Audit-pack: wat de toezichthouder écht wil zien

Een audit-pack is de praktische tegenhanger van compliance-theater. Geen 80-pagina-binder, geen procesplaten in violet, maar een gestructureerde set documenten waaruit de toezichthouder of een b2b-klant in 30 minuten kan opmaken dat je weet wat je doet en je daar verantwoordelijkheid voor neemt.

Het format dat in 2026 ingeburgerd is geraakt: een ZIP-export per AI-systeem, met een README dat wijst naar de inhoud, plus een mapje per documenttype. AuditAI levert dit out-of-the-box; je kunt het ook zelf bouwen met de checklists hieronder.

Wanneer heb je een audit-pack nodig?

• Toezichthouder-vraag: Autoriteit Persoonsgegevens (AVG-kant), Inspectie Gezondheidszorg en Jeugd (zorg-AI), DNB/AFM (financiele AI), Inspectie van het Onderwijs, Nederlandse Arbeidsinspectie, of vanaf augustus 2026 de specifieke AI-Office-toezichthouder.
• B2B-aanbesteding of contract-onderhandeling: opdrachtgevers vragen steeds vaker een 'AI Act compliance pack' als bijlage bij de DPA. Standaard onderdeel van inkoopvoorwaarden bij overheid en grote financiele dienstverleners.
• Interne audit: jaarlijks of bij grote wijzigingen — een eigen DPO of compliance-functionaris heeft 'm nodig om te checken dat alle losse onderdelen kloppen.
• Incident: bij een serious incident (art. 73 AI Act) heb je 15 dagen om te melden, met een set documenten die de inschatting onderbouwt.
• Verzekeringsdienstverlener / boekhouder: bij due-diligence-vragen is een audit-pack de snelste manier om bewijslast te leveren.

Minimum inhoud — voor elk AI-systeem (alle risicocategorieen)

Bij hoog-risico erbij — Bijlage III

1. 1.FRIA — Fundamental Rights Impact Assessment volgens art. 27. Vóór ingebruikname uitgevoerd.
2. 2.DPIA — Gegevensbeschermingseffectbeoordeling onder AVG art. 35. Vaak in één document met FRIA combineerbaar.
3. 3.Technische documentatie — Bijlage IV: trainingsdata-beschrijving, architectuur, performance-metrics, voorzienbare risico's.
4. 4.Logging-policy — wat er minimaal 6 maanden bewaard wordt: invoer, uitvoer, mens-interventies. Plus afbouwprotocol.
5. 5.Human-oversight-protocol — wie kan de AI overrulen, hoe word je gewaarschuwd, wanneer schakel je terug naar handmatig.
6. 6.Incident-response-plan — escalatie-paden bij serious incidents, met de 15-dagen-meldingsrichtlijn aan de markttoezichtautoriteit.
7. 7.Bias-test-rapport — periodieke testen op vertekening per beschermde groep, met methode + resultaten.

Vier valkuilen die ik in de praktijk zie

1. Documenten die elkaar tegenspreken

Een AI-beleid dat zegt 'klantdata mag nooit in publieke LLMs', een DPA met een Amerikaanse vendor zonder zero-data-retention, en een transparantie-statement dat zegt 'wij gebruiken AI van [naam vendor] met EU-data-residency'. Een toezichthouder leest alle drie en triggert op de mismatch. Houd je documenten in synchroon — wat in AuditAI automatisch gebeurt omdat ze allemaal uit dezelfde intake komen.

2. Plaatshouders die nooit zijn ingevuld

Een gegenereerde DPA met '[VUL IN: contactpersoon DPO]' — een toezichthouder ziet dat als bewijs dat het document nooit is afgemaakt. Run een lint-check op je documenten voor je ze ontvangt. AuditAI markeert plaatshouders met een rode highlight in de preview zodat je geen oningevulde plekken mist.

3. Bewijs van AI-geletterdheid ontbreekt

Veel organisaties hebben een AI-beleid maar geen lijst van wie het heeft gelezen + akkoord. Dat is de meest gevraagde bewijslast in 2026 — zonder dat lijstje is je hele audit-pack een schil. Borg het tijdens onboarding én bij wijzigingen.

4. Geen versionering

AI-beleid v1 uit 2024, geen v2 na de Digital Omnibus, geen log van wat er wanneer wijzigde. Een toezichthouder vraagt dan: 'hoe weet ik dat dit beleid actueel is?' Houd een versie-log bij — datum, wijziging, eigenaar. AuditAI doet dit automatisch (templateVersion-veld + generatedAt).

Hoe een toezichthouder typisch uitvraagt

Een AVG-onderzoek of AI-Act-onderzoek begint vrijwel altijd met een schriftelijk informatie-verzoek. Patroon dat je in 2025-2026 ziet bij AP-onderzoeken (zoals het Uber-besluit of de Deliveroo-uitspraak):

1. 1.Brief met vragenlijst — typisch 10-30 vragen + verzoek om documenten. Termijn: 2-4 weken voor antwoord.
2. 2.Schriftelijk verweer — jij stuurt de audit-pack + antwoorden + onderbouwing.
3. 3.Eventueel hoorgesprek — face-to-face met een toezichthouder-jurist om door te vragen op specifieke punten.
4. 4.Voornemen tot besluit — als ze iets willen sanctioneren, krijg je dat eerst als concept met de mogelijkheid om te reageren (zienswijze).
5. 5.Definitief besluit — sanctie (boete, last onder dwangsom) of seponering. Tegen-beroep mogelijk binnen 6 weken bij de bestuursrechter.

Levend audit-pack — onderhouds-ritme

• Wekelijks: AP-werkagenda + Digital-strategy-bulletin scannen. AuditAI doet dit automatisch en alert je bij relevante wijzigingen.
• Maandelijks: AI-register screenen of er nieuwe systemen zijn aangenomen die nog niet zijn ingevoerd.
• Per kwartaal: governance-check — eigenaar per systeem nog actief, documenten niet verlopen, training-certs nog geldig.
• Jaarlijks: AI-beleid herzien, DPA's hernieuwen waar contractueel verlopen, technische documentatie bijwerken.
• Bij wijziging: AI-systeem update (nieuwe vendor, andere data, andere autonomie) → herclassificeer en update alle relevante documenten in dezelfde week.