Ook de planning van wijzigingen aan het kwaliteitsmanagementsysteem zelf valt hieronder.

De norm bevat ook bijlagen met meer informatie over ondermeer de overlap met andere normen.

Toepassing in de praktijk

De AI Act schrijft voor dat het kwaliteitsbeheersysteem ten minste de volgende (kort samengevatte) aspecten moet bevatten:

1. Nalevingsstrategie, inclusief procedures voor conformiteitsbeoordeling en wijzigingsbeheer.

2. Methoden voor ontwerp, ontwerpcontrole en ontwerpverificatie.

3. Methoden voor ontwikkeling, kwaliteitscontrole en kwaliteitsborging.

4. Inspectie-, test- en validatieprocedures vóór, tijdens en na de ontwikkeling.

5. Toe te passen technische specificaties en normen, inclusief alternatieve middelen bij ontbrekende geharmoniseerde normen.

6. Databeheerprocessen, waaronder verwerving, opslag, analyse en alle overige dataoperaties.

7. Risicobeheersysteem conform artikel 9.

8. Monitoringsysteem na het in de handel brengen conform artikel 72.

9. Meldingsprocedures voor ernstige incidenten conform artikel 73.

10. Communicatie met bevoegde autoriteiten, aangemelde instanties en overige belanghebbenden.

11. Registratiesystemen voor relevante documentatie en informatie.

12. Beheer van hulpmiddelen en voorzieningszekerheid.

13. Verantwoordingskader met taakverdeling voor management en personeel.

Omdat de norm is ingericht als managementsysteemnorm (de zogenoemde "High Level Structure"), zijn deze eisen niet exact in deze volgorde terug te vinden in de norm.

De onder a) genoemde eisen inzake nalevingsstrategie en procedures voor conformiteitsbeoordeling staan bijvoorbeeld beschreven in 4.4 en wijzigingsbeheer wordt behandeld in 9.4 (de aanbieder beoordeelt of een wijziging een "substantiële wijziging" is, wat een nieuwe conformiteitsbeoordeling vereist).

De onder b) genoemde methoden voor ontwerp, ontwerpcontrole en ontwerpverificatie zijn terug te vinden in hoofdstuk 8.3.2: de aanbieder stelt AI-systeemeisen op (eisen uit regelgeving en aanvullende eisen die noodzakelijk zijn voor ontwerp en ontwikkeling), laat deze reviewen en vertaalt ze naar AI-systeemspecificaties. Zo moet duidelijk worden hoe ervoor is gezorgd dat het AI-systeem is ontworpen en geïmplementeerd conform de systeemeisen.

Andere onderwerpen zijn ook verspreid door de norm terug te vinden.

Conclusie

Het is dus geen kwestie van afvinken van de afzonderlijke specifieke verplichtingen, de norm vraagt om implementatie van een volledig managementsysteem. Onderstaand op hoofdlijnen de stappen die je daarvoor kunt nemen.

Stap 1: Bepaal de contouren van het kwaliteitsmanagementsysteem

Identificeer alle toepasselijke regelgevende vereisten (o.a. de AI Act), bepaal de reikwijdte van het kwaliteitsmanagementsysteem (welke AI-systemen vallen eronder) en formuleer een gedocumenteerde nalevingsstrategie (hoofdstuk 4).

Stap 2: Zorg voor betrokkenheid van het topmanagement

Het topmanagement stelt het kwaliteitsbeleid vast, draagt zorg voor voldoende middelen en wijst verantwoordelijkheden toe. Betrokkenheid van het topmanagement is een expliciete eis, geen formaliteit (hoofdstuk 5).

Stap 3: Zorg voor competente medewerkers en effectieve communicatie

Breng de benodigde competenties in kaart, zorg voor opleiding en stel communicatieprocedures vast voor zowel interne als externe partijen, waaronder bevoegde autoriteiten (hoofdstuk 7).

Stap 4: Implementeer en beheer het kwaliteitsmanagementsysteem

Formuleer meetbare kwaliteitsdoelstellingen en identificeer risico's voor het functioneren van het kwaliteitsmanagementsysteem zelf. Plan maatregelen om deze risico's te beheersen (hoofdstuk 6).

Richt de levenscyclusprocessen in, van bepalen van het beoogd gebruik, eisen aan ontwerp en ontwikkeling tot test en acceptatie (hoofdstuk 8), maar ook beheer na marktintroductie (hoofdstuk 9).

Stap 5: Richt het risicobeheersysteem in

Implementeer een risicobeheersysteem voor elk AI-systeem, gericht op bescherming van gezondheid, veiligheid en grondrechten gedurende de gehele levenscyclus (hoofdstuk 8.2) en implementeer procedures voor incidenten en niet-naleving (hoofdstukken 9.6 en 9.7).

Stap 6: Voer periodiek onderhoud uit

Betrek het topmanagement, voer managementreviews uit en documenteer de uitkomsten en aanbevelingen. Plan en voer wijzigingen door op een gecontroleerde wijze (hoofdstuk 10) en houd de documentatie actueel (waaronder de technische documentatie, het kwaliteitsbeleid, de procedures en de resultaten van reviews en audits, hoofdstuk 4.5 en 8.9).

Artikel 17 van de AI Act legt de nodige verplichtingen op, waarvan de uitvoering niet altijd even makkelijk is. Met deze norm in de hand hebben aanbieders in ieder geval een beter inzicht in wat van ze wordt gevraagd en hoe aan deze eisen kan worden voldaan.

Heb je vragen na het lezen van dit blog? Neem dan contact met ons op