Steeds meer organisaties gebruiken kunstmatige intelligentie binnen hun processen, software en dienstverlening. Daardoor krijgt de EU AI Act steeds meer invloed op bedrijven, ontwikkelaars en AI-gebruikers in Europa. Deze nieuwe Europese wet introduceert regels voor het ontwikkelen, aanbieden en gebruiken van AI-systemen.
In deze blogpost leg ik uit wat de EU AI Act betekent voor organisaties en AI-gebruikers in Nederland. Je leert hoe AI-systemen worden ingedeeld op risico, welke verplichtingen daarbij horen en hoe deze regels zich verhouden tot privacywetgeving zoals de AVG. Ook ga ik in op open source-projecten, toezicht in Nederland en praktische stappen om je nu al voor te bereiden.
De AI-verordening treedt stapsgewijs in werking. Verboden AI-praktijken en de verplichting tot AI-geletterdheid gelden sinds 2 februari 2025. De regels voor aanbieders van general-purpose AI-modellen gelden sinds 2 augustus 2025. Het grootste deel van de verordening, waaronder de transparantieverplichtingen van artikel 50, geldt vanaf 2 augustus 2026. Door de in 2026 aangenomen Digital Omnibus zijn de regels voor zelfstandige hoogrisico-AI uitgesteld tot uiterlijk 2 december 2027 en voor hoogrisico-AI in gereguleerde producten tot 2 augustus 2028. Bron: Europese Commissie.
Risicoklassen: van verboden tot minimaal risico
De EU AI Act hanteert een risicogebaseerde aanpak. Dat betekent dat AI-systemen in categorieën worden ingedeeld op basis van het potentiële risico voor mensen of de samenleving. Hoe hoger het risico, hoe strenger de regels. In totaal zijn er vier hoofdklassen: verboden AI, hoog risico AI, beperkt risico AI en minimaal risico AI. Hieronder licht ik iedere categorie toe.
Verboden AI (onaanvaardbaar risico)
Sommige toepassingen van AI zijn zó risicovol voor onze rechten of veiligheid dat ze helemaal niet zijn toegestaan onder de AI Act. Dit zijn systemen met een “onaanvaardbaar risico”. Denk bijvoorbeeld aan AI die mensen stiekem manipuleert of misleidt in hun gedrag, of systemen die aan sociale scoring doen (mensen rangschikken op basis van gedrag of kenmerken zoals in een puntensysteem). Ook realtime gezichtsherkenning in de openbare ruimte door de politie is in principe verboden, tenzij er een streng juridisch kader is dat specifieke uitzonderingen toestaat. Zo’n kader moet duidelijke waarborgen bieden, zoals voorafgaande toestemming van een rechter en het beperken van het gebruik tot ernstige misdrijven. In Nederland bestaat zo’n juridisch kader op dit moment (november 2025) nog niet. Verder mag AI niet worden gebruikt om emoties van mensen te herkennen op werk of op school, en is het verboden om AI in te zetten die iemands kansen op crimineel gedrag voorspelt puur op basis van profiel of persoonlijkheid. Deze vormen van AI worden gezien als te ingrijpend en in strijd met Europese waarden, en zijn daarom verboden in de EU.
Hoog risico AI
De tweede categorie is hoog risico AI. Dit zijn AI-systemen die wel zijn toegestaan, maar onder strikte voorwaarden. Het gaat om toepassingen die een grote impact kunnen hebben op iemands leven, veiligheid of grondrechten. Voorbeelden zijn AI in kritieke sectoren of beslissingen: een algoritme dat gebruikt wordt bij medische diagnoses, in de auto als veiligheidsfunctie, bij het beoordelen van krediet of hypotheken, bij personeelswerving (zoals automatische selectie van sollicitanten), of bij examens en diploma-uitreiking. Ook AI voor handhaving en migratie (bijv. gezichtsherkenning om verdachte personen op te sporen, of systemen die asielaanvragen beoordelen) vallen hieronder. Bij deze systemen is het risico aanwezig dat er iets misgaat met mogelijk ernstige gevolgen. Daarom stelt de AI Act hier een reeks verplichtingen aan om ervoor te zorgen dat ze veilig, eerlijk en transparant werken.
