De Europese Unie laat de AI-verordening nu echt ingaan. Vanaf begin augustus 2024 start de gefaseerde toepassing van de AI Act in alle lidstaten, waaronder Nederland. De wet moet kunstmatige intelligentie veiliger en eerlijker maken, zonder innovatie te blokkeren. Bedrijven en overheden krijgen nieuwe plichten, met grote gevolgen voor gebruik en inkoop van algoritmen.
Regelgeving start gefaseerd
De AI Act is een Europese verordening die rechtstreeks geldt in alle lidstaten. De regels gaan niet in één keer gelden, maar stap voor stap. Dit moet organisaties tijd geven om systemen, processen en contracten aan te passen.
Verboden AI-praktijken worden zes maanden na inwerkingtreding verboden. Transparantieregels voor generieke AI-modellen (GPAI) volgen na twaalf maanden. De zware verplichtingen voor hoog-risicosystemen gaan na 24 maanden gelden, dus naar verwachting in 2026.
De Europese Commissie richt het European AI Office in om de uitvoering te coördineren. Lidstaten benoemen eigen markttoezichthouders en een coördinerende autoriteit. Zo ontstaat één systeem voor toezicht, handhaving en technische richtsnoeren.
Verboden AI-praktijken vanaf 2025
Een aantal toepassingen wordt in de EU verboden omdat ze burgers te veel kunnen schaden. Het gaat om algoritmen die mensen manipuleren of kwetsbare groepen uitbuiten. Ook systemen die gedrag sturen met verborgen technieken vallen hieronder.
Social scoring door overheden wordt verboden. Biometrische categorisatie op basis van gevoelige kenmerken, zoals religie of seksuele oriëntatie, mag niet. Emotieherkenning op werk en in onderwijs wordt eveneens uitgebannen.
Ongerichte scraping van gezichten om databases te bouwen is straks niet toegestaan. Real-time gezichtsherkenning in de openbare ruimte door politie wordt in principe verboden, met zeer beperkte uitzonderingen onder strikte rechterlijke controle. Leveranciers moeten verboden functies uitschakelen of producten aanpassen om op de EU-markt te mogen blijven.
Zware plichten voor hoog risico
De wet noemt een systeem “hoog risico” als het over gevoelige beslissingen gaat, zoals toelating tot onderwijs, krediet, zorg, werk of overheidsdiensten. Ook AI als veiligheidscomponent in producten (zoals medische hulpmiddelen) valt hieronder. Deze systemen krijgen het strengste pakket aan eisen.
Leveranciers moeten een risicobeheerproces inrichten en de trainingsdata zorgvuldig beheren. Dat betekent controle op kwaliteit, representativiteit en vooroordelen. Ook zijn technische logboeken, duidelijke documentatie en robuustheidstests verplicht.
Er moet menselijk toezicht mogelijk zijn, met duidelijke grenzen en noodstops. Na een conformiteitsbeoordeling volgt CE-markering en registratie in de EU-database voor hoog-risico-AI. Gebruikers van zulke systemen (de “deployers”) moeten op hun beurt zorgvuldig implementeren, medewerkers trainen en de werking monitoren.
Transparantie voor generieke modellen
Generieke AI-modellen (GPAI) zijn modellen die voor veel doelen inzetbaar zijn. Denk aan OpenAI’s GPT-4, Google’s Gemini, Meta’s Llama 3 of Mistral Large. Aanbieders moeten technische documentatie leveren en samenvatten welke data en methoden zijn gebruikt, inclusief hoe met auteursrecht is omgegaan.
Deze transparantie helpt afnemers te begrijpen wat een model kan en niet kan. De regels gelden twaalf maanden na inwerkingtreding. Daarnaast geldt in de hele keten een plicht om deepfakes en AI-gegenereerde content herkenbaar te maken.
Voor GPAI met “systemisch risico” komen extra eisen, gemeten aan de hand van rekenkracht en impact. Dan gaat het om risicobeoordelingen, geavanceerde veiligheidstests, beveiliging en melding van incidenten aan het European AI Office. Open modelfamilies blijven mogelijk, maar transparantie en due diligence blijven verplicht zodra ze op de markt worden gebracht.
Nederlandse gevolgen voor organisaties
In Nederland wordt, op het moment van schrijven, de Autoriteit Persoonsgegevens aangewezen als coördinerende toezichthouder voor AI. Zij zal samenwerken met sectorwaakhonden, zoals in zorg en financieel toezicht. Organisaties krijgen dus met meerdere toezichthouders te maken, afhankelijk van het domein.
Voor overheden verandert inkoop en gebruik van algoritmen zichtbaar. Contracten met leveranciers moeten AI-Act-verplichtingen borgen, zoals documentatie, auditrechten en incidentmeldingen. Gemeentelijke algoritmeregisters zullen moeten aansluiten bij Europese eisen voor transparantie.
De AI Act komt boven op de AVG. Dat betekent dat dataminimalisatie, een rechtmatige grondslag en gegevensbeveiliging blijven gelden, ook bij training van modellen. Voor hoog-risico-toepassingen ligt het voor de hand om, naast de wettelijke AI-risicobeoordeling, een Data Protection Impact Assessment (DPIA) uit te voeren.
Kleine en middelgrote bedrijven krijgen toegang tot testfaciliteiten en “regulatory sandboxes” van lidstaten. Dit verlaagt de drempel om te experimenteren met veilige AI. Toch vraagt naleving om tijdige inventarisatie van systemen en goede afspraken met model- en cloudleveranciers.
Toezicht, boetes en handhaving
De handhaving volgt het markttoezichtmodel dat de EU ook bij productveiligheid gebruikt. Eerst komt vaak guidance, daarna kan een last of een verkoopverbod volgen. Bij ernstige of aanhoudende overtredingen zijn hoge boetes mogelijk.
Maximale boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden AI-praktijken, 15 miljoen of 3% voor andere overtredingen, en 7,5 miljoen of 1,5% bij onjuiste informatie richting toezichthouders.
Burgers en werknemers krijgen mogelijkheden om te klagen en hun rechten te halen. Leveranciers en gebruikers moeten incidenten melden en meewerken aan onderzoeken. Richtlijnen van het European AI Office en Europese normalisatie (CEN/CENELEC) gaan precies invullen wat “state of the art” betekent.
Wat nu nodig is: breng alle AI-toepassingen in kaart en koppel ze aan de risicoklassen. Check contracten, dataherkomst en evaluatieprocessen, en leg menselijk toezicht vast. Wie dit in 2024 start, komt in 2025 en 2026 niet voor verrassingen te staan.