Artikel 7 — Wijzigingen van Bijlage III (EU AI-verordening)

Artikel 7 van Verordening (EU) 2024/1689 — Wijzigingen van Bijlage III. Officiële tekst, praktische interpretatie, belangrijkste verplichtingen en nalevingsimplicaties.

Samenvatting van de officiële tekst

Artikel 7 van Verordening (EU) 2024/1689 verleent de Europese Commissie de bevoegdheid om Bijlage III — de lijst van categorieën hoog-risico AI-systemen — te wijzigen door middel van gedelegeerde handelingen die zijn vastgesteld overeenkomstig artikel 97. Dit mechanisme maakt het mogelijk dat de regulatoire perimeter van Titel III zich uitbreidt of inkrimpt in reactie op empirisch bewijs, zonder dat een volledige medewetgevingsprocedure nodig is.

Bij de beoordeling of een nieuwe categorie AI-systemen aan Bijlage III moet worden toegevoegd, is de Commissie verplicht een gestructureerde reeks criteria toe te passen. Deze omvatten: de ernst en onomkeerbaarheid van de schade die het systeem kan veroorzaken aan gezondheid, veiligheid of grondrechten; het aantal potentieel getroffen personen en hun mate van kwetsbaarheid; de mate waarin het systeem al is ingezet en de in de praktijk waargenomen schade; de mate van menselijk toezicht op geautomatiseerde uitvoer; en of toepasselijk Unie- of lidstaatrecht al een adequaat beschermingsniveau biedt tegen de geïdentificeerde risico's.

Omgekeerd kan de Commissie een categorie uit Bijlage III verwijderen wanneer de bewijsbasis aantoont dat het resterende risico niet langer voldoet aan de drempel die classificatie als hoog-risico rechtvaardigt, of wanneer gelijkwaardige waarborgen zijn vastgesteld via andere bindende Unieinstrumenten.

Elke gedelegeerde handeling die krachtens artikel 7 wordt vastgesteld, is onderworpen aan de parlementaire toetsingsprocedure die is vastgelegd in artikel 97, waardoor het Europees Parlement en de Raad het recht hebben bezwaar te maken voordat de handeling in werking treedt. Dit waarborgt democratisch toezicht op de regelgevende evolutie, terwijl de Commissie de benodigde wendbaarheid behoudt om gelijke tred te houden met snel ontwikkelende AI-capaciteiten.

Wat dit in de praktijk betekent

Artikel 7 fungeert als het adaptieve mechanisme van de EU AI-verordening voor hoog-risicoclassificatie. In de praktijk betekent dit dat de grens tussen AI-systemen die onderworpen zijn aan het volledige hoog-risico nalevingsregime en die welke dat niet zijn, niet permanent is vastgesteld op de datum van inwerkingtreding. Aanbieders en gebruiksverantwoordelijken moeten daarom voortdurend gedelegeerde handelingen van de Commissie monitoren, niet alleen op het moment van de initiële productontwikkeling.

Voor organisaties die AI-systemen bouwen of inzetten in sectoren die grenzen aan Bijlage III — bijvoorbeeld AI-tools die worden gebruikt bij personeelsbeheer, kredietscoring of dienstverlening aan de overheid — creëert artikel 7 een nalevingshorizonrisico: een systeem dat vandaag buiten de reikwijdte valt, kan na een wijziging door de Commissie binnen de reikwijdte vallen. Prudente organisaties moeten een voorlopige hoog-risicobeoordeling uitvoeren, zelfs voor grensgevallen, en hun governance-architectuur ontwerpen zodat deze upgradeable is.

Voor organisaties die al actief zijn binnen de categorieën van Bijlage III, versterkt artikel 7 de noodzaak van voortdurende conformiteitsmonitoring. Een wijziging die de definitie van een vermelde categorie versmalt, kan bepaalde verplichtingen verlichten, maar organisaties mogen geen verlichting veronderstellen zonder formele juridische analyse van de reikwijdte van de gedelegeerde handeling.

Concreet valt een aanbieder van een AI-ondersteund hulpmiddel dat sollicitanten rangschikt in een wervingscontext voor de publieke sector momenteel onder punt 4 van Bijlage III. Als de Commissie, gebruikmakend van surveillance-gegevens na het in de handel brengen die zijn verzameld op grond van artikel 72, vaststelt dat AI-systemen die worden gebruikt bij werving in de particuliere sector bij kleine ondernemingen vergelijkbare risico's vormen, kan zij dat punt uitbreiden via artikel 7. De toeleveringsketen, vereisten voor technische documentatie en conformiteitsbeoordelingsverplichtingen van die aanbieder zouden dan van toepassing zijn op een bredere groep klanten.