Beperkt risico AI (transparantieplicht)
Voor bepaalde AI-systemen gelden vanaf 2 augustus 2026 transparantieverplichtingen. Een systeem dat rechtstreeks met mensen communiceert, zoals een chatbot, moet in beginsel duidelijk maken dat sprake is van AI, tenzij dat uit de context al evident is. Bij emotieherkenning en biometrische categorisering moeten betrokkenen eveneens worden geïnformeerd. Aanbieders van systemen die synthetische audio, beelden, video of tekst genereren, moeten de output technisch herkenbaar maken als AI-gegenereerd of gemanipuleerd. Voor deepfakes en bepaalde AI-gegenereerde teksten over onderwerpen van algemeen belang geldt daarnaast een openbaarmakingsplicht voor degene die de content publiceert, met uitzonderingen, bijvoorbeeld wanneer redactionele controle en menselijke verantwoordelijkheid aanwezig zijn. Niet iedere AI-tekst of afbeelding hoeft dus automatisch een zichtbaar label te krijgen. Bron: artikel 50 van de AI-verordening.
Minimaal risico AI
De laatste categorie omvat eigenlijk alle overige AI-toepassingen die weinig tot geen risico met zich meebrengen. Dit kun je zien als de “minimaal risico” klasse. Denk aan alledaagse AI zoals spamfilters, aanbevelingssystemen voor producten, of AI die de efficiëntie van energienetwerken of logistiek verbetert. Voor dit soort AI-systemen stelt de AI Act geen extra eisen. Je mag ze dus gewoon ontwikkelen en gebruiken zoals je al deed, mits je natuurlijk voldoet aan andere algemene wetten. De gedachte is: ga vooral door met innoveren waar weinig gevaar is, de wet wil geen onnodige barrières opwerpen. Wel geldt er één algemene verantwoordelijkheid voor alle AI-gebruikers: zorg dat je team voldoende begrijpt hoe de AI werkt en welke beperkingen die heeft. Met andere woorden, zorg voor een basisniveau van AI-kennis binnen je organisatie zodat je de technologie verstandig inzet. Artikel 4 van de AI Act benadrukt namelijk “AI-geletterdheid”: organisaties moeten mensen opleiden om met AI om te gaan. Verder kun je als ontwikkelaar vrijwillig codes of gedrag of beste praktijken volgen om ook bij minimale risico-toepassingen kwaliteit te borgen, maar dit is niet verplicht.
Generatieve AI en general-purpose modellen
Voor general-purpose AI-modellen, zoals grote taalmodellen, gelden aparte regels voor de aanbieder van het model. Sinds 2 augustus 2025 moeten aanbieders van nieuwe modellen onder meer technische documentatie bijhouden, relevante informatie leveren aan partijen die het model in hun eigen AI-systeem verwerken, een beleid voeren om het Europese auteursrecht te respecteren en een voldoende gedetailleerde samenvatting publiceren van de gebruikte trainingsinhoud. Voor modellen met een systemisch risico gelden aanvullende verplichtingen, zoals evaluaties, incidentrapportage en maatregelen voor cyberveiligheid. Modellen die al vóór 2 augustus 2025 op de markt waren, moeten uiterlijk 2 augustus 2027 voldoen. De Europese gedragscode voor GPAI is een vrijwillig hulpmiddel om naleving aan te tonen, geen vervanging van de wet. Bron: Europese Commissie, richtsnoeren voor GPAI-aanbieders.
Verplichtingen bij hoog risico AI
Stel jouw AI-systeem valt in de categorie hoog risico. Wat betekent dat concreet voor jou als organisatie of aanbieder? De AI Act vereist in dat geval een reeks aan maatregelen en documentatie om de veiligheid en betrouwbaarheid te garanderen voordat je het systeem op de markt brengt of in gebruik neemt. Enkele belangrijke verplichtingen op een rijtje:
- Risicomanagement en beoordeling: Je moet een proces opzetten om de risico’s van je AI-systeem in kaart te brengen en te beheersen. Dat lijkt op een risico-analyse of impact assessment. Je kijkt bijvoorbeeld naar mogelijke verkeerde beslissingen van de AI en wat de gevolgen zouden zijn, en neemt maatregelen om die risico’s te verkleinen.
- Data- en algoritmekwaliteit: Je moet zorgen voor goede kwaliteit van de data waarmee je AI traint en valideert. Bijvoorbeeld controleren op bias (vooringenomenheid) in de data zodat je AI geen discriminatie veroorzaakt. Ook moet je AI-model voldoende nauwkeurig, robuust en veilig zijn in zijn prestaties. Dit betekent testen, monitoren en waarborgen dat het systeem onder verschillende omstandigheden betrouwbaar blijft werken en niet te gemakkelijk faalt of gemanipuleerd kan worden.
