Kunstmatige Intelligentie (AI) is inmiddels niet meer uit ons leven weg te denken. De ontwikkelingen gaan razendsnel en de mogelijkheden lijken eindeloos. Er kleven echter ook een aantal risico’s aan AI. Vandaar dat de Europese Unie als onderdeel van haar digitale strategie ook een kader schept waarmee ze zorg tracht te dragen voor een gezonde ontwikkeling en een veilig gebruik van AI. Dat heeft geresulteerd in de EU AI Act. Wat de AI Act is en welke gevolgen dit heeft voor bedrijven lees je in dit artikel.
De EU AI Act is het eerste regelgevingskader voor AI
In april 2021 stelde de Europese Commissie het eerste EU-regelgevingskader voor AI voor. Dit raamwerk classificeert AI-systemen op basis van het risico dat ze vormen voor gebruikers. Hoe hoger het risico, hoe strenger de regelgeving.
Het Europees Parlement wil dat AI-systemen die in de EU worden gebruikt, veilig, transparant, traceerbaar, niet-discriminerend en milieuvriendelijk zijn. AI-systemen moeten door mensen worden beheerd en gecontroleerd om schadelijke gevolgen te voorkomen. Ook moet er een technologie-neutrale en uniforme definitie voor AI komen die op toekomstige systemen kan worden toegepast.
Inwerkingtreding
De EU AI Act is op 1 augustus 2024 in werking getreden en treedt stapsgewijs in werking. De nalevingsdeadlines zijn:
- Februari 2025: Verbod op onaanvaardbare AI-systemen en start verplichte AI-training.
- Augustus 2025: Start handhaving en boetes.
- Augustus 2026 – 2030: Verplichte naleving voor alle AI-systemen.
Risicocategorieën
Zoals we eerder al aangaven verdeelt de EU AI ACT AI-systemen in vier verschillende risiconiveaus:
- Minimaal risico – Geen regulering (bijv. spamfilters).
- Beperkt risico – Transparantie-eisen (bijv. chatbots).
- Hoog risico – Strenge regulering en toezicht (bijv. AI in de gezondheidszorg).
- Onaanvaardbaar risico – Volledig verboden toepassingen.
Hieronder gaan we iets verder in op AI systemen met een hoog risico en met een onaanvaardbaar risico.
Onaanvaardbaar risico – Verboden AI-toepassingen (Artikel 5 AI Act)
Het meest extreme voorbeeld is het niveau van onaanvaardbaar risico. Sinds 2 februari 2025 zijn AI-systemen in deze categorie officieel verboden in de EU. Bedrijven die zich hier niet aan houden, riskeren boetes tot maar liefst €35 miljoen of 7% van hun wereldwijde omzet. Verboden AI-toepassingen zijn toepassingen die zich bijvoorbeeld richten op:
- Social scoring
Deze toepassingen classificeren mensen op basis van gedrag, sociaaleconomische status of persoonlijke kenmerken. - Manipulatie van beslissingen
AI die subliminale of misleidende technieken gebruikt om menselijke keuzes te beïnvloeden. - Uitbuiting van kwetsbare groepen
AI die misbruik maakt van bijvoorbeeld leeftijd, handicap of sociaaleconomische status. - Voorspelling van crimineel gedrag
AI die probeert te voorspellen of iemand een misdaad zal plegen op basis van uiterlijk of demografische kenmerken. - Biometrische AI voor persoonlijke kenmerken
AI die via biometrische gegevens eigenschappen zoals seksuele geaardheid, politieke voorkeur of religie afleidt. - Realtime biometrische surveillance in openbare ruimtes
AI-systemen die gezichten en andere biometrische kenmerken scannen in publieke ruimtes voor wetshandhaving. - Emotieherkenning op het werk of school
Dit soort AI is verboden, tenzij strikt noodzakelijk voor medische of veiligheidsdoeleinden. - Scrapen van gezichtsherkenningsdata
AI-systemen die zonder toestemming gezichtsherkenningsgegevens verzamelen uit online beelden of beveiligingscamera’s.
Sommige uitzonderingen zijn toegestaan voor wetshandhaving, zoals het gebruik van realtime biometrische identificatie voor het opsporen van vermiste personen of het bestrijden van ernstige bedreigingen. Dit mag echter alleen onder strikte voorwaarden en met gerechtelijke goedkeuring.
Hoog-risico AI-systemen (Artikel 6 AI Act)
Het volgende niveau betreft AI-systemen die een hoog risico vormen voor veiligheid of fundamentele rechten. Deze vallen onder strikte regels. Dit zijn onder andere:
- AI-systemen in producten die onder de EU-productveiligheidswetgeving vallen (bijv. medische apparatuur, auto’s en speelgoed).
- AI-systemen in sectoren zoals infrastructuurbeheer, onderwijs, arbeidsmarkt, wetshandhaving en grensbeheer.
Alle hoog-risico AI-systemen moeten worden geregistreerd in een EU-database en regelmatig worden beoordeeld. Gebruikers kunnen klachten indienen bij nationale autoriteiten. Het ligt voor de hand dat er AI systemen zullen zijn waarvan niet helemaal of gelijk duidelijk is in welke categorie ze vallen. Als bedrijf doe je er goed aan om het zekere voor het onzekere te nemen en waar nodig advies in te winnen. De risico’s zijn immers aanzienlijk.
Transparantie-eisen voor Generatieve AI (Artikel 50 AI Act)
De AI systemen waar de meenste mensen dagelijks mee te maken hebben of gebruik van maken zijn generatieve AI-systemen. Generatieve AI-systemen, zoals ChatGPT, worden niet als hoog-risico geclassificeerd, maar moeten wel voldoen aan duidelijke transparantie-eisen. Dit houdt in dat ze:
- Duidelijk maken dat de inhoud door AI is gegenereerd.
- Voorkomen dat illegale inhoud wordt gegenereerd.
- Publiceren van samenvattingen van auteursrechtelijk beschermd trainingsmateriaal.
Voor geavanceerde GenAI-modellen gelden strengere evaluaties en meldplichten bij ernstige incidenten.
Autoriteit Persoonsgegevens
Kijkend naar de verschillende risiconiveaus van AI-systemen is ook een recent onderzoek van de Autoriteit Persoonsgegevens (AP) interessant. Hierin wordt namelijk geconcludeerd dat chatbots voor virtuele vriendschap en mentale gezondheid ongenuanceerd en schadelijk zijn. Aleid Wolfsen, voorzitter van de AP zegt hierover:
“Deze chatbots moeten duidelijk maken aan gebruikers dat ze niet met een echt persoon in gesprek zijn. Mensen moeten weten waar ze aan toe zijn, daar hebben ze recht op. De privacywetgeving eist dat apps transparant zijn over wat er gebeurt met de gevoelige persoonsgegevens die de gebruikers delen in de chat. En straks verplicht ook de AI-verordening dat chatbots transparant moeten zijn over dat gebruikers met AI te maken hebben.”
Duidelijk is dus dat dit soort chatbots vaak niet voldoen aan de nieuwe regelgeving.
De AP publiceert elk half jaar de Rapportage AI- en Algoritmerisico’s Nederland (RAN), waarin de AP een overkoepelend AI-risicobeeld schetst, ingaat op beleid- en regelgeving (zoals de AI-verordening), algoritmeregisters, algoritmekaders en de ontwikkeling van AI-standaarden. Met casuïstiek uit binnen- en buitenland belicht de AP risico’s en ontwikkelingen en biedt de AP een handreiking voor AI-geletterdheid.
Verplichte AI-training voor medewerkers (Artikel 4 AI Act)
Een ander gevolg van de EU AI Act is dat bedrijven vanaf 2 februari 2025 verplicht zijn om hun medewerkers te trainen in AI-geletterdheid. Dit houdt in dat werknemers niet alleen technische kennis moeten hebben, maar ook inzicht moeten krijgen in de ethische en maatschappelijke implicaties van AI-gebruik. De training moet worden afgestemd op:
- Het technische kennisniveau van medewerkers.
- De praktijkervaring met AI-systemen.
- De specifieke context waarin AI wordt ingezet.
- De impact op eindgebruikers en stakeholders.
Dit betekent dat bedrijven een opleidingsplan moeten ontwikkelen, de training dienen te differentiëren per functieniveau, regelmatige bijscholing moeten faciliteren en de voortgang en de resultaten moeten documenteren. Ethische richtlijnen moeten worden geïntegreerd in het opleidingsprogramma om verantwoord AI-gebruik te kunnen waarborgen.
Dit betekent een behoorlijke last op de schouders van bedrijven. Het is daarom van belang om nu al te kijken naar de mogelijke gevolgen voor jou en jouw werknemers.
Handhaving en de gevolgen voor bedrijven
Organisaties die de regels overtreden, kunnen boetes krijgen tot maar liefst €35 miljoen of 7% van hun wereldwijde omzet. Vanaf augustus 2026 worden ook civiele aansprakelijkheden van kracht als ongetrainde medewerkers schade veroorzaken door AI-gebruik.
Bedrijven moeten daarom nu al actie ondernemen om hun AI-systemen te evalueren en waar nodig aan te passen om boetes en juridische risico’s te voorkomen. Compliance met de AI Act is geen op zichzelf staande verplichting, maar werkt samen met andere EU-wetten zoals de GDPR, NIS2 en DORA. Het is daarom essentieel om niet alleen naar de EU AI Act te kijken maar juist een brede AI-compliance strategie te ontwikkelen.
Jullie profiteren nog niet van de voordelen van AI?
