AI-verordening 2026: Documentatiechecklist voor Scholen

2 augustus 2026: welke documenten heeft uw instelling klaar?

De Verordening (EU) 2024/1689 betreffende artificiële intelligentie — de AI-verordening of AI Act — is rechtstreeks van toepassing in Nederland. Op 2 augustus 2026 worden de verplichtingen voor hoog-risico AI-systemen en de transparantieverplichting van artikel 50 van kracht. Minder dan zes weken resten er.

Voor hogescholen, universiteiten en mbo-instellingen — of het nu gaat om een HBO-V-opleiding, een technische universiteit of een grote bekostigde instelling — geldt dat de vraag niet langer is óf de AI-verordening van toepassing is. Zodra een instelling een chatbot, een selectietool voor aanmeldingen via Studielink, of een algoritme dat studenten adviseert over hun studieroute inzet, is zij een deployer in de zin van artikel 3 van de verordening, met eigen verplichtingen op grond van artikel 26.

Een belangrijk punt over de planning: het omnibus-amendement van april-mei 2026 heeft Bijlage III uitgesteld tot 2 december 2027 voor bepaalde hoog-risico systemen die niet als kritisch worden beschouwd. De transparantieverplichtingen van artikel 50 voor AI-chatbots gelden echter op 2 augustus 2026, zonder uitstel. Deze gids geeft uitleg per risicoprofiel. Voor een overzicht van de risicoklassificatie onder de AI-verordening, raadpleeg ons gids over AI-risicoklassificatie voor onderwijsinstellingen.

Welke documenten zijn verplicht per type AI-systeem?

Informatie- en aanmeldingschatbot — beperkt risico (art. 50)

Chatbots die vragen beantwoorden van aankomende studenten over opleidingen, toelatingseisen, collegegeld of inschrijfdeadlines vallen onder het beperkte risico. De enige specifieke verplichting onder de AI-verordening is transparantie op grond van artikel 50: de gebruiker moet weten dat hij met een AI-systeem communiceert.

Verplichte documenten voor een chatbot met beperkt risico:

1. AI-identificatiemelding (verplicht vóór 2 augustus 2026) Een duidelijk zichtbaar bericht bij het openen van het chatvenster, dat aangeeft dat het om een AI-systeem gaat. Voorbeeld: "Ik ben de AI-assistent van [Naam instelling]. Wilt u met een medewerker spreken? Klik hier." Dit bericht moet zijn vastgelegd in de interne documentatie én zichtbaar zijn in de interface.

2. Actualisering van de privacyverklaring De privacyverklaring moet melding maken van het gebruik van een AI-chatbot, de verzamelde gegevens (gespreksgeschiedenis, eventueel IP-adres), de rechtsgrondslag op grond van de AVG, en de rechten van betrokkenen. De Autoriteit Persoonsgegevens (AP) heeft aangegeven AI-toepassingen nauwlettend te volgen.

3. Bijgewerkt verwerkingsregister Elke verwerking van persoonsgegevens in het kader van de chatbot moet worden opgenomen in het register van verwerkingsactiviteiten (art. 30 AVG). Controleer samen met uw FG of DPO of de verwerking correct is gedocumenteerd.

4. Verwerkersovereenkomst met de leverancier De chatbotleverancier verwerkt gegevens namens uw instelling. Een verwerkersovereenkomst conform artikel 28 AVG is verplicht. Dit document moet tevens de verplichtingen van de leverancier op grond van de AI-verordening specificeren.

72% van de vragen aan schoolchatbots zijn eenvoudige FAQ-vragen die geautomatiseerd kunnen worden (Bron: analyse van 12.000 Skolbot-gesprekken, 2025-2026). Voor dit meest voorkomende gebruik zijn de documentatieverplichtingen licht en proportioneel.