- Technische documentatie: Als organisatie ben je verplicht een uitgebreide technische documentatie bij te houden van het AI-systeem. Hierin beschrijf je onder andere hoe het model is ontworpen, welke data is gebruikt, hoe het algoritme werkt, de resultaten van je tests, enzovoort. Dit dossier moet zo opgesteld zijn dat toezichthouders of afnemers kunnen begrijpen wat het systeem doet en of het aan de wet voldoet.
- Menselijk toezicht: Bij hoog risico AI moet er altijd een mogelijkheid zijn voor human oversight, mensen moeten de uitkomsten kunnen controleren en indien nodig kunnen ingrijpen of besluiten negeren. Met andere woorden, je AI mag niet volledig op de automatische piloot kritieke beslissingen nemen zonder dat een mens het overzicht behoudt. Als organisatie bouw je dus mechanismen in zodat gebruikers invloed kunnen uitoefenen of tenminste de resultaten goed kunnen uitleggen en controleren.
- Transparantie en uitlegbaarheid: Hoewel het bij hoog risico systemen vaak om complexe algoritmes gaat, moet je ernaar streven dat de werking uitlegbaar is aan degene die het implementeert of gebruikt. De AI Act verlangt dat de output van het systeem begrijpelijk is voor de gebruiker. Dit betekent bijvoorbeeld dat je ervoor zorgt dat er geen totale “black box” ontstaat, documenteer hoe beslissingen tot stand komen of geef het systeem functies die verklaring kunnen geven voor een bepaalde output. Zo kunnen afnemers of auditors beoordelen of de AI eerlijk en juist functioneert.
- Logboek en monitoring: Veel hoog risico AI-systemen moeten een soort logboek bijhouden van hun activiteiten (denk aan welke beslissingen zijn genomen, op basis waarvan). Dit helpt achteraf om te analyseren wat er gebeurde als er iets misgaat. Als organisatie moet je zorgen dat het systeem zulke logs kan genereren en opslaan.
- Conformiteitsbeoordeling (AI-keuring): Voor je een hoog risico AI-systeem op de Europese markt brengt, moet het een conformiteitsbeoordeling doorlopen, een soort keuring om te controleren of het systeem aan alle bovengenoemde eisen voldoet. Vaak zul je dit als aanbieder zelf doen aan de hand van gestandaardiseerde procedures of normen. In sommige gevallen moet een externe instantie meekijken (vergelijkbaar met hoe een keuringsinstituut nu bij bepaalde medische apparatuur moet certificeren). Als alles in orde is, stel je een EU-conformiteitsverklaring op waarin je verklaart dat het AI-systeem aan de AI Act voldoet.
- CE-markering en register: Net als bij andere veiligheidsregels moeten bepaalde AI-systemen voorzien worden van een CE-markering. Dit kenmerk (het bekende CE-logo) geeft aan dat jouw product voldoet aan de Europese eisen. Voor AI betekent dit na 2026 dat hoog risico AI-systemen ook de CE-markering dragen zodra ze aan alle verplichtingen voldoen. Bovendien komt er een Europees register van hoog risico AI-systemen. Als aanbieder moet je je AI-systeem aanmelden in die database, zodat er centraal overzicht is van welke hoogwaardige AI-toepassingen actief zijn.
Zoals je merkt zijn dit forse verplichtingen. Het doel is dat voordat een kritieke AI wordt losgelaten op gebruikers, hij grondig is getest, gedocumenteerd en geborgd. Dit vraagt extra werk van organisaties, zeker vergeleken met de relatief ongereguleerde AI-omgeving van voorheen. Ook voor organisaties die zo’n systeem afnemen of gebruiken (de “deployer”) gelden verplichtingen: zij moeten de AI toepassen zoals de aanbieder het bedoeld heeft, de gebruiksinstructies volgen en hun personeel goed trainen in het werken met het systeem. Je kunt dus als maker verwachten dat klanten gaan vragen naar jouw documentatie en garanties, omdat zíj er ook op aangesproken kunnen worden als ze een hoog risico AI verkeerd gebruiken. Samen komt het neer op een keten van verantwoordelijkheid: van bouw tot inzet moet hoog risico AI scherp in de gaten gehouden worden.
De AI Act en de AVG: wat is het verschil?
Je vraagt je misschien af: we hebben toch al de AVG (privacywetgeving) die regels stelt aan data en algoritmes, waarom dan nog de AI Act? Het is belangrijk te begrijpen dat de AI Act en de AVG verschillende doelen hebben, maar elkaar aanvullen.
