Bewijsvereisten voor EU AI Act-onderzoeken

Op 1 september 2026 ging het Europees Bureau voor AI over van beleidsvorming naar actieve handhaving, en stuurde het zijn eerste formele informatieverzoeken naar meer dan 30 aanbieders van General Purpose AI (GPAI) modellen. Volgens juridische analyse van deze eerste onderzoeken (Simmons & Simmons, 2026), richten de verzoeken zich op modelbeveiliging, resultaten van adversiële tests en de gedetailleerde informatie van monitoring na marktintroductie. Voor data-eigenaren en -kopers signaleert dit dat naleving niet langer een vinkje-zet-oefening is; het is een bewijslastrijk, documentintensief proces.

De Technische Documentatie Last (Bijlage IV)

Volgens Artikel 11 van de EU AI Act moeten aanbieders van hoog-risico AI-systemen en GPAI-modellen uitgebreide technische documentatie bijhouden. Bij een onderzoek zal het Europees Bureau voor AI de in Bijlage IV genoemde artefacten opeisen. Dit is geen samenvatting, maar een diepgaande analyse van de systeemarchitectuur. U moet bereid zijn om het volgende te verstrekken:

• Ontwerpspecificaties: Gedetailleerde beschrijvingen van de methoden en stappen die zijn uitgevoerd voor de ontwikkeling van het AI-systeem, inclusief de logica van de algoritmen en de gemaakte ontwerpkeuzes.
• Systeemarchitectuur: Documentatie van hoe het systeem interageert met andere software en de hardware waarop het bedoeld is te draaien.
• Computationele Middelen: Openbaar gemaakte cijfers over het energieverbruik en de rekenkracht die zijn gebruikt voor initiële training en fine-tuning.

Voor data-kopers is het cruciaal om ervoor te zorgen dat uw leverancier over deze artefacten beschikt. U moet prioriteit geven aan het verkrijgen van zeldzame, conforme trainingsdata voor de EU AI Act die al de benodigde metadata bevatten om deze technische bestanden te vullen.

Data Governance en Herkomstbewijs

Artikel 10 van de Act schrijft strikte data governance voor. Indien onderzocht, moet een data-eigenaar of -koper de integriteit van de trainings-, validatie- en testdatasets bewijzen. Het Europees Bureau voor AI vereist bewijs van "dataherkomst", wat de oorsprong van de data, de verzamelmethoden en de wettelijke basis voor het gebruik ervan omvat. Volgens de officiële tekst van de AI Act (Verordening (EU) 2024/1689), moet de documentatie het volgende omvatten:

• Datasetkenmerken: Informatie over de dichtheid, hoeveelheid en kwaliteit van de data.
• Biasmitigatie: Bewijs van de genomen maatregelen om potentiële biases te identificeren en aan te pakken, met name die welke de gezondheid en veiligheid van personen of fundamentele rechten beïnvloeden.
• Rechtenvrijgave: Een samenvatting van het beleid met betrekking tot auteursrecht en de specifieke datasets die zijn gebruikt om het model te trainen.

Data-eigenaren die hun activa willen monetariseren, moeten nu "herkomstlogs" behandelen als een kernonderdeel van het product. Een dataset zonder een duidelijk audit trail van zijn levenscyclus wordt steeds meer gezien als een aansprakelijkheid in plaats van een activum.

Operationele Logs en Adversariële Tests

Een van de strengste vereisten voor GPAI-modellen met systemisch risico is het verstrekken van resultaten van adversiële tests. De recente verzoeken van het Europees Bureau voor AI richtten zich specifiek op "red-teaming" rapporten. Onderzoekers zullen zoeken naar bewijs dat het model is getest tegen kwaadaardige prompts, jailbreaking pogingen en datavergiftiging. Artikel 12 vereist dat hoog-risico AI-systemen automatisch logs genereren gedurende hun gehele levenscyclus. Deze logs moeten een chronologisch verslag van de werking van het systeem bieden, waardoor de traceerbaarheid van outputs naar specifieke inputs en verwerkingsstappen mogelijk is.

Financieel Risico en Handhavingsschalen

De inzet voor het niet verstrekken van dit bewijs is ongekend. De EU AI Act stelt een gelaagde boetestructuur vast. Niet-naleving van de vereisten voor data governance (Artikel 10) kan leiden tot administratieve boetes van maximaal €15 miljoen of 3% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor het verstrekken van misleidende of valse informatie aan toezichthouders tijdens een onderzoek, kan de boete oplopen tot €7,5 miljoen of 1% van de omzet (Artikel 99, Verordening (EU) 2024/1689). Dit maakt de "kosten van bewijs" een essentieel onderdeel in de begroting van elk AI-project.

Wat dit voor u betekent

Voor data-eigenaren hangt uw monetisatiestrategie nu af van documentatie. U verkoopt niet langer alleen ruwe informatie; u verkoopt een "conform datapakket" dat herkomstcertificaten en bias auditrapporten bevat. Hoogwaardige, vooraf geteste activa kunnen worden vermeld in onze datasetcatalogus om kopers aan te trekken die specifiek op zoek zijn naar het mitigeren van EU AI Act auditrisico's. Voor data-kopers dienen de handhavingsacties van 1 september als waarschuwing: due diligence moet verder reiken dan modelprestaties tot het bewijstraject van de data die het heeft opgebouwd. Als u de logs niet kunt produceren, kunt u het model niet implementeren.