Aanbieder of gebruiksverantwoordelijke? Het verschil dat alles bepaalt
Je AI Act-verplichtingen hangen eerst af van je rol. Aanbieder of gebruiksverantwoordelijke: het verschil, en hoe artikel 25 je ongemerkt zelf aanbieder maakt.
AI Act Advies · · 4 min lezen
Voordat je ook maar één verplichting uit de AI-verordening kunt afvinken, moet je één vraag beantwoorden: welke rol speel je? De hele opbouw van de wet hangt daarop. Dezelfde AI-tool kan voor de ene organisatie een lichte informatieplicht meebrengen en voor de andere een volledig conformiteitstraject. Twee rollen doen het meeste werk — en er is één val waardoor je ongemerkt van de ene in de andere rolt.
Welke rollen onderscheidt de wet?
De AI-verordening onderscheidt vijf “operator”-rollen. Twee daarvan zijn voor de meeste organisaties het belangrijkst.
De aanbieder (in het Engels: provider) is de partij die een AI-systeem ontwikkelt — of laat ontwikkelen — en het onder eigen naam of merk in de handel brengt of in gebruik stelt, al dan niet tegen betaling. De kernverplichtingen staan in artikel 16.
De gebruiksverantwoordelijke (deployer) is de partij die een AI-systeem onder eigen gezag gebruikt, tenzij dat gebruik in de puur particuliere, niet-professionele sfeer valt. De verplichtingen voor hoogrisicosystemen staan in artikel 26.
De overige drie rollen zijn de importeur (artikel 23), de distributeur (artikel 24) en de gemachtigde — een in de EU gevestigde vertegenwoordiger die een niet-EU-aanbieder moet aanwijzen (artikel 22). De officiële Nederlandse termen komen uit de NL-taalversie van de verordening en worden ook door de Rijksoverheid gebruikt; een goed overzicht staat in de FAQ “Navigating the AI Act” van de Europese Commissie en op de pagina van de RDI over de AI-verordening.
Belangrijk: één organisatie kan tegelijk aanbieder én gebruiksverantwoordelijke zijn — bijvoorbeeld wanneer ze een zelf ontwikkeld systeem ook zelf inzet.
Wat betekent je rol in de praktijk?
Het verschil in gewicht is groot. Een aanbieder van een hoogrisicosysteem moet onder meer vooraf een conformiteitsbeoordeling uitvoeren (een formele toets of het systeem aan de eisen voldoet), een kwaliteitsmanagementsysteem opzetten, een EU-conformiteitsverklaring opstellen en een CE-markering aanbrengen, het systeem registreren in een EU-databank, de documentatie tien jaar bewaren en ernstige incidenten melden. Dat is een substantieel traject.
Een gebruiksverantwoordelijke van een hoogrisicosysteem heeft een lichter, maar reëel pakket: het systeem gebruiken volgens de gebruiksaanwijzing, menselijk toezicht beleggen bij mensen met voldoende bevoegdheid en training, de werking monitoren, logs bewaren (minimaal zes maanden voor zover onder eigen zeggenschap) en bij een ernstig incident de aanbieder en de toezichthouder informeren. Publieke instanties en bepaalde financiële dienstverleners moeten daarnaast vóór eerste gebruik een grondrechteneffectbeoordeling (fundamental rights impact assessment, FRIA) uitvoeren.
Voor de gemiddelde organisatie die AI-tools inkoopt — denk aan een team dat ChatGPT of Microsoft Copilot inzet voor teksten, samenvattingen of analyses — is de rol doorgaans die van gebruiksverantwoordelijke. Je hebt het systeem niet gebouwd; je gebruikt het. Dat betekent niet “niks te doen”, maar wel een fundamenteel andere en lichtere set verplichtingen dan die van de aanbieder achter de tool.
Hoe je ongemerkt zelf aanbieder wordt
En dan het punt waar het misgaat. Artikel 25 bepaalt dat een distributeur, importeur, gebruiksverantwoordelijke of andere derde partij zelf als aanbieder wordt beschouwd — met álle aanbiedersverplichtingen — in drie situaties:
- je plaatst je eigen naam of merk op een systeem dat al op de markt is (white-labelling);
- je brengt een wezenlijke wijziging (substantial modification) aan in een bestaand systeem;
- je wijzigt het beoogde doel zodanig dat het systeem daardoor hoogrisico wordt.
Dit is geen theoretische bepaling. Ze raakt precies de dingen die organisaties in 2026 dagelijks doen. Wie een bestaande AI-dienst onder een eigen productnaam aan klanten aanbiedt, kan door dat enkele feit aanbieder worden. Wie een taalmodel fijn-afstemt (fine-tuning) of een general-purpose AI-model — een breed inzetbaar model zoals dat achter veel chatassistenten zit — diep integreert in een eigen toepassing, loopt hetzelfde risico. En wie een tool voor een onschuldig doel inkoopt maar hem vervolgens inzet voor bijvoorbeeld werving of kredietbeoordeling, kan het systeem daarmee in de hoogrisicocategorie duwen. De achtergrond bij deze bepaling staat in het artikel over artikel 25 op artificialintelligenceact.eu.
Het gevolg is ingrijpend: van een lichte gebruiksverantwoordelijke-rol schuif je in één stap naar het volledige aanbiederspakket, inclusief conformiteitsbeoordeling, CE-markering en registratie.
Zo bepaal je je positie
Een paar vragen brengen je snel op het juiste spoor. Ontwikkel je het systeem zelf of laat je het onder jouw regie bouwen? Zet je jouw naam of merk erop? Pas je het wezenlijk aan? Gebruik je het voor een ander doel dan de leverancier bedoelde — en wordt het daardoor mogelijk hoogrisico? Bij “ja” op een van deze vragen is de kans reëel dat je (mede) aanbieder bent. Blijf je binnen het gebruik zoals de leverancier het levert, dan ben je waarschijnlijk gebruiksverantwoordelijke.
Die analyse is de logische eerste stap in elk AI Act-traject, want ze bepaalt letterlijk welk hoofdstuk van de wet voor jou opengaat. Doe je haar niet, dan loop je het risico dat je maanden de verkeerde verplichtingen voorbereidt — of, erger, dat je aanbiedersplichten over het hoofd ziet die je zonder het te weten hebt geërfd.
Twijfel je of jouw organisatie aanbieder, gebruiksverantwoordelijke — of allebei — is, zeker als je tools white-labelt of aanpast? Doe de QuickScan en krijg een eerste, gedateerde inschatting van je rol en de plichten die daarbij horen.