De AVG (Algemene Verordening Gegevensbescherming) gaat over de bescherming van persoonsgegevens. Die wet regelt bijvoorbeeld dat je niet zomaar iemands persoonlijke gegevens mag gebruiken zonder grondslag, en dat je mensen privacyrechten moet geven (inzage, correctie, etc.). In de context van AI betekent dit dat als jouw AI-systeem persoonsgegevens verwerkt (bijvoorbeeld gezichten herkent of gebruikersdata analyseert), je nog steeds aan alle AVG-eisen moet voldoen. Denk aan het hebben van een geldige reden om die data te gebruiken, minimale data verzamelen, goed beveiligen, en wellicht een Data Protection Impact Assessment (DPIA) uitvoeren als er hoge privacyrisico’s zijn.
De EU AI Act richt zich daarentegen op het functioneren en het gebruik van de AI zelf, los van of er persoonsgegevens in zitten of niet. De AI Act wil ervoor zorgen dat AI-systemen veilig zijn, geen discriminatie veroorzaken, transparant werken en onze fundamentele rechten respecteren. Zo gelden de regels van de AI Act ook voor AI die helemaal geen persoonsgegevens gebruikt (bijvoorbeeld een AI die op basis van anonieme sensorgegevens beslissingen neemt in een fabriek kan tóch hoog risico zijn als bij een fout mensenlevens in gevaar komen).
In de praktijk zullen de AVG en AI Act dus naast elkaar van toepassing zijn op veel AI-projecten. Heb je bijvoorbeeld een algoritme dat sollicitanten beoordeelt: dat valt onder hoog risico AI (AI Act) én het verwerkt persoonlijke gegevens van kandidaten (AVG). Je moet dan beide wetten naleven. Dat betekent bijvoorbeeld zowel een DPIA uitvoeren voor privacy, als een AI-risicobeoordeling/conformiteitstoets doen voor de AI Act. Ook zul je transparant moeten zijn op twee fronten: naar de toezichthouder/gebruikers over hoe de AI werkt én naar de betrokken personen over wat je met hun gegevens doet.
Het goede nieuws is dat de doelen van beide wetten overlap hebben: transparantie, eerlijkheid, verantwoordelijkheid. Als je nu al gewend bent om onder de AVG zorgvuldig met data om te gaan, heb je qua mindset een stapje voor. Zo eist de AVG “privacy by design”, en de AI Act verlangt iets soortgelijks: denk vanaf het ontwerp na over veiligheid en ethiek by design.
In Nederland ziet de Autoriteit Persoonsgegevens (AP) toe op de AVG én krijgt zij een rol bij AI-toezicht. Je kunt dus verwachten dat er duidelijke richtlijnen komen over hoe je beide kaders in samenhang kunt naleven. Het komt erop neer dat de AVG vooral kijkt “Mag ik deze data gebruiken en hoe bescherm ik de privacy?” en de AI Act vraagt “Werkt mijn AI op een verantwoorde manier en heb ik de risico’s in de hand?”. Beide vragen moet je straks met “ja” kunnen beantwoorden voordat je een AI-systeem volledig kunt vrijgeven.
Open source en kleinere organisaties
Veel AI-innovatie komt vanuit de open-source gemeenschap en start-ups. Maar hoe zit het met de nieuwe regels voor partijen zonder een leger aan juristen? De AI Act erkent het belang van open source en maakt op sommige punten uitzonderingen. Zo vallen AI-systemen die onder een vrije en open-source licentie worden uitgebracht, in principe buiten bepaalde verplichtingen, zolang ze niet commercieel worden aangeboden of geïntegreerd in een toepassing.
Zodra een open source-model wordt ingebouwd in een product, dienst of platform dat op de markt komt, gelden de regels alsnog. Ook non-profitorganisaties kunnen verplichtingen krijgen, bijvoorbeeld bij gebruik van AI in een hoog-risicocategorie. Open source is dus geen vrijbrief, het hangt af van hoe en waarvoor het systeem wordt ingezet. Laat ik hier nog iets dieper op ingaan.
Als jij als individuele organisatie een machine learning model traint en het open-source publiceert op GitHub, dan gelden de AI Act-verplichtingen in principe niet direct voor jou. Je hoeft niet zelf dat hele CE-keurtraject te doorlopen puur om je code online te zetten. Deze vrijstelling is bedoeld om innovatie en samenwerking niet te belemmeren.
