De Europese Commissie vraagt deze week extra informatie van makers van grote AI-modellen. Het gaat om OpenAI, Google, Anthropic, Meta en Mistral die in de EU actief zijn. Brussel wil meer inzicht in veiligheidstesten, misbruikrisico’s en maatregelen tegen schade. Dat moet snelle uitvoering van de Europese AI-verordening en de Europese AI-verordening gevolgen overheid ondersteunen.
Commissie legt druk op aanbieders
De Commissie, via het nieuwe AI Office, heeft aanbieders van zogeheten general-purpose AI om extra documentatie verzocht. Het gaat om systemen die breed inzetbaar zijn, zoals chatbots, code-assistenten en beeldgeneratoren. Doel is te toetsen of de huidige veiligheidspraktijken genoeg zijn voor gebruik in Europa.
De focus ligt op grote modellen als GPT-4 van OpenAI, Gemini van Google, Claude van Anthropic en Llama van Meta. Ook Europese spelers zoals Mistral AI vallen binnen beeld. Deze modellen worden breed door bedrijven en overheden hergebruikt en kunnen daardoor snel impact hebben.
De timing is niet toevallig. De AI-verordening treedt gefaseerd in werking en vraagt om transparantie bij zulke basismodellen. Recente incidenten met zogenoemde jailbreaks, waarbij beveiligingen worden omzeild, onderstrepen het risico op misbruik.
AI-verordening vraagt transparantie
De Europese AI-verordening (AI Act) legt plichten op aan aanbieders van algemene AI-systemen. Zij moeten technische documentatie leveren, een samenvatting van de gebruikte trainingsbronnen geven en Europese auteursrechten respecteren. Voor gebruikers moet helder zijn wat het model kan en waar de grenzen liggen.
Voor modellen met “systemisch risico” gelden extra regels. Dat vraagt om grondige risicobeoordeling, geavanceerde veiligheidstesten en stevige cyberbeveiliging. Ernstige voorvallen moeten snel bij de toezichthouder worden gemeld.
De regels gaan in stappen gelden, met uitwerking via gedragscodes en uitvoeringsrichtsnoeren. Op het moment van schrijven werkt de Commissie met industrie en onderzoekers aan die uitwerking. Het informatieverzoek helpt bepalen welke eisen in de praktijk nodig en haalbaar zijn.
Grote AI-modellen zijn algemene algoritmen die op veel taken kunnen worden toegepast, zoals taal, beeld of code. Ze vormen de basis voor talloze apps en diensten. Juist daardoor kunnen fouten of misbruik snel brede gevolgen hebben.
Gevraagde veiligheidsinformatie groeit
Bedrijven moeten hun veiligheidstesten delen, zoals red-teaming. Red-teaming is een gecontroleerde stresstest waarbij experts proberen het systeem te misleiden. Ook scores op standaarden en benchmarks zijn gevraagd, bijvoorbeeld rond feitelijke juistheid en robuustheid.
Daarnaast wil de Commissie inzicht in datagovernance. Denk aan hoe trainingsdata zijn verzameld, of persoonsgegevens onder de AVG zijn beschermd en hoe met auteursrechtelijk materiaal is omgegaan. Dataminimalisatie en privacy by design horen daarbij.
Verder vraagt Brussel om duidelijke gebruikersbescherming. Dat omvat ingebouwde beperkingen tegen illegale of schadelijke output, en procedures voor incidentafhandeling. Gestandaardiseerde “modelkaarten” kunnen die informatie voor afnemers vergelijkbaar maken.
Gevolgen voor overheid en zorg
Voor Nederlandse overheden, zorginstellingen en scholen betekent dit strenger inkopen. Leveranciers moeten kunnen aantonen dat hun systemen aan de AI-verordening voldoen. De Europese AI-verordening gevolgen overheid raken dus direct de aanbesteding en het contractbeheer.
Wie generatieve systemen met persoonsgegevens inzet, valt ook onder de AVG. Organisaties moeten een gegevensbeschermingseffectbeoordeling doen, data minimaliseren en versleutelen en duidelijke bewaartermijnen afspreken. Afspraken over ondersteuning, updates en incidentmeldingen horen in het contract.
Er liggen ook kansen. Heldere eisen scheppen een gelijk speelveld voor Europese aanbieders en open modellen zoals Llama of Mistral, mits zij de documentatie en beveiliging op orde hebben. Voor gevoelige toepassingen kan lokale of private hosting de voorkeur krijgen.
Toezicht en sancties nemen toe
Het AI Office coördineert toezicht samen met nationale autoriteiten in de EU. Bij niet-naleving kunnen forse boetes volgen, tot 7 procent van de wereldwijde omzet bij de zwaarste overtredingen. De Commissie kan informatie vorderen en eigen beoordelingen laten uitvoeren.
Tegelijk belooft Europa proportionaliteit voor start-ups en het mkb. Reguleringssandboxes helpen veilig te testen met begeleiding van toezichthouders. Standaardformats en sjablonen moeten de rapportagedruk verlichten.
De komende maanden worden reacties van aanbieders beoordeeld en vertaald in concrete richtsnoeren. Verwacht daarom duidelijkere veiligheidslabels, betere gebruikswaarschuwingen en strakkere documentatie bij AI-diensten in de EU. Voor afnemers wordt vergelijken en controleren daarmee eenvoudiger.