Laatst bijgewerkt: augustus 2026
Correctie (31 augustus 2026): een eerdere versie van dit artikel stelde dat de logging-/audit-trail-verplichting (artikel 12 en 19) sinds 2 augustus 2026 voor iedereen geldt. Dat klopt niet: de EU heeft met het “Digital Omnibus”-akkoord (mei/juni 2026) deze verplichting uitgesteld naar december 2027 voor de meeste hoogrisico-systemen, en ze geldt sowieso alleen voor AI-systemen die als “hoogrisico” gelden (denk aan sollicitatieselectie, kredietbeoordeling) — de meeste n8n-workflows van MKB’ers en freelancers vallen daar niet onder. Wat wél nu al geldt: transparantie over AI-gebruik (artikel 50) en voldoende “AI-geletterdheid” (artikel 4). Zie ook ons uitgebreide overzicht van wat nu wél en niet verplicht is.
Ook al is de audit-trail dus (nog) niet verplicht voor de meeste lezers: het is nog steeds goede bouwpraktijk. Het scheelt je uren debuggen, het is bewijs richting een klant, en je staat al klaar mocht je ooit wél richting een hoogrisico-toepassing groeien. Dat is precies wat we in dit artikel doen: een n8n-workflow die automatisch een audit-trail bijhoudt, zonder dat je er als ondernemer voortdurend bovenop hoeft te zitten.
Wat de AI Act concreet vraagt (in gewone taal)
Drie artikelen zijn hier relevant, en ze zijn minder eng dan ze klinken:
- Artikel 12 vraagt om automatische event-logging bij AI-systemen die als “hoog risico” gelden — simpel gezegd: bijhouden wát het systeem deed, wanneer, en met welke input/output.
- Artikel 19 stelt een bewaartermijn van minimaal 6 maanden voor die logs.
- Artikel 50 vraagt transparantie: mensen moeten kunnen weten dat ze met AI te maken hebben.
Belangrijk: artikel 12 en 19 gelden specifiek voor AI-systemen die als “hoogrisico” zijn geclassificeerd (Annex III/I) — en die verplichting is met het Digital Omnibus-akkoord uitgesteld naar december 2027 (Annex III) / augustus 2028 (Annex I). Artikel 50 (transparantie) en artikel 4 (AI-geletterdheid) zijn niet uitgesteld en gelden al wel.
Ook als jouw automatisering niet officieel “hoog risico” is, is het slim om dit gewoon standaard in te bouwen — het kost nauwelijks extra werk, en je loopt nooit achter de feiten aan als de regels verder aanscherpen.
De workflow: welke n8n-onderdelen je hiervoor gebruikt
Goed nieuws: n8n genereert al veel van de benodigde gegevens automatisch, zonder dat je zelf iets hoeft te bouwen. Dit zijn de bouwstenen:
- Execution Data node — legt automatisch structured records vast: workflow-ID, run-ID, en de input/output per stap (node). Dit is de kern van je audit-trail.
- Code node — voor custom logging: bijvoorbeeld extra bedrijfscontext toevoegen aan elk logregel (welke klant, welk proces).
- Error Trigger — vangt fouten apart op, zodat je ook kunt aantonen wát er misging en wanneer, in plaats van dat een mislukte run spoorloos verdwijnt.
Voor self-hosted n8n-installaties kun je OpenTelemetry gebruiken om deze logs naar een externe plek te exporteren (handig voor langere bewaring of eigen dashboards). Bij Enterprise-gebruik zijn er ingebouwde opties voor log streaming en het maskeren van gevoelige data in de execution-data (relevant als er persoonsgegevens doorheen lopen).
Stap voor stap: hoe zet je dit op
Begin met een bestaande workflow (bijvoorbeeld de lead-opvolgingsflow uit ons vorige artikel) en breid ‘m uit:
- Zorg dat “Save execution data” aan staat in je workflow-instellingen — dit is de basis, en staat vaak al standaard aan.
- Voeg een Code node toe direct na je belangrijkste AI-stap, die een kort logregel samenstelt: tijdstip, welk proces, en een korte samenvatting van de actie (niet de volledige gevoelige inhoud, om dataminimalisatie te respecteren).
- Zet een Error Trigger-workflow op los van je hoofdflow, zodat fouten altijd apart en zichtbaar worden vastgelegd.
- Stel in hoe lang je deze data bewaart — minimaal 6 maanden voor AI Act-doeleinden, maar niet oneindig (dataminimalisatie geldt ook hier).
- Self-hosted? Koppel OpenTelemetry als je deze logs ook buiten n8n wilt kunnen doorzoeken.
Self-hosted vs Cloud: wie is verantwoordelijk voor wat
Dit sluit aan bij het eerdere self-hosted vs Cloud-verhaal: self-hosten geeft je volledige controle over waar deze audit-logs staan — relevant als je klantdata liever niet buiten je eigen omgeving hebt. n8n Cloud neemt het beheer van je handen, inclusief eventuele enterprise-opties voor log streaming, maar dan staat de data bij n8n zelf.
👉 Geen zin om dit zelf te beheren? Start met n8n Cloud via n8n.io.
En de “AI-geletterdheid” (artikel 4) dan?
Los van de technische audit-trail vraagt de AI Act ook dat jij en eventueel je team voldoende AI-kennis hebben. Belangrijk om te weten: er is geen verplichte cursus, geen minimum aantal uren, geen certificaat nodig. Wat wél telt: bijhouden welke AI-tools je gebruikt, wie ze gebruikt, en aantoonbaar iets gedaan hebben aan kennisopbouw — zelfstudie is voldoende, als je het maar documenteert.
Veelgestelde vragen
Moet mijn bedrijf hier per se aan voldoen?
De audit-trail-verplichting (artikel 12/19) geldt specifiek voor “hoogrisico” AI-systemen en is bovendien uitgesteld naar december 2027 — de meeste MKB-automatiseringen (leadopvolging, klantenservice) vallen daar niet onder. Transparantie (artikel 50) en AI-geletterdheid (artikel 4) gelden wel voor iedereen die AI professioneel inzet, ook als MKB’er.
Is dit ingewikkeld om te bouwen?
Nee — de basis (execution data bewaren) staat vaak al aan in n8n; de uitbreiding met een Code node en Error Trigger is met visuele nodes te doen, zonder programmeerkennis.
Moet ik dit ook doen als ik self-hosted werk?
Ja, de wettelijke verplichting hangt niet af van waar je hosted — self-hosten geeft je alleen meer controle over hoe je het regelt.
Kost dit extra geld?
Niet per se — de basisfunctionaliteit zit al in n8n. Extra kosten ontstaan pas als je externe opslag (OpenTelemetry-koppeling) of enterprise-opties gebruikt.
Leave a Reply