Let op: die uitzondering heeft grenzen. Zodra jouw open-source AI-systeem namelijk wordt ingezet als onderdeel van een product of dienst, kunnen de regels alsnog gaan gelden. Bijvoorbeeld: je ontwikkelt een open-source spraakherkenningsmodel. Een bedrijf pakt jouw model en bouwt er een commercieel toegangsbeveiligingssysteem mee (gezichtsherkenning bij een deur). Dat bedrijf wordt dan de aanbieder die het op de markt brengt en moet zorgen dat aan de AI Act voldaan is (en dus eventueel het model laten keuren als het hoog risico blijkt, bijvoorbeeld als het voor beveiliging wordt gebruikt). Jij als originele maker wordt in zo’n geval niet rechtstreeks beboet als er iets mis is – de verantwoordelijkheid ligt bij de partij die het daadwerkelijk deployt. Maar het is natuurlijk wel fijn als jouw open-source project netjes documentatie en geen al te gekke risico’s bevat, zodat anderen het veilig kunnen gebruiken.
Als kleine organisatie of startup krijg je op papier geen vrijstelling: de wet eist van grote én kleine spelers naleving als je AI-systemen op de markt brengt. Dit kan best spannend zijn voor startups, want de compliance-klussen (risico-analyses, documentatie) kosten tijd en geld. De EU en Nederlandse overheid beloven echter ondersteuning. Er zullen bijvoorbeeld regulatory sandboxes worden ingericht, dit zijn proefomgevingen waar je als organisatie onder begeleiding kunt experimenteren met AI en advies krijgt over de regels zonder direct bang te zijn voor sancties. Ook komen er waarschijnlijk handleidingen, templates en softwaretools beschikbaar om mkb’ers te helpen bij het voldoen aan de AI Act zonder torenhoge juristenkosten. In de AI Act zelf is opgenomen dat men open-source en kleine ondernemingen wil ontzien waar mogelijk, bijvoorbeeld door geen onnodige bureaucratie te vragen en via gedragscodes flexibiliteit te bieden.
Belangrijk om te benadrukken is de uitspraak van de minister bij de invoering: “Strenge regels waar nodig, maar géén onnodige regels voor bedrijven die laag-risico AI-systemen ontwikkelen en toepassen.” In de praktijk betekent dit dat als jij als kleine speler bezig bent met een leuke AI-app die geen hoog risico vormt, je waarschijnlijk weinig last zult hebben van deze wet. Blijf de basisprincipes volgen (wees transparant naar gebruikers, ontwerp je AI zorgvuldig) en je zit al goed. Pas wanneer je iets gaat doen dat écht in de buurt komt van die hoog risico categorie, moet je opschalen in je compliance-aanpak.
Handhaving en toezicht in Nederland
De AI Act wordt in Nederland niet door één toezichthouder voor alle toepassingen gehandhaafd. Het uitgangspunt is dat zoveel mogelijk wordt aangesloten bij bestaand sectoraal toezicht, bijvoorbeeld voor financiële diensten, medische hulpmiddelen, voertuigen en consumentenproducten. Welke toezichthouder bevoegd is, hangt daarom af van het type AI-systeem, de sector en de rol van de organisatie in de AI-keten.
In juli 2026 is de Nederlandse toezichtverdeling nog niet definitief wettelijk afgerond. In het wetsvoorstel voor de Nederlandse uitvoering krijgt de Autoriteit Persoonsgegevens de rol van coördinerende markttoezichtautoriteit en krijgt de Rijksinspectie Digitale Infrastructuur een coördinerende rol rond conformiteitsbeoordelaars. Sectorale toezichthouders behouden daarnaast taken binnen hun eigen domein. Omdat dit een wetsvoorstel betreft, kan de definitieve taakverdeling nog wijzigen tijdens de parlementaire behandeling. Bron: Rijksoverheid.
Sinds de inwerkingtreding van de AI-verordening in 2024 is de overheid bezig met het aanwijzen van toezichthouders. Inmiddels is duidelijk dat de toezichtstructuur in Nederland vorm krijgt, maar definitieve details kunnen nog volgen. Er wordt gesproken over een gecombineerde rol van de Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (voorheen Agentschap Telecom).
Op Europees niveau is het European AI Office opgericht. Deze instantie houdt toezicht op grensoverschrijdende zaken en de grote algemene AI-modellen, zoals foundation models. Voor de meeste organisaties in Nederland zal het dagelijkse contact over naleving echter verlopen via nationale toezichthouders, afhankelijk van de sector of het type AI-toepassing.