Selectietools en scoringsalgoritmen voor aanmeldingen — hoog risico (Bijlage III)

Als uw instelling een AI-tool gebruikt die een score, rangschikking of aanbeveling produceert die een rol speelt bij de toelating tot een opleiding — of dit nu via Studielink-data of eigen algoritmen verloopt — valt dit systeem onder Bijlage III, punt 3a van de AI-verordening: systemen die worden gebruikt om de toegang tot of toelating tot onderwijs te bepalen.

Verplichte documenten voor hoog-risico systemen (Bijlage IV AI-verordening):

1. Technische documentatie (Bijlage IV) De leverancier moet u technische documentatie verstrekken over: de algemene beschrijving van het systeem, de gebruikte trainingsdata, de maatregelen voor risicobeheer, de prestaties van het systeem en de validatiecijfers, en de geïdentificeerde vooroordelen met bijbehorende mitigatiemaatregelen.

2. EU-conformiteitsverklaring Vraag uw leverancier om de EU-conformiteitsverklaring, waaruit blijkt dat het systeem voldoet aan de vereisten van de AI-verordening. Een leverancier die dit document niet kan overleggen, is een ernstig waarschuwingsteken.

3. Gedocumenteerde procedure voor menselijk toezicht Artikel 26 §2 verplicht de deployer ervoor te zorgen dat er effectief menselijk toezicht is. Documenteer het proces: wie valideert de door het systeem gegenereerde scores? Op basis van welke criteria kan het systeem worden genegeerd of aangevochten? Wat is de procedure als een student de beslissing betwist?

4. Beleid voor logbeheer De door het systeem gegenereerde logbestanden moeten worden bewaard. Stel een beleid op met de bewaartermijn (praktische aanbeveling: minimaal 12 maanden), de opslaglocatie en de toegangsvoorwaarden.

5. Informatie aan beoordeelde studenten Studenten wier dossier door een hoog-risico systeem wordt verwerkt, moeten hiervan op de hoogte worden gesteld (art. 26 §6). Deze informatie kan worden opgenomen in de toelatingsvoor­waarden, mits duidelijk geformuleerd.

Een AI-chatbot reageert in 3 seconden, 24 uur per dag — tegenover 72 uur voor een contactformulier (Bron: Skolbot-audit 2025, 80 instellingen). Dit operationele voordeel mag niet worden tenietgedaan door een vermijdbaar nalevingstekort. De update van de interface om de chatbot als AI-systeem te identificeren is een lichte technische ingreep — doorgaans 1 tot 3 werkdagen.

Overzichtstabel: welke documenten voor welk systeem

Aansluiting bij de AVG en NVAO-accreditatie

De AI-verordening vervangt de AVG niet. Beide kaders gelden gelijktijdig, en voor Nederlandse hogescholen en universiteiten is ook de NVAO (Nederlands-Vlaamse Accreditatieorganisatie) relevant: de kwaliteitsborging van instellingen omvat steeds meer aspecten van digitale governance.

Data Protection Impact Assessment (DPIA) voor hoog-risico verwerkingen. Als uw scoringtool of proctoring-systeem nog geen DPIA heeft ondergaan op grond van artikel 35 AVG, is dat nu noodzakelijk. De AI-verordening en de AVG convergeren op dit punt: verwerkingen met een hoog risico voor de rechten van betrokkenen vereisen een voorafgaande gedocumenteerde beoordeling. De Autoriteit Persoonsgegevens (AP) heeft leidraden gepubliceerd over DPIA's die als referentie gelden.

Rechten van studenten en aanmelders. Artikel 22 AVG over geautomatiseerde besluitvorming sluit direct aan bij artikel 26 AI-verordening over menselijk toezicht. Als uw aanmeldingsproces een geautomatiseerde beslissing bevat, hebben aanmelders het recht om uitleg te vragen en menselijke herziening te verzoeken. Deze procedure moet zijn gedocumenteerd en daadwerkelijk werken.

