Zonder register kunt u niet classificeren, niet instrueren, niet labelen en niets aantonen. Het is tegelijk het eerste document waar in een toetsing naar wordt gevraagd. Hieronder staat wat erin hoort — en hoe u vindt wat niemand heeft aangemeld.
In deze vorm niet. De AI-verordening schrijft gebruiksverantwoordelijken geen register met vaste velden voor. Het is alleen de enige werkbare manier om de plichten überhaupt te kunnen nakomen: u kunt niet inschalen wat u niet kent, en niet aantonen wat u niet hebt vastgelegd.
Bovendien loopt er een tweede lijn naartoe. Artikel 30 AVG verplicht u wél tot een verwerkingsregister. Zodra een AI-tool persoonsgegevens verwerkt — en dat doen de meeste — hoort die verwerking daar sowieso in. Een AI-register dat naar de betreffende regel in het verwerkingsregister verwijst, bespaart u het dubbele werk en maakt beide documenten geloofwaardiger.
In leveranciersvragenlijsten van grotere afnemers wordt inmiddels expliciet naar zo'n overzicht gevraagd. Dat is in de praktijk de aanleiding die het eerst binnenkomt.
Minder volstaat niet, meer wordt ervaringsgewijs niet bijgehouden.
| Veld | Waarom het nodig is |
|---|---|
| Naam en aanbieder | Identificatie en basis voor de contractcontrole |
| Gebruiksdoel | Concreet, niet "diverse taken" — het doel bepaalt de risicocategorie |
| Afdeling en verantwoordelijke | Wie kan antwoord geven als er wordt gevraagd |
| Risicocategorie mét onderbouwing | Het waardevolste veld: het bewijst dat u hebt getoetst en niet gegokt |
| Verwerkte gegevenscategorieën | Raakvlak met de AVG; verwijs door naar uw verwerkingsregister (art. 30 AVG) |
| Vrijgavestatus en -datum | Laat zien dat er een proces bestaat |
| Contractuele grondslag | Zakelijk abonnement, verwerkersovereenkomst of gratis account |
| Laatste controle | Beantwoordt de vraag "wanneer hebt u dit voor het laatst getoetst?" |
Twee velden lonen extra, zodra u ze toch aanraakt: genereert deze tool beeld, geluid of video? en zet de aanbieder een machineleesbare markering? Die twee sparen u de zoektocht wanneer u de transparantieplichten van artikel 50 langsloopt.
| Veld | Invulling |
|---|---|
| Naam / aanbieder | ChatGPT Team / OpenAI Ireland Ltd. |
| Gebruiksdoel | Concepten voor commerciële teksten en e-mails; samenvatten van openbare documenten |
| Afdeling / verantwoordelijke | Marketing / M. Jansen |
| Risicocategorie | Beperkt risico. Onderbouwing: geen toepassing uit bijlage III; geen besluitvorming over personen; output gaat altijd langs een menselijke controle vóór publicatie. |
| Gegevenscategorieën | Geen bijzondere persoonsgegevens; zakelijke contactgegevens uitgesloten per beleid, zie verwerkingsregister regel 14 |
| Vrijgave | Vrijgegeven op 3 maart 2026 door de directie |
| Contract | Teamabonnement met verwerkersovereenkomst, EU-gegevensopslag |
| Laatste controle | 1 juli 2026 |
Het lastige is niet het invullen, maar het vinden. In vrijwel elk bedrijf draaien AI-tools waar de leiding niets van weet: privé-accounts, browserextensies, AI-functies in software die er al jaren staat. Ervaringscijfer: de eerste inventarisatie brengt twee tot drie keer zoveel tools boven water als vooraf werd vermoed.
"We stellen op dit moment een overzicht samen van de AI-tools die bij ons in gebruik zijn. Alles wat nu wordt genoemd, is een bijdrage aan de oplossing en geen overtreding. Vanaf de peildatum geldt vervolgens ons vrijgaveproces."
Twee zinnen, en ze doen het werk van een audit. Wie ze weglaat en direct met het beleid begint, krijgt een register dat er netjes uitziet en niet klopt.
| Situatie | In het register? |
|---|---|
| AI-functie in software die u al jaren hebt (CRM, boekhouding, vergadertool) | Ja. De functie is nieuw, ook al is de leverancier dat niet. |
| Privé-account van een medewerker, zakelijk gebruikt | Ja — en tegelijk een aandachtspunt: zonder verwerkersovereenkomst is zakelijk gebruik doorgaans problematisch. |
| Eenmalige proef die niet is doorgezet | Ja, met einddatum. Een toetsing kan over een periode in het verleden gaan. |
| Zoekmachine met AI-samenvatting | Nee, zolang uw medewerkers er geen bedrijfsgegevens in typen. Zodra dat wel gebeurt: ja. |
Een register dat na de eerste vulling in slaap valt, is waardeloos — en in een toetsing erger dan geen register, omdat het nalatigheid documenteert.
Wordt een tool afgeschaft, verwijder de regel dan niet, maar markeer hem als beëindigd met einddatum. Een toetsing kan zich op een achterliggende periode richten.
Reken op precies deze — en bereid de antwoorden voor:
Wie alle drie rustig en met het eigen systeem erbij beantwoordt, sluit het onderwerp in een paar minuten af.
Het is geen doel op zich. Het is het document waaruit de rest volgt:
De gratis quick-check laat in twee minuten zien welke van de tien punten bij u al staan en welke niet — inclusief het register. Pas als u daarna hulp wilt bij de invulling, is het tarievenoverzicht relevant. Veel bedrijven hebben het niet nodig, en dat zeggen we liever vooraf dan achteraf.
Wettelijk is geen veldenlijst voorgeschreven. In de praktijk werken acht velden: naam, aanbieder, gebruiksdoel, verantwoordelijke, risicocategorie met onderbouwing, gegevenscategorieën, vrijgavestatus, contractuele grondslag en de datum van de laatste controle.
Ja. Zodra het zakelijk wordt gebruikt, hoort het erin — met vermelding of het om een zakelijk abonnement gaat of om een privé gratis account. Dat laatste is voor zakelijke inhoud doorgaans problematisch, omdat er geen verwerkersovereenkomst is.
AI-tools die in het bedrijf worden gebruikt zonder dat de leiding ervan weet: privé-accounts, browserextensies of AI-functies die via een update in bestaande software terecht zijn gekomen.
Het zijn twee documenten met verschillende doelen. Het verwerkingsregister van artikel 30 AVG is wettelijk verplicht en gaat over persoonsgegevens; het AI-register gaat over de tools zelf. Verwijs vanuit het AI-register naar de betreffende regel in het verwerkingsregister — dat scheelt dubbel werk en maakt beide sterker.
Bij aanleiding voor elke nieuwe tool, per kwartaal een korte doorloop en eenmaal per jaar een volledige controle inclusief risicocategorieën en contracten.
De gratis quick-check loopt tien punten langs — AI-register, trainingsstand, transparantieplichten, verantwoordelijkheden. In twee minuten, zonder aanmelding, met een eerlijk resultaat en uw concrete hiaten.
Quick-check starten — gratis