De handhaving volgt dezelfde gefaseerde invoering. Verboden AI-praktijken en AI-geletterdheid gelden sinds 2 februari 2025. GPAI-verplichtingen gelden sinds 2 augustus 2025, waarbij de Europese Commissie vanaf 2 augustus 2026 boetes kan opleggen aan GPAI-aanbieders. Het grootste deel van de overige regels, waaronder artikel 50 over transparantie, geldt vanaf 2 augustus 2026. De verplichtingen voor zelfstandige hoogrisico-AI gelden uiterlijk vanaf 2 december 2027, die voor hoogrisico-AI in gereguleerde producten vanaf 2 augustus 2028. Bron: actuele tijdlijn van de Europese Commissie.
De maximale boetes verschillen per overtreding. Voor verboden AI-praktijken kan de boete oplopen tot €35 miljoen of 7% van de wereldwijde jaaromzet. Voor schending van andere belangrijke verplichtingen geldt maximaal €15 miljoen of 3%. Voor onjuiste, onvolledige of misleidende informatie aan toezichthouders geldt maximaal €7,5 miljoen of 1%. Bij ondernemingen geldt in beginsel het hoogste van het vaste bedrag en het omzetpercentage, maar voor mkb-bedrijven het laagste. Aanbieders van GPAI-modellen kunnen afzonderlijk worden beboet tot 3% van hun wereldwijde jaaromzet. De daadwerkelijke boete moet doeltreffend, evenredig en afschrikkend zijn en hangt onder meer af van de ernst, duur en omstandigheden van de overtreding. Bron: artikelen 99 en 101 van de AI-verordening.
Organisaties hebben geen wettelijk recht op eerst een waarschuwing of een informele herstelperiode. Afhankelijk van de overtreding kunnen toezichthouders onder meer informatie opvragen, herstelmaatregelen opleggen, het aanbieden of gebruiken van een systeem beperken of verbieden en een boete opleggen. Een toezichthouder moet daarbij wel rekening houden met evenredigheid en met de concrete omstandigheden. Ga daarom niet uit van een gedoogfase, maar leg aantoonbaar vast welke AI-systemen je gebruikt, welke rol je hebt en welke maatregelen je neemt om aan de toepasselijke regels te voldoen.
Tips: hoe bereid je je voor op de AI Act?
Met al deze informatie rijst de vraag: wat kun je nu al doen om klaar te zijn voor de AI Act? Enkele praktische tips voor AI-ontwikkelaars en organisaties:
- Breng je AI-systemen in kaart: Maak een lijst van alle AI-toepassingen die je ontwikkelt, inzet of van plan bent te lanceren. Dit omvat ook machine learning modellen, algoritmes in je software of externe AI-diensten die je gebruikt. Je kunt alleen actie ondernemen op wat je weet, dus begin met volledig overzicht.
- Bepaal de risicoklasse: Bekijk per AI-systeem in welke risicocategorie het valt volgens de AI Act. Gebruik de hierboven genoemde klassen als leidraad. Heeft jouw AI potentieel grote invloed op iemands rechten of veiligheid (denk aan gezondheid, financiën, juridische status)? Dan zou het hoog risico kunnen zijn. Is het iets onschuldigs als een spamfilter of een product aanbeveling? Dan is het minimaal risico. Twijfel je ergens over, ga dan vooralsnog uit van een hogere categorie om veilig te spelen.
- Check op verboden toepassingen: Zorg dat je geen AI toepast die onder de verboden gevallen valt. Dit lijkt voor de hand te liggen, maar controleer bijvoorbeeld of je software niet ergens stiekem een element van sociale scoring of ongeoorloofde gedragsbeïnvloeding bevat. Beter nu identificeren en aanpassen dan straks moeten stoppen onder tijdsdruk.
- Voorbereiden op hoog risico eisen: Als je AI-systemen hebt geïdentificeerd die (mogelijk) hoog risico zijn, begin dan op tijd met het treffen van de vereiste maatregelen. Stel een rudimentair risicomanagementplan op: wat zijn de risico’s van jouw AI en hoe ga je die adresseren? Start met het verzamelen van documentatie over je model: welke data gebruik je, hoe heb je getraind, welke resultaten behaal je in tests? Probeer ook nu alvast menselijk toezicht in te bouwen en check of je model in duidelijke taal uitgelegd kan worden. Je kunt dit stapsgewijs doen, maar begin ruim voor 2026 zodat je niet alles op het laatste moment moet regelen.
- Implementeer transparantievoorzieningen: Kijk of je systemen hebt die onder de beperkt risico transparantieplicht vallen (chatbots, generatieve AI-output, etc.). Zo ja, voeg dan nu alvast de meldingen toe. Bijvoorbeeld: plaats een notificatie in je chatinterface dat het een AI is, of watermerk AI-gegenereerde afbeeldingen als zodanig. Dit zijn relatief kleine ingrepen die je direct laten voldoen aan de eenvoudige verplichtingen en het vergroot ook het vertrouwen bij gebruikers.
- Rol in de keten begrijpen: Bepaal of jij een aanbieder (provider) of alleen een gebruiker (deployer) bent van elk AI-systeem. Als aanbieder (degene die het AI-systeem ontwikkelt en levert) heb je de zwaarste verantwoordelijkheden. Als gebruiker van andermans AI hoef je vooral toe te zien op juist gebruik en scholing. Het kan ook zijn dat je beide rollen hebt (je bouwt een model en gebruikt het zelf intern). Zorg dat je per rol bekijkt wat je moet doen. Spreek ook met eventuele leveranciers: vraag of hun AI-product straks AI Act-proof is, zodat jij niet voor verrassingen komt te staan.
- Train je team en verhoog AI-kennis: Investeer in bewustwording en opleiding rondom de AI Act binnen je organisatie. Iedereen die met AI-projecten te maken heeft, van ontwikkelaars tot productmanagers, zou de basis van de wet moeten kennen. Ook is het nuttig om je data scientists te scholen in ethische AI principes en risicomanagement. Dit sluit aan bij de verplichte AI-geletterdheid: wanneer je team begrijpt waarom bepaalde dingen (bijvoorbeeld bias checks of documentatie) nodig zijn, zullen ze het ook actief toepassen.
- Volg het nieuws en guidance: Blijf op de hoogte van verdere ontwikkelingen. Er komen naar verwachting richtsnoeren, standaarden en gedragscodes vanuit de EU en Nederlandse overheid die praktisch uitleggen hoe je kunt voldoen. Abonneer je op nieuwsbrieven van toezichthouders (zoals de AP) of brancheorganisaties over AI & wetgeving. Nieuwe informatie, zoals concrete voorbeelden of tools, kan het je een stuk makkelijker maken om te voldoen.
- Maak gebruik van hulpbronnen: Schroom niet om gebruik te maken van beschikbare hulpmiddelen. Er zullen checklists, compliance-kits en misschien zelfs geaccrediteerde consultants opduiken die ervaring hebben met AI Act implementatie. Voor kleine bedrijven komen er mogelijk subsidies of programma’s om je te helpen (bijv. via RVO of Europese innovatieprojecten). Het wiel hoef je niet alleen uit te vinden – er zijn velen die hier samen doorheen moeten.
- Integreer ethiek en privacy by design: Tot slot, neem de kans om je ontwikkelproces te verbeteren. Bouw ethiek & privacy vanaf het ontwerp in. Dit betekent bijvoorbeeld: diverse data gebruiken om bias te voorkomen, kritisch kijken naar de uitkomsten van je model, gebruikers de mogelijkheid geven feedback te geven op de AI-beslissingen, enzovoort. Dit is niet alleen goed voor naleving van de wet, maar leidt vaak ook tot betere producten die gebruikers vertrouwen.
Door nu proactief aan de slag te gaan met deze stappen, zorg je dat je straks niet voor verrassingen komt te staan en kun je met een gerust hart blijven innoveren met AI.
Wanneer gaat de AI-verordening in?
De AI-verordening (EU AI Act) wordt stap voor stap ingevoerd. Niet alle regels gelden meteen, maar verspreid over meerdere jaren. Zo krijgen organisaties en ontwikkelaars de tijd om zich aan te passen. De belangrijkste mijlpalen op een rij:
2 februari 2025
- Verboden AI-systemen: Toepassingen met een onaanvaardbaar risico zijn vanaf nu verboden, zoals manipulatieve technieken of sociale scoring.
- AI-geletterdheid verplicht: Organisaties moeten zorgen dat werknemers en gebruikers voldoende kennis hebben om verantwoord met AI om te gaan.
2 augustus 2025
- GPAI-regels: Verplichtingen voor aanbieders van general-purpose AI-modellen worden van toepassing.
