AI voor de maakindustrie — minder stilstand, kennis geborgd en antwoorden met bronvermelding

Zeer waarschijnlijk ja: vanaf 50 medewerkers of €10 miljoen omzet in chemie, voedselproductie, medische hulpmiddelen, elektronica of voertuigen val je als belangrijke of essentiële entiteit onder de Cyberbeveiligingswet — de Nederlandse NIS2-implementatie, verwacht in de loop van 2026. De NCSC-samenvatting benoemt deze sectoren expliciet. De verplichtingen: zorgplicht (tien maatregelen waaronder risk management, incident handling en supply chain security), bestuurdersaansprakelijkheid en notificatieplicht (24 uur eerste melding, 72 uur substantieel). CleverTech AI levert bij elke AI-implementatie een NIS2-register-entry met kritikaliteit, dataflow, exit-strategie en SBOM.

Herzie in 2026 je technical file: vanaf 20 januari 2027 is software die veiligheidstaken uitvoert expliciet een safety component onder de Machineverordening (EU 2023/1230). Drie voorbereidingen. (1) Gebruikt je machine AI voor noodstop, collision-avoidance of vision-based safety, dan loopt die door de hoog-risico-route van de AI Act met notified-body conformity assessment. (2) Bouw een cybersecurity-dossier op: circa 30% van de nieuwe eisen gaat over digitale bescherming — dreigingsmodel, secure-by-design-documentatie, update-mechanisme. (3) Stel een substantial-modification-beleid op: machines die na oplevering substantieel gewijzigd worden (zoals een AI-retrofit) gelden als nieuw product en moeten opnieuw door CE.

Zeer waarschijnlijk ja: onder AI Act art. 6(1) is een AI-systeem hoog-risico als het een veiligheidscomponent is van een product onder Annex I — en de Machineverordening staat in Annex I. Een lasrobot met AI-gedreven kwaliteitscontrole die actief invloed heeft op las-parameters of een noodstop triggert, valt onder die definitie. Gevolg: risicomanagement, data-governance, technische documentatie, logging, transparantie, human oversight en accuracy-eisen (art. 9-15), plus notified-body conformity assessment — voor deze Annex I-route handhaafbaar vanaf 2 augustus 2028 (verschoven door Verordening (EU) 2026/1744). Een AI-model voor batch-statistiek of productieplanning valt níet onder hoog-risico zolang het geen veiligheidsfunctie heeft; dat is de scheidslijn.

Ja: de CRA geldt voor élk product met digitale elementen op de EU-markt — dus ook voor een machine met ingebouwde PLC, een drive met parameterbare firmware of een sensor met microcontroller. Kerndata: 11 september 2026 vulnerability-rapportageplicht aan ENISA; 11 december 2027 volledige werking met security-by-design, SBOM, secure updates gedurende de support-periode (minimaal 5 jaar), conformity assessment en CE-markering. Onze aanpak: vanaf ontwerp een SBOM meenemen, een kwetsbaarheden-contactpunt (PSIRT) instellen en het update-mechanisme architectureel borgen.

We starten met een data-assessment van 2-3 weken: welke SCADA-tags, machine-logs en onderhoudshistorie zijn beschikbaar? Veel MKB-bedrijven hebben wél data, maar in silo-vorm; we mappen de ISA-95-hiërarchie en kiezen een asset-klasse met voldoende datadichtheid (typisch 6-12 maanden historie). Daarna volgt een proof-of-value van 4-6 weken — anomaly-detection met feature-attribution, gevalideerd tegen historische storingen door de onderhoudstechnicus — en een productie-deployment van 6-8 weken met drift-monitoring, retraining-kadans en MES/CMMS-integratie. Reken in het eerste jaar op een bescheiden maar meetbaar resultaat: de grote besparingspercentages uit internationale benchmark-studies gelden pas bij volwassen implementaties, niet bij een eerste asset-klasse. Vóór de proof-of-value ligt er een businesscase per use-case.

Niet met productie-IP. Een operator die een foto van een storingsscherm of een stuk PLC-code in ChatGPT plakt, of een werkvoorbereider die een klanttekening laat samenvatten, stuurt receptuur, procesparameters en klantspecificaties naar een publieke dienst die inputs kan hergebruiken voor modeltraining — een IP-lek én een mogelijke schending van geheimhoudingsclausules richting je klanten en van de NIS2-zorgplicht. Het alternatief is niet verbieden-en-niks: we richten een afgeschermde private-AI-omgeving in een EU-datacenter in, met contractueel zero data retention, gevoed met de eigen storingshistorie, werkinstructies en procesparameters — zodat de werkvloer-chatbot juist méér van je machines weet dan een publieke tool ooit kan. AI Act art. 4 vereist bovendien sinds 2 februari 2025 aantoonbare AI-geletterdheid voor iedereen die met AI werkt; die training documenteren we per rol.

Reken de businesscase vanuit machinestilstand: een uur ongeplande stilstand kost een maakbedrijf al snel duizenden euro’s aan gemiste output, spoedreparaties en leverboetes — dat uurtarief bepaalt hoeveel budget een use-case rechtvaardigt. Indicatief: visuele kwaliteitscontrole op één inspectiestation 30-80k eenmalig plus hosting; predictive maintenance op één asset-klasse 60-150k; een breder ERP/MES-geïntegreerd AI-platform 150-400k in het eerste jaar. Valt het systeem als safety component onder de Machineverordening, dan komen notified-body conformity assessment en post-market monitoring erbij: 200-500k plus jaarlijkse governance-kosten. Wij rekenen elke investering terug naar uren vermeden stilstand en OEE-punten — een lijn die van 65% naar 70% OEE groeit, verdient de investering vaak binnen het jaar terug. Smart Industry Fieldlabs verlagen de drempel met subsidie tot €3 miljoen per samenwerkingsverband (60% op minimaal €1 miljoen projectkosten).

Vier expliciete no-go-zones: autonome veiligheidsbeslissingen zonder conformity assessment, directe writeback naar de PLC-laag, werknemers-scoring en publieke LLM-tools voor IP-gevoelige data. Een vision-model dat zonder CE-keten een machine noodstopt mag pas in productie nadat de volledige route van AI Act art. 6(1) plus Machineverordening doorlopen is. OT blijft onder operator-controle: geen AI-writeback naar actuatoren zonder menselijke bevestiging. Werknemers-scoring onder het mom van productiviteitsmonitoring valt onder hoog-risico (Annex III, werkplek-management) en vereist FRIA plus OR-instemming. En technische tekeningen, recept-parameters en klantspecifieke BOMs gaan nooit naar een public-tier LLM — altijd private AI in een EU-datacenter. De grens: AI is assistent en voorstel-generator; de eindbeslissing over veiligheid, werknemers en IP blijft bij bevoegde mensen.