Oversight-logboek: hoe je menselijk toezicht documenteert

Bijgewerkt: juni 2026

Inleiding: het toezichtlogboek als compliance-ruggengraat

Een toezichtlogboek, de combinatie van de AI-systeemgegenereerde logs (Art. 12) en uw eigen documentatie van menselijk toezicht (Art. 26.2) en monitoring (Art. 26.5), is het primaire bewijs dat uw hoog-risico AI-systeem conform de EU AI Act wordt ingezet. Bij een audit door de toezichthouder, een incident-onderzoek of een rechtszaak is het toezichtlogboek uw eerste verdedigingslinie.

Deze gids beschrijft hoe u een effectief toezichtlogboek opbouwt dat voldoet aan de wettelijke minimumeisen en tegelijk praktisch bruikbaar is voor uw interne toezichthouders.

Benodigde voorkennis

U weet wat hoog-risico AI is en heeft of overweegt een hoog-risico AI-systeem te implementeren. U heeft de gebruiksinstructies van uw providerproviderThe actor who develops an AI system (or has it developed) and places it on the market or into service under its own name — carrying manufacturer-style duties: design controls, documentation, conformity.Open full entry → ontvangen, inclusief de beschrijving van de logging-functionaliteit die het systeem biedt (Art. 13.3).

Stap 1: begrijp de drie lagen van uw toezichtlogboek

Een volledig toezichtlogboek voor hoog-risico AI bestaat uit drie lagen die elk afzonderlijke wettelijke verplichtingen dekken:

Laag 1, Systeemlogs (Art. 12 + Art. 26.6): De automatisch door het AI-systeem gegenereerde logs. Deze registreren elk gebruik van het systeem: tijdstip, inputdata, output, gebruikersidentiteit, en gevallen van overschrijving. U bent verplicht deze logs minimaal 6 maanden te bewaren, langer bij sectorwetgeving.

Laag 2, Toezichtdocumentatie (Art. 26.2): Uw eigen registratie van het menselijk toezichtsproces. Dit omvat: welke beslissingen zijn beoordeeld, door wie, met welk resultaat (akkoord of overschrijving), en bij overschrijving: de reden. Deze laag is niet automatisch gegenereerd, u moet hem actief bijhouden.

Laag 3, Monitoringverslagen (Art. 26.5): Periodieke analyses van de prestaties van het AI-systeem. Vergelijking van prestatiemetrieken met normen, fairnessfairnessThe responsible-AI principle that systems should not create or reinforce unjust discrimination; operationalised through bias testing, representative data and per-group thresholds — with multiple, mutually incompatible mathematical definitions.Open full entry →-analyse per subgroep, signalering van drift. Frequentie: afhankelijk van het systeem, minimaal kwartaals voor hoog-volume systemen.

Stap 2: stel uw logboek-architectuur vast

Bepaal vóór implementatie hoe de drie lagen worden opgeslagen en hoe ze aan elkaar zijn gekoppeld:

Opslagvorm:

• Gestructureerde database (aanbevolen voor hoog-volume systemen): elke beslissing is een record, doorzoekbaar en exporteerbaar
• Spreadsheet/document (acceptabel voor laag-volume systemen): eenvoudiger maar minder schaalbaar
• Combinatie: systeemlogs in database, toezichtdocumentatie en monitoringverslagen in document

Integriteitsborging:

• Gebruik append-only opslag: nieuwe records worden toegevoegd, bestaande niet gewijzigd
• Timestamp alle entries automatisch
• Log de identiteit van de toezichthouder die een entry heeft aangemaakt
• Bewaar een backup in een afzonderlijk systeem

Toegangsbeheer:

• Lees-toegang: compliance officers, AI Officer, management
• Schrijf-toegang: toezichthouders (voor hun eigen entries), systeem-administrator (voor correcties met dubbele autorisatie)
• Geen schrijf-toegang voor de AI-systeemoperator zelf (voorkomt manipulatie)

