De Europese Unie voert de AI-verordening (AI Act) in om kunstmatige intelligentie te sturen en te begrenzen. Het Europees Parlement en de Raad van de EU hebben de wet in 2024 definitief goedgekeurd in Brussel. De regels gaan in stappen gelden, met de eerste onderdelen vanaf eind 2024, op het moment van schrijven. Dit heeft directe Europese AI-verordening gevolgen overheid, bedrijven en burgers.
Regels treden gefaseerd in
De AI-verordening wordt stap voor stap toegepast, op het moment van schrijven vanaf eind 2024 tot en met 2026. Sommige onderdelen gelden snel, andere pas later. Dat geeft overheden en bedrijven tijd om processen en producten aan te passen. De formele inwerkingtreding volgt na publicatie in het Publicatieblad van de EU.
Verboden toepassingen gaan als eerste op slot. Daarna volgen transparantieregels en plichten voor zogenoemde generieke AI-modellen. De zwaarste eisen voor hoog-risico systemen gelden als laatste. Zo voorkomt de EU dat basisbescherming te lang op zich laat wachten.
Organisaties doen er goed aan nu al een inventarisatie te maken. Breng in kaart welke algoritmen worden gebruikt, met welk doel en welke data. Koppel elk systeem aan een risicoklasse en eigenaar. Reserveer budget voor toetsing, documentatie en aanpassingen in inkoop.
Verboden AI-praktijken afgebakend
De wet verbiedt sociale score-systemen door overheden. Dat zijn systemen die mensen in het openbaar beoordelen en rangschikken op gedrag of kenmerken. Ook ongerichte scraping van gezichtsbeelden voor gezichtsdatabanken mag niet. Zulke praktijken schaden grondrechten en privacy.
Biometrische categorisering op gevoelige kenmerken is verboden. Het gaat dan om zaken als politieke opvattingen, religie of seksuele gerichtheid. Emotieherkenning op school of op de werkvloer is in principe niet toegestaan. Dit moet misbruik en druk op burgers voorkomen.
Real-time gezichtsherkenning in de publieke ruimte is in de regel verboden. Er zijn smalle uitzonderingen voor zeer zware misdrijven, met voorafgaande toestemming van een rechter. De inzet moet strikt noodzakelijk en evenredig zijn. Handhaving moet dit zorgvuldig toetsen.
Voor Nederlandse gemeenten en politie verandert dit de inkoop van cameratechnologie. Leveranciers moeten zwart-op-wit aantonen wat hun systemen wel en niet kunnen. AVG-regels over dataminimalisatie en doelbinding blijven volledig gelden. De AI-verordening legt daar een extra laag met specifieke verbodsbepalingen bovenop.
Zware plichten voor hoog risico
Hoog-risico AI omvat systemen die toegang tot essentiële diensten of kansen beïnvloeden. Denk aan selectie van studenten of personeel, kredietbeoordeling en toeleiding naar zorg. Ook algoritmen in medische apparatuur en kritieke infrastructuur vallen hieronder. Die systemen krijgen de strengste plichten.
Hoog-risico AI is software die merkbaar gevolgen kan hebben voor rechten, veiligheid of bestaanszekerheid, zoals bij werk, onderwijs, zorg, migratie, rechtspraak of vitale systemen.
Leveranciers moeten een risicobeheerproces opzetten en hun data op kwaliteit en bias controleren. Zij moeten logboeken bijhouden, technische documentatie leveren en duidelijke gebruikersinstructies geven. Menselijke controle is verplicht, zodat een mens kan ingrijpen. Robuustheid en cyberbeveiliging zijn eveneens eisen.
Voor markttoegang is een conformiteitsbeoordeling nodig, vergelijkbaar met een CE-keur. Veel hoog-risico systemen moeten worden opgenomen in een EU-database. Ook importeurs en distributeurs dragen verantwoordelijkheid. In de praktijk betekent dit extra audits, testen en juridisch werk bij aanbestedingen.
Eisen voor generieke modellen
De wet introduceert regels voor “algemene-doeleinden AI” (GPAI). Dit zijn datamodellen die voor veel doelen tegelijk zijn gemaakt, zoals GPT-4, Gemini, Claude, Llama 3 of Mistral Large. Aanbieders moeten technische documentatie en een samenvatting van trainingsdata publiceren. Ook moeten zij het Europese auteursrecht respecteren, inclusief opt-outs van rechthebbenden.
Voor zeer krachtige modellen met “systemisch risico” gelden extra plichten. Denk aan onafhankelijke evaluaties, rapportage van incidenten en maatregelen tegen misbruik. Ook aandacht voor energieverbruik en beveiliging hoort daarbij. Het doel is veiligheid én een gelijk speelveld voor Europese afnemers.
Het nieuwe EU AI Office coördineert toezicht op GPAI en werkt samen met nationale autoriteiten. Open-source ontwikkelaars krijgen verlichting, behalve als hun model systemisch risico oplevert. Transparantie-eisen blijven ook dan gelden. Zo wil de EU innovatie mogelijk maken zonder de basisveiligheid te verliezen.
Gevolgen voor overheid en zorg
Voor de overheid raken de regels direct aan dienstverlening. Chatbots moeten duidelijk maken dat ze een systeem zijn. Algoritmen die besluiten over uitkeringen of vergunningen beïnvloeden, kunnen hoog-risico zijn. Dan zijn toetsen, logging en menselijke controle verplicht.
In de zorg sluiten de AI-eisen aan op medische CE-regels. Ziekenhuizen en zorginstellingen worden “gebruikers” met eigen plichten. Zij moeten risico’s beheren, personeel instrueren en prestaties volgen. Leveranciers moeten updates en veiligheidsinformatie tijdig delen.
Privacy blijft onder de AVG de basis. Dataminimalisatie, versleuteling en een gegevensbeschermingseffectbeoordeling (DPIA) horen bij elk gevoelig systeem. Scholen en werkgevers moeten extra letten op verboden toepassingen, zoals emotieherkenning. Transparantie naar burgers neemt toe, ook bij geautomatiseerde interacties.
Toezicht en boetes in EU
De AI-verordening brengt meerdere toezichthouders samen. Het EU AI Office stuurt op generieke modellen en harmonisatie. Lidstaten wijzen nationale markttoezichthouders aan en werken samen in een EU-raad voor AI. In Nederland moet het kabinet nog definitief bepalen wie welke rol krijgt, op het moment van schrijven.
De sancties zijn fors om naleving af te dwingen. Voor verboden praktijken kunnen boetes oplopen tot 7% van de wereldwijde jaaromzet of tientallen miljoenen euro. Bij andere overtredingen gelden lagere maxima. Ook kan verkeerde of ontbrekende informatie worden beboet.
Er komen testomgevingen en proefprojecten (regulatory sandboxes) om veilig te innoveren. Dat helpt vooral mkb en publieke instellingen om te leren en te voldoen. Standaarden en handleidingen volgen uit Europese normalisatie. Wie nu al begint met inventariseren en documenteren, voorkomt later dure herstelacties.