Aantonen dat je aan artikel 4 van de AI-verordening voldoet

Stel dat een toezichthouder volgende maand belt. Aanleiding: een klacht over een sollicitatieprocedure waarin een AI-tool cv's voorsorteerde. Ergens in dat gesprek komt de vraag of de recruiter die de tool bediende wist wat het ding deed.

Op welke grond? Voorlopig via de AVG. De Uitvoeringswet die Nederlandse toezichthouders bevoegd maakt om op de AI-verordening te handhaven, is nog in behandeling, en de zware eisen voor wervingstools gelden pas vanaf 2 december 2027. De AVG-regels over geautomatiseerde besluitvorming gelden nu al, en dan ligt de vraag of de recruiter wist wat de tool deed, net zo goed op tafel.

Op dat moment heb je iets nodig dat verder gaat dan een herinnering aan een presentatie van vorig jaar. Dat hoeft geen certificaat te zijn, want de AI-verordening vraagt daar nergens om. Wat je nodig hebt, is een dossier waaruit blijkt dat je hebt nagedacht, iets hebt geregeld en het hebt bijgehouden.

Waarom een deelnemerslijst te weinig is

De meeste organisaties die hier iets aan doen, leggen één ding vast: wie er bij de sessie was. Dat is een begin en het dekt de vraag maar half.

Artikel 4 vraagt maatregelen die rekening houden met de kennis van de mensen, de context en de personen op wie het systeem wordt toegepast. Een aanwezigheidslijst zegt iets over aanwezigheid. Ze zegt weinig over passendheid.

De vraag die een toezichthouder stelt, loopt andersom. Die begint bij de tool en het risico, en werkt terug naar de persoon: dit systeem raakt sollicitanten, wie bedient het, en wat wist die persoon ervan?

Je dossier kan die vraag alleen beantwoorden als het van dezelfde kant begint. De verplichting zelf staat in AI-geletterdheid verplicht.

De vier dingen die je vastlegt

1. Een overzicht van de AI die in huis wordt gebruikt. Inclusief de tools die niemand heeft aangevraagd. Dat overzicht is bijna altijd langer dan verwacht: browser-extensies, add-ins in Office, functies die leveranciers stilletjes aan bestaande software hebben toegevoegd. Welke daarvan je toestaat, hoort in je AI-beleid.

2. Per tool: wie hem bedient en wie hem raakt. Een tekstgenerator voor interne memo's neemt geen beslissingen over mensen. Een tool die sollicitanten rangschikt of verzuim voorspelt, raakt mensen die er zelf niets over te zeggen hebben. Dat onderscheid bepaalt hoe zwaar de maatregel moet zijn. Neem daarbij ook de mensen mee die namens jou met AI werken, zoals een bureau dat met generatieve AI campagnes voor je draait of een uitzendkracht die een tool bedient. Artikel 4 telt hen mee. De indeling in vier groepen staat in AI-training per rol.

3. De maatregel per groep. Een korte werkinstructie voor incidentele gebruikers, een uitgebreidere sessie voor wie dagelijks met een risicovollere toepassing werkt. Leg vast waarom je die keuze maakte. Daarmee laat je zien dat je rekening hield met kennis, context en wie het systeem raakt, en precies dat vraagt artikel 4 sinds juli 2026. Voor teams die met tekstgeneratoren werken volstaat vaak de werkafspraak uit generatieve AI veilig gebruiken.

4. De datum van de laatste herziening. AI-gebruik verandert per kwartaal. Een dossier uit 2025 dat nooit is aangeraakt, vertelt vooral dat er sindsdien niet meer naar gekeken is.

Waar je leerplatform dit werk overneemt

Een leerplatform houdt twee van de vier onderdelen bij, en die deels: wie welke maatregel heeft gevolgd en wanneer, en wanneer die aan herhaling toe is. Het tooloverzicht en de vraag wie een tool raakt, blijven werk voor mensen.

Het zijn precies de twee die je met de hand het slechtst actueel houdt. Het verschil met een spreadsheet zit in het bijhouden. Een lijst in Excel klopt op de dag dat je hem maakt. Een platform dat aan je personeelssysteem hangt, ziet nieuwe medewerkers binnenkomen en zet ze in de juiste groep.

Dat maakt het antwoord op 'wist die persoon wat de tool deed?' iets wat je opzoekt in plaats van reconstrueert. Wie wil weten hoe je vaststelt of iemand een taak echt aankan, leest verder in bekwaamheid meten.

Dat organisaties hier moeite mee hebben, is gemeten. 8,1% van de Nederlandse HR- en L&D-teams zegt volledig inzicht te hebben in de skills die in huis zijn; bijna een kwart (23,9%) heeft dat inzicht nauwelijks of helemaal niet (L&D Monitor 2026). Wie het huidige niveau amper kent, kan ook slecht onderbouwen dat de maatregelen passen.

De basis van het dossier staat in een middag

Voor een organisatie die nog niets heeft, is dit een realistische eerste versie. De inventarisatie, de indeling en het plan staan in een middag; de maatregelen zelf volgen in de weken daarna.

Een compleet compliance-programma is dit nog lang niet. Het beantwoordt de vraag die gesteld wordt, en het is aanzienlijk meer dan de meeste organisaties vandaag kunnen laten zien.

• Vraag elk team, en de bureaus en inhuur die namens jou werken, welke AI-tools ze gebruiken. Stel de vraag open, zonder toestemmingsvraag erbij, anders krijg je een te korte lijst.

• Markeer per tool of de uitkomst mensen raakt die er zelf geen zeggenschap over hebben: sollicitanten en klanten, en net zo goed je eigen medewerkers.

• Deel de gebruikers voor nu in twee groepen in: incidenteel en dagelijks. De fijnere indeling in vier groepen kan later.

• Kies per groep één maatregel en plan die binnen zes weken.

• Zet er een herzieningsdatum op, een half jaar vooruit. Andere gidsen over dit thema staan in de kennisbank AI-inzet.

• Wijs één eigenaar aan die het dossier bijhoudt en de herziening plant. Dat is ook de naam die je noemt als een toezichthouder vraagt van wie dit is.