Belangrijkste verplichtingen

• Gedelegeerde handelingen van de Commissie monitoren: Aanbieders en gebruiksverantwoordelijken moeten eventuele gedelegeerde handelingen bijhouden die krachtens artikel 7 worden vastgesteld en Bijlage III wijzigen, aangezien wijzigingen hun nalevingsstatus kunnen veranderen zonder overgangsperioden buiten die welke in de handeling zelf zijn gespecificeerd.
• Aanpasbare risicodocumentatie bijhouden: Technische documentatie en conformiteitsbeoordelingsverslagen moeten zo worden gestructureerd dat zij kunnen worden bijgewerkt om eventuele herclassificatie van een AI-systeem van niet-hoog-risico naar hoog-risico te weerspiegelen, of omgekeerd.
• Horizonbeoordelingen uitvoeren voor grensgevallen: Organisaties die AI-systemen exploiteren in sectoren die grenzen aan Bijlage III, moeten periodiek beoordelen of evoluerende Commissierichtsnoeren of markttoezichtbevindingen wijzen op een aanstaande wijziging die hun producten zou kunnen beïnvloeden.
• Deelnemen aan openbare raadplegingsprocessen: De procedure voor gedelegeerde handelingen omvat raadplegingen met relevante belanghebbenden; aanbieders en brancheverenigingen moeten deelnemen om ervoor te zorgen dat sectorspecifiek bewijs in aanmerking wordt genomen voordat de Commissie wijzigingen definitief maakt.
• Klant- en toeleveringsketenverplichtingen herzien bij wijziging: Wanneer een wijziging Bijlage III uitbreidt, moeten aanbieders bijgewerkte contractuele en technische verplichtingen zonder onnodige vertraging doorsturen naar gebruiksverantwoordelijken en aangemelde instanties.
• Verwijdering van categorieën bijhouden: Wanneer de Commissie een categorie verwijdert, moeten organisaties beoordelen of zij de nalevingsoverhead kunnen verminderen, maar moeten zij registraties bewaren die vroegere naleving aantonen voor de perioden waarop de hoog-risicostatus van toepassing was.

Relatie tot andere artikelen

Artikel 7 kan niet afzonderlijk worden gelezen van verscheidene andere bepalingen. Het is rechtstreeks ondergeschikt aan artikel 97, dat de uitoefening van de gedelegeerde bevoegdheid regelt, inclusief de duur van de delegatie, de voorwaarden voor herroeping en de parlementaire bezwaarprocedure.

De criteria die artikel 7 voorschrijft voor het toevoegen van categorieën aan Bijlage III weerspiegelen direct het kader voor risicobeoordeling dat ten grondslag ligt aan artikel 9 (risicobeheersysteem), wat betekent dat dezelfde feitelijke vragen die een Commissiewijziging informeren, ook de interne risicobeheerverplichtingen van een aanbieder informeren.

Artikel 6 definieert de primaire regel voor hoog-risicoclassificatie, en artikel 7 fungeert als zijn dynamische complement: samen bepalen zij welke AI-systemen vallen onder de Titel III-verplichtingen die zijn vastgelegd in artikelen 8 tot en met 49.

Surveillance-gegevens na het in de handel brengen die zijn verzameld krachtens artikel 72 en ernstige incidentrapporten krachtens artikel 73 voeden rechtstreeks de bewijsbasis die de Commissie gebruikt bij het overwegen van artikel 7-wijzigingen, waardoor een feedbacklus ontstaat tussen markttoezicht en regelgevende classificatie. Ten slotte is Bijlage III zelf de operationele tekst die artikel 7 wijzigt; elke nalevingsanalyse moet worden uitgevoerd op basis van de versie van Bijlage III die van kracht is op het moment van de relevante activiteit, niet de versie die van kracht was op een eerdere datum.

Nalevingstijdlijn

2 augustus 2024 — Verordening (EU) 2024/1689 trad in werking. Artikel 7, inclusief de gedelegeerde bevoegdheid van de Commissie om Bijlage III te wijzigen, werd operationeel vanaf deze datum. De delegatieperiode loopt vijf jaar vanaf de inwerkingtreding, verlengbaar door stilzwijgende verlenging krachtens artikel 97.

2 februari 2025 — Verboden AI-praktijken krachtens artikel 5 werden van toepassing. Artikel 7-wijzigingen kunnen verboden niet opheffen; elk systeem dat valt onder artikel 5 kan niet worden gerehabiliteerd door herclassificatie.

2 augustus 2025 — Regels voor AI-modellen voor algemene doeleinden (Titel VIII) werden van toepassing. De post-markttoezichtinfrastructuur van de Commissie begon gegevens te produceren die toekomstige artikel 7-wijzigingen kunnen informeren.

2 augustus 2026 — Hoog-risico AI-systemen die worden gedekt door geharmoniseerde Uniewetgeving die is vermeld in Bijlage I, Afdeling A werden onderworpen aan het volledige Titel III-regime. Artikel 7-wijzigingen die deze sectoren beïnvloeden, werken samen met bestaande productveiligheidswetgeving.

2 augustus 2027 — Hoog-risico AI-systemen die zijn vermeld in Bijlage III (anders dan die welke al onderworpen zijn aan eerdere data) worden volledig onderworpen aan de Titel III-verplichtingen. Dit is de primaire nalevingsdeadline voor de meeste organisaties die worden getroffen door Bijlage III-classificaties, inclusief eventuele toekomstige wijzigingen die zijn aangebracht krachtens artikel 7 vóór deze datum. Wijzigingen die na 2 augustus 2027 worden vastgesteld, zullen hun eigen toepassingsdata specificeren overeenkomstig de procedure voor gedelegeerde handelingen.