Bijlage III is de lijst die bepaalt of de zwaarste verplichtingen van de AI-verordening op jou van toepassing zijn. Acht categorieën, elk met specifieke toepassingen erin benoemd. Doet jouw systeem een van de dingen op deze lijst, dan is het vermoedelijk hoog risico - en dan is artikel 6(3) de enige weg terug naar buiten.
Binnen een gebied van bijlage III vallen is niet het einde van de analyse. Artikel 6(3) kan een systeem ook binnen een genoemd gebied uit de categorie hoog risico halen - tenzij het natuurlijke personen profileert, want dan is die uitgang absoluut gesloten. Hoe de uitzondering werkt.
De acht categorieën
| # | Gebied | Wat het omvat | Wie dit meestal treft |
|---|---|---|---|
| 1 | Biometrie | Biometrische identificatie op afstand; biometrische categorisering op basis van gevoelige of beschermde kenmerken; emotieherkenning | Identiteitsverificatie, toegangscontrole, retailanalyse |
| 2 | Kritieke infrastructuur | Veiligheidscomponenten in digitale infrastructuur, wegverkeer en de levering van water, gas, verwarming of elektriciteit | Industriële besturing, net- en verkeerssystemen |
| 3 | Onderwijs & beroepsopleiding | Toelatings- en toegangsbeslissingen; het evalueren van leerresultaten; het beoordelen van het opleidingsniveau; toezicht op verboden gedrag tijdens toetsen | EdTech, toetsplatforms, proctoring |
| 4 | Werkgelegenheid & personeelsbeheer | Werving, het adverteren van vacatures, het screenen en evalueren van kandidaten; promotie, ontslag, taaktoewijzing, prestatiemonitoring | HR-tech, ATS, workforce-analyse - details hier |
| 5 | Essentiële particuliere & publieke diensten | Recht op uitkeringen en op zorg; kredietwaardigheid en kredietscores (fraudedetectie uitgezonderd); risicoprijzing bij levens- en ziektekostenverzekeringen; triage en uitsturen bij noodoproepen | Fintech, insurtech, govtech - details hier |
| 6 | Rechtshandhaving | Risicobeoordeling van slachtoffers; instrumenten die gelijkstaan aan een leugendetector; betrouwbaarheid van bewijs; risico op delicten en recidive; profilering van natuurlijke personen | Politietechnologie, forensische tooling |
| 7 | Migratie, asiel & grenstoezicht | Instrumenten die gelijkstaan aan een leugendetector; risicobeoordeling van binnenkomende personen; ondersteuning bij het behandelen van asiel- en visumaanvragen; opsporing en identificatie van personen | Grenssystemen, tooling voor immigratiedossiers |
| 8 | Rechtspleging & democratische processen | Rechterlijke instanties ondersteunen bij het onderzoeken en uitleggen van feiten en recht; systemen bedoeld om verkiezingsuitslagen of stemgedrag te beïnvloeden | Legal tech gericht op rechtbanken, tooling voor burgers en politiek |
De categorieën 1, 6 en 7 gelden alleen voor zover het gebruik is toegestaan op grond van het toepasselijke Unierecht of nationale recht. Verschillende toepassingen die eraan grenzen zijn helemaal geen hoog risico maar ronduit verboden op grond van artikel 5 - ongericht scrapen van gezichten, sociale scoring, emotie-inferentie op de werkplek en op school. Verboden is een andere en ergere categorie dan hoog risico.
De twee vragen die de meeste gevallen beslissen
Is een natuurlijke persoon het onderwerp van de beoordeling? Dit loopt door de hele bijlage heen. Het krediet van een bedrijf scoren is geen persoon scoren. Een cv parseren is de kandidaat niet evalueren. Transacties analyseren is de klant niet scoren. Zodra de mens datgene wordt wat er beoordeeld wordt, zit je in de bijlage en is de uitgang van artikel 6(3) dicht.
Beslist het systeem, of beïnvloedt het de beslissing wezenlijk? "Het model doet alleen een aanbeveling, een mens keurt goed" is niet de verdediging die teams denken dat het is. Waar de mens de aanbeveling vrijwel elke keer volgt, is het systeem degene die beslist voor de toepassing van bijlage III.
Wat eraan vastzit als je erbinnen valt
Hoofdstuk III: een risicobeheersysteem, datagovernance, technische documentatie, logging, transparantie richting gebruiksverantwoordelijken, een ontwerp voor menselijk toezicht, nauwkeurigheid en cyberbeveiliging, kwaliteitsbeheer, conformiteitsbeoordeling, CE-markering en registratie in de EU-databank. Realistisch gezien 12 tot 18 maanden werk.
De deadline is 2 december 2027 voor systemen uit bijlage III, na het uitstel uit de omnibus van juni 2026 - augustus 2028 voor producten uit bijlage I. Wat de omnibus wel en niet verschoof.
Bijlage III kan door de Commissie bij gedelegeerde handeling worden gewijzigd. De lijst waaraan je in 2027 voldoet, is mogelijk niet dezelfde als die van vandaag. Onze changelog legt elke wijziging vast die de classificatie raakt.
Val jij binnen bijlage III?
De gratis check loopt in ongeveer twee minuten door de acht categorieën en de uitzondering van artikel 6(3) heen.
Start de gratis scanGeen kaart, geen account. Volledig gap-rapport vanaf € 59. Bekijk een echt rapport (in het Engels).
Zelfbeoordeling, geen juridisch advies. Deze pagina en het Reglynn-rapport zijn een gestructureerde zelfbeoordeling op basis van de AI-verordening (Verordening 2024/1689, zoals gewijzigd door de omnibus van juni 2026). Ze geven aan waar je waarschijnlijk staat en wat je met een gekwalificeerd adviseur moet toetsen. Reglynn is geen aangemelde instantie en geeft geen certificering af.
Hoe dit gemaakt is. Reglynn-rapporten worden gegenereerd door een AI-systeem gebouwd op Claude van Anthropic en automatisch geleverd. Reglynn is een AI-systeem met beperkt risico onder artikel 50; we maken de betrokkenheid van AI overal bekend waar die plaatsvindt, ook in onze chatassistent. Onze eigen zelfbeoordeling.