Techbedrijven als OpenAI, Google, Meta en Anthropic voeren het tempo van AI-ontwikkeling verder op. Toezichthouders in Europa en Nederland waarschuwen dat de publieke grip afneemt. Dat heeft directe gevolgen voor overheid en bedrijven onder de Europese AI-verordening, en raakt ook de AVG. De kernvraag is hoe we nu nog controle houden, terwijl nieuwe modellen vrijwel wekelijks verschijnen.
Techbedrijven versnellen zonder rem
De afgelopen maanden kwamen er opnieuw zwaargewichten bij, zoals OpenAI’s o3, Google’s Gemini 1.5, Meta’s Llama 3.1 en Anthropic’s Claude 3.5. Dit zijn generatieve systemen: algoritmen die zelf tekst, beeld, code of audio maken. Ze worden sneller, goedkoper en krijgen meer geheugen en betere redenering. Daardoor verschuiven toepassingen van chat naar professionele taken, zoals klantenservice, programmeren en juridisch voorwerk.
Bedrijven integreren die modellen direct in producten, van zoekmachines tot kantoorsoftware. OpenAI, Google en Microsoft leveren AI-assistenten die e-mail opstellen en vergaderingen samenvatten. Meta en Mistral verspreiden modellen als open gewichten, die ontwikkelaars lokaal kunnen draaien. De drempel om krachtige AI in te zetten wordt zo laag, dat interne risicotoetsen vaak pas achteraf plaatsvinden.
Interne veiligheidslagen, zoals filters tegen misbruik, zijn niet uniform en soms te omzeilen. Red-teaming (gerichte veiligheidstests) en “systeemkaarten” met risico’s bestaan, maar zijn niet standaard vergelijkbaar tussen aanbieders. Zonder gedeelde meetlat blijft het moeilijk om prestaties en risico’s objectief te beoordelen. Dat vergroot de kans dat onrijpe functies toch de markt op gaan.
Toezicht kan tempo niet bijbenen
Toezichthouders hebben beperkte toegang tot de benodigde expertise, data en rekenkracht om frontier-modellen te testen. Frontier-modellen zijn de meest geavanceerde systemen, vaak alleen te evalueren met veel GPU-capaciteit. Zonder die middelen blijft toezicht afhankelijk van vrijwillige informatie van aanbieders. Dat is kwetsbaar als commