Jij levert de modellen waarvoor de eerste AI-regelgeving is geschreven.
Voor AI-native startups die te maken krijgen met de technische verplichtingen van de EU AI Act (logboekregistratie, databeheer) naast de SOC 2- en GDPR-eisen die elke klant al stelt.
AI-startups worden vanuit twee kanten tegelijk gereguleerd. Klanten vragen om de bekende zaken: SOC 2- en GDPR-antwoorden, voordat ze data naar je modellen sturen. En als je systeem onder de hoogrisicocategorie van de EU AI Act valt, voegt de wet verplichtingen toe die technische artefacten zijn, geen beleidsdocumenten: registratie van het systeem over de hele levenscyclus, governance van de data die het heeft getraind. Beide soorten verplichtingen veranderen in pull requests, vaak in de snel veranderende pijplijncode die een AI-team wekelijks refactort.
De verplichtingen van de wet leven in je pijplijn
Wat de AI Act van een hoogrisicosysteem vraagt, lijkt op een code review-checklist: houd automatisch logboeken bij van systeemgebeurtenissen (Art. 12), beheer de data die in de training gaat (Art. 10). Deze eigenschappen slijten op dezelfde manier als testdekking: één handige verwijdering tegelijk. heygrc is gebouwd om elke wijziging te lezen tegen de kaders die je hebt geselecteerd en het artikel of de controle te citeren die het raakt, zodat het spoor dat je nodig hebt voor een conformiteitsbeoordeling niet stilletjes verdwijnt in een opruim-PR.
Het classificeert niet de risicocategorie van je systeem of voert je conformiteitsbeoordeling uit, en of de wet op jou van toepassing is, is je eigen beoordeling. Het vangt wel de diffs die de registratie aantasten, wat de SOC 2- en GDPR-lenzen ook willen.
Wijzigingen die als gewone code lezen.
Een paar van de control-relevante wijzigingen die heygrc is gebouwd om voor dit geval te markeren, elk met verwijzing naar de clausule die het raakt.
Inference logging is removed from a decision system
EU AI Act Art. 12A training pipeline adds a data source with no governance record
EU AI Act Art. 10A user-deletion job skips the vector store
GDPR Art. 17
De frameworks die hier het meest relevant zijn.
Gids: Compliancecontroles voor AI-gegenereerde code
heygrc markeert control-relevante wijzigingen en verwijst naar de clausule, zodat het probleem in de pull request kan worden opgelost. Het certificeert je niet, voert je audit niet uit en vervangt je eigen oordeel niet.