- Europese governance: De regels over onder meer het AI Office en de Europese toezichtstructuur gaan gelden. Dit betekent niet automatisch dat de Nederlandse toezichtwetgeving op deze datum al definitief is afgerond.
2 augustus 2026
- Grootste deel van de AI Act: Veel verplichtingen, bevoegdheden en sanctiebepalingen worden van toepassing.
- Transparantieverplichtingen: Artikel 50 gaat gelden voor onder meer chatbots, deepfakes en technisch herkenbare synthetische content.
- GPAI-handhaving: De Europese Commissie kan vanaf deze datum boetes opleggen aan aanbieders van general-purpose AI-modellen.
2 augustus en 2 december 2027
- Bestaande GPAI-modellen: Aanbieders van modellen die vóór 2 augustus 2025 op de markt waren, moeten uiterlijk op 2 augustus 2027 aan de GPAI-verplichtingen voldoen.
- Zelfstandige hoogrisico-AI: De regels voor hoogrisico-AI in onder meer biometrie, onderwijs, werk, essentiële diensten en migratie gelden uiterlijk vanaf 2 december 2027.
2 augustus 2028 en 2 augustus 2030
Hoogrisico-AI in gereguleerde producten: De regels voor AI die als veiligheidscomponent in bijvoorbeeld machines, voertuigen of medische hulpmiddelen is ingebouwd, gelden vanaf 2 augustus 2028. Voor bepaalde bestaande hoogrisico-AI-systemen van overheidsorganisaties geldt op grond van de overgangsregeling een uiterste nalevingsdatum van 2 augustus 2030. Bron: artikel 111 van de AI-verordening.
Afronding
De EU AI Act is een uitgebreid pakket aan regels, maar uiteindelijk draait het om vertrouwen in AI. Als organisatie, ontwikkelaar of AI-gebruiker in Nederland krijg je meer verantwoordelijkheid om te zorgen dat jouw AI-systemen geen schade aanrichten en open kaart spelen naar de wereld. Dat klinkt als een uitdaging, maar het biedt ook kansen: veiligere en verantwoorde AI kan rekenen op meer draagvlak en succes op de lange termijn.
Ben je als ontwikkelaar of organisatie al bezig met deze nieuwe wet? Heb je vragen of tips uit je eigen voorbereiding? Laat het ons vooral weten in de reacties hieronder. Deel je ervaringen of stel je vragen, zo helpen we elkaar om van AI iets moois te maken dat binnen de lijntjes kleurt. Uiteindelijk staan we samen aan de voorhoede van eerlijke, betrouwbare AI! Veel succes en we horen graag van je.
Bronnen en verder lezen
Deze blogpost is gebaseerd op openbare informatie van officiële instanties. Wil je zeker weten dat alles klopt of zelf verder lezen? Bekijk dan de onderstaande bronnen. Vertrouw niet alleen op deze blog, wetten veranderen en officiële documenten geven altijd de meest actuele uitleg.
- EUR-Lex, officiële tekst van de AI-verordening
- Europese Commissie, actuele tijdlijn en regelgevingskader voor AI
- Europese Commissie, richtsnoeren voor hoogrisico-AI-systemen
- Europese Commissie, richtsnoeren voor aanbieders van general-purpose AI-modellen
- Raad van de Europese Unie, tijdlijn van de AI-verordening en Digital Omnibus
- Rijksoverheid, voorstel voor het Nederlandse toezicht op de AI-verordening
- Europese Commissie, European AI Office
Disclaimer
Dit artikel is bedoeld als algemene uitleg over de EU AI Act en de mogelijke verplichtingen voor AI-ontwikkelaars en organisaties. De inhoud is vereenvoudigd geschreven om complexe regelgeving begrijpelijker te maken en vormt geen juridisch advies.
De exacte verplichtingen binnen de EU AI Act kunnen verschillen per AI-toepassing, sector, risiconiveau en rol binnen de AI-keten. Vooral bij hoogrisico-AI, biometrische systemen, persoonsgegevens of geavanceerde automatisering kunnen aanvullende eisen gelden.
Omdat onderdelen van de EU AI Act gefaseerd worden ingevoerd en richtlijnen nog verder worden uitgewerkt, is het belangrijk om officiële Europese documentatie en actuele ontwikkelingen te blijven volgen.
Wie een eenvoudigere uitleg zoekt vanuit het perspectief van ondernemers en dagelijks AI-gebruik, kan ook het artikel Wat betekent de EU AI Act voor kleine bedrijven? lezen op De Wereld van AI.
Geef een reactie