Voor een volledig overzicht van AVG-verplichtingen rondom studentgegevens, raadpleeg onze gids AVG studentgegevens. Voor de keuze van een AVG-conforme chatbotleverancier, zie ons artikel over AVG-conforme chatbotleveranciers voor scholen.

Actieplan voor zes weken

Week 1: inventarisatie van alle AI-systemen in gebruik Maak een lijst van alle AI-systemen die worden ingezet: chatbot, CRM met geautomatiseerde aanbevelingen, plagiaatdetectietool, contentgenerator, HR-tools als het gaat om studenten of aanmelders. Neem ook de tools van dienstverleners mee die gegevens namens uw instelling verwerken.

Week 2: risicoklassificatie per systeem Bepaal voor elk systeem het risiconiveau aan de hand van de Bijlagen I en III van de verordening. Neem bij twijfel contact op met de leverancier voor een gedocumenteerde eigen classificatie.

Weken 3-4: naleving chatbot (beperkt risico) De update van de interface en de privacyverklaring voor een informatiechatbot is de snelste interventie — doorgaans 1 tot 3 werkdagen.

Weken 5-6: documentatie leveranciers en verwerkersovereenkomsten Neem contact op met elke leverancier voor technische documentatie, conformiteitsverklaring en verwerkersovereenkomst. Begin voor hoog-risico systemen met het documenteren van de procedure voor menselijk toezicht en het logbeleid.

Veelgestelde vragen

Geldt de AI-verordening direct voor Nederlandse hogescholen en universiteiten?

Ja. De AI-verordening is een Europese verordening die rechtstreeks van toepassing is in alle lidstaten, waaronder Nederland. Geen nationale omzetting is vereist. Hogescholen, universiteiten en mbo-instellingen die AI-systemen inzetten, zijn onderworpen aan de verplichtingen van deployers zoals gedefinieerd in artikel 26 van de verordening.

Is de AP de bevoegde autoriteit voor de AI-verordening in Nederland?

De Autoriteit Persoonsgegevens (AP) is de nationale toezichthouder voor gegevensbescherming (op grond van de AVG) en speelt een rol in de nationale governance van de AI-verordening, met name voor aspecten die verband houden met grondrechten en gegevensbescherming. De AP heeft al aangegeven AI-toepassingen in het onderwijs nauwlettend te volgen.

Wat zijn de sancties bij niet-naleving op 2 augustus 2026?

De sancties onder de AI-verordening kunnen oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet voor schendingen van verplichtingen voor hoog-risico systemen, en tot 7,5 miljoen euro of 1,5% voor schendingen van de transparantieverplichting (art. 50). Naast boetes is het reputatierisico aanzienlijk voor instellingen die NVAO-geaccrediteerd zijn.

Moeten wij aanmelders informeren over het gebruik van een AI-chatbot op onze website?

Ja, vanaf 2 augustus 2026. Artikel 50 verplicht een duidelijke identificatie van de chatbot als AI-systeem. Een zichtbaar bericht bij het openen van de interface — bijvoorbeeld wanneer een aankomende student een vraag stelt over toelatingseisen of Studielink-procedure — volstaat, op voorwaarde dat het leesbaar en niet verborgen is.

Onze instelling heeft minder dan 250 medewerkers. Gelden er vereenvoudigde vereisten?

Ja. De AI-verordening voorziet in specifieke bepalingen voor kmo's en micro-ondernemingen (instellingen met minder dan 250 personen). De verplichtingen voor technische documentatie zijn vereenvoudigd. Dit ontslaat de instelling echter niet van de transparantieverplichtingen (art. 50) of van menselijk toezicht voor hoog-risico systemen.

Dit artikel heeft een algemeen informatieve strekking en vormt geen juridisch advies. Raadpleeg een juridisch expert op het gebied van gegevensbescherming of uw functionaris voor gegevensbescherming (FG/DPO) voor beslissingen over uw specifieke verplichtingen.