Conformiteit als ontwerpprincipe.

De EU AI Act verplicht aanbieders en gebruikers van hoog-risico AI-systemen tot een conformiteitsdossier dat een aangemelde instantie kan beoordelen. Dat dossier kun je niet retroactief samenstellen: het ontstaat tijdens de bouw, of het ontstaat niet. Voor systemen die GPT-4o, Claude 3.5 of Llama 3 inzetten op persoonsgegevens komt daar GDPR bovenop, met een DPIA die voorafgaand aan de verwerking gereed moet zijn.

Wij benaderen governance daarom niet als een aparte werkstroom, maar als een ontwerpprincipe. Iedere RAG-architectuur die wij meeontwerpen krijgt vanaf dag één een data-flow diagram, een risicoclassificatie en een logging-strategie die voldoet aan ISO 27001 en NIS2. Dat scheelt achteraf maanden remediatie en, in het slechtste geval, boetes tot zeven procent van de wereldwijde jaaromzet.

Onze klanten — voornamelijk financieel dienstverleners, zorgorganisaties en publieke uitvoerders — kiezen daarom voor een geïntegreerd traject van zes tot twaalf maanden. Aan het eind ligt er niet alleen een werkend AI-systeem, maar ook een verdedigbaar dossier dat door interne audit, DPO en externe toezichthouder wordt geaccepteerd.