De Europese AI-verordening (AI Act) treedt op 2 augustus in werking in alle EU‑landen. Er is geen uitstel, maar veel bedrijfsregels volgen later in fases. Wel start meteen de opzet van toezicht door het EU AI Office en de nationale autoriteiten. Dat is relevant voor Nederlandse overheden en bedrijven die willen weten wat nu en straks verandert.
AI‑verordening treedt nu in
De AI Act is Europese wetgeving voor systemen die kunstmatige intelligentie gebruiken. De wet deelt toepassingen in op risico: van minimaal tot hoog, plus een lijst met verboden. Het doel is veilig gebruik, met duidelijke plichten voor makers en gebruikers. De verordening geldt rechtstreeks in Nederland, dus er is geen aparte nationale invoeringswet nodig.
De inwerkingtreding op 2 augustus betekent dat de juridische klok gaat lopen. De wet kent meerdere termijnen voor verschillende verplichtingen. Zo krijgen sommige sectoren en modelmakers meer tijd om zich aan te passen. Dit voorkomt dat bestaande diensten plotseling stilvallen.
Voor burgers en organisaties verandert daardoor niet alles op één dag. Verboden praktijken en zware eisen voor hoog-risico systemen komen later. Wel begint Europa direct met het opzetten van het toezicht. Daarmee wordt de basis gelegd voor handhaving in 2025 en daarna.
Eerst toezicht op poten zetten
Vanaf 2 augustus start de governance van de AI Act. De Europese Commissie opent het EU AI Office, dat richtsnoeren en toezicht op zogeheten algemene modellen coördineert. Lidstaten moeten bevoegde autoriteiten aanwijzen en een klachtenloket inrichten. Dat is nodig om straks effectief te kunnen handhaven.
In Nederland werken ministeries aan de taakverdeling tussen bestaande toezichthouders. Op het moment van schrijven is de definitieve aanwijzing nog niet gepubliceerd. Verwachte spelers zijn onder meer de Autoriteit Persoonsgegevens (privacy), de Autoriteit Consument & Markt (consumenten en concurrentie) en de Rijksinspectie Digitale Infrastructuur (digitale veiligheid). Tot die tijd blijven hun huidige bevoegdheden gelden.
Organisaties kunnen intussen vragen krijgen van toezichthouders om informatie. Denk aan uitleg over een algoritme, datastromen of beveiligingsmaatregelen. Zorg daarom dat documentatie en verantwoordelijkheden nu al op orde zijn. Dat bespaart tijd als controles beginnen.
Verboden AI pas in 2025
De harde verboden in de AI Act gaan niet meteen in. Ze gelden zes maanden na 2 augustus. Dat wordt dus begin februari 2025. Bedrijven en overheden hebben nog een paar maanden om verboden toepassingen te stoppen.
Het gaat om praktijken met onaanvaardbaar risico voor grondrechten. Voorbeelden zijn sociale scoring door overheden en het op grote schaal schrapen van gezichtsbeelden uit internet om databanken te maken. Ook emotieherkenning op school en op de werkvloer verdwijnt. Live biometrische identificatie in publieke ruimte is in principe verboden, met enkele strikte uitzonderingen voor justitie na toetsing.
Wie nu al zo’n toepassing inzet, loopt straks direct tegen handhaving aan. Stopzetten of ombouwen is dan de veilige route. Maak daarom op korte termijn een inventarisatie. Zo voorkom je dat je in februari in overtreding bent.
Regels voor algemene modellen
De AI Act bevat aparte regels voor algemene AI‑modellen, ook wel foundation models of general‑purpose AI (GPAI). Dat zijn modellen die voor veel taken gebruikt kunnen worden. Voorbeelden zijn OpenAI’s GPT‑4o, Google Gemini 1.5 en Meta’s Llama‑modellen. Deze modellen zitten vaak in chatbots en ontwikkeltools verwerkt.
Voor aanbieders van zulke modellen komen transparantie‑ en veiligheidseisen. Denk aan technische documentatie, beleid tegen misbruik en informatie over trainingsdata op hoog niveau. Voor zeer krachtige modellen met mogelijk “systeemrisico” gelden extra plichten, zoals grondige evaluaties en mitigatieplannen. Deze bepalingen gaan in de regel ongeveer een jaar na 2 augustus gelden.
Afnemers en integrators in Nederland, zoals softwarebouwers en overheden, moeten daarop voorsorteren. Vraag je leveranciers naar hun routekaart voor AI‑Act‑conformiteit. Leg in contracten vast welke informatie en updates je krijgt. Zo voorkom je later herbouw of stilstand bij audits.
Gevolgen voor Nederlandse organisaties
Voor de overheid en publieke diensten is de impact groot. Toepassingen in zorg, onderwijs, werk en kritieke infrastructuur vallen vaak in de categorie hoog risico. Dat vraagt om risicobeoordeling, datakwaliteit, menselijke controle en duidelijke documentatie. AVG‑regels blijven gelden, zoals dataminimalisatie en DPIA’s (gegevensbeschermingseffectbeoordelingen).
Bedrijven doen er goed aan een interne AI‑governance op te zetten. Begin met een register van alle gebruikte algoritmen en datamodellen. Koppel elk gebruik aan een risicoklasse en benoem een verantwoordelijke. Gebruik bestaande normen als leidraad, zoals ISO/IEC 42001 (AI‑managementsysteem) en ISO/IEC 23894 (AI‑risicomanagement).
Ook inkoop verandert. Vraag bij aanbestedingen en contracten om conformiteit met de Europese AI‑verordening en relevante NEN‑ en CEN/CENELEC‑standaarden zodra die verschijnen. Leg escalatie‑ en auditrechten vast. Zo maak je je keten stap voor stap AI‑Act‑proof.
Belangrijke data op een rij
De AI Act kent een gefaseerde invoering. Dat geeft bedrijven en overheden tijd om processen aan te passen. Het betekent ook dat je nu al moet plannen voor 2025 en verder. Onderstaande tijdlijn helpt bij prioriteren.
2 augustus 2024: AI‑verordening in werking. 2 februari 2025: verboden AI‑praktijken van kracht. Augustus 2025: kernplichten voor general‑purpose AI‑modellen. Augustus 2026: regels voor veel hoog‑risico systemen (Annex III). Augustus 2027: resterende hoog‑risicoregels voor sectorale productwetgeving (Annex II).
Maak op basis van deze mijlpalen een realistische roadmap. Begin met het uitfaseren van verboden toepassingen. Werk daarna aan documentatie en risicobeheer voor hoog‑risico gebruik. Tot slot borg je afspraken met leveranciers van algemene AI‑modellen.
De kernboodschap: de AI Act is niet uitgesteld. De wet geldt vanaf 2 augustus, en de handhaving komt in golven. Wie nu begint met ordenen, voorkomt later dure noodgrepen. Dat is goed voor compliance én voor vertrouwen bij gebruikers.