Stap 3: definieer wat u vastlegt per beslissing

Voor elke individuele AI-beslissing die significante gevolgen heeft voor een betrokkene, legt u vast:

Minimale vastlegging per beslissing (Laag 1 + Laag 2):

• Uniek beslissing-ID
• Datum en tijd
• Identiteit van de betrokkene (gepseudonimiseerd conform AVG)
• Identiteit van de toezichthouder
• AI-output (de score, classificatie of aanbeveling)
• Definitieve beslissing (akkoord met AI / overschrijving)
• Bij overschrijving: reden (vrije tekst, minimaal 1 zin)
• Eventuele escalatie: ja/nee, naar wie

Aanvullende vastlegging bij hoog-impact beslissingen:

• Referentie naar de inputdata die aan het systeem is aangeboden
• Vertrouwensscore van het systeem (indien beschikbaar)
• Aanvullende informatie die de toezichthouder bij de beoordeling heeft betrokken

Stap 4: stel een monitoringprotocol op

Naast de per-beslissing vastlegging heeft u een periodiek monitoringprotocol nodig:

Wekelijkse controle (hoog-volume systemen):

• Overschrijvingspercentage deze week vs. vorige weken (trend)
• Afwijkende vertrouwensscores gesignaleerd?
• Klachten van betrokkenen ontvangen?

Maandelijkse analyse:

• Vergelijking prestatiemetrieken met provider-normen
• Fairness-analyse: zijn er demografische subgroepen die disproportioneel worden geraakt?
• Review van alle overschrijvingen: zijn er patronen?

Kwartaalverslag:

• Samenvatting van alle monitoringbevindingen
• Geïdentificeerde risico's en getroffen maatregelen
• Aanbevelingen voor de provider (indien relevant)
• Goedkeuring door de AI Officer

Stap 5: voorbereiding op een audit door de toezichthouder

Een audit door de toezichthouder naar uw hoog-risico AI-gebruik zal focussen op:

1. Bestaat het logboek? Is het volledig en integer?
2. Zijn de bewaartermijnen nageleefd?
3. Is menselijk toezicht meer dan formeel (overschrijvingspercentage >0%)?
4. Zijn monitoringbevindingen gedocumenteerd en opgevolgd?
5. Zijn incidenten tijdig gemeld (Art. 73)?

Zorg dat u bij een audit direct kunt overleggen: de systeemlogs van de afgelopen 6 maanden (exporteerbaar), het toezichtprotocol, de trainingsrecords van toezichthouders (Art. 4), en de laatste kwartaalverslagen.

Veelgestelde vragen

V: Onze toezichthouder beoordeelt 200 AI-beslissingen per dag. Moeten we alles loggen?
A: Ja, als het hoog-risico AI betreft met beslissingen die significante gevolgen hebben voor betrokkenen. Overweeg een geautomatiseerd logging-systeem dat de toezichthouder alleen acties laat registreren (akkoord/overschrijving) terwijl de rest automatisch wordt vastgelegd. 200 beslissingen per dag is ook een signaal dat de werkdruk toezichthouder-kwaliteit ondermijnt (zie Art. 26.2).

V: Hoe lang moet ik het logboek bewaren als ik het AI-systeem niet meer gebruik?
A: Bewaar het logboek minimaal tot de verjaringstermijn voor aansprakelijkheidsclaims is verstreken (5 jaar in NL) en tot eventuele toezichtsprocedures zijn afgerond. Verwijder nooit logs gedurende een lopend onderzoek door de toezichthouder.

Samenvatting

Een effectief toezichtlogboek is geen bureaucratisch last, het is het instrument dat aantoont dat u uw AI-systemen verantwoord beheert. Bouw het vanaf dag 1 van de implementatie, houd het proportioneel aan het risico van het systeem, en zorg dat de drie lagen (systeemlogs, toezichtdocumentatie, monitoringverslagen) consistent aan elkaar zijn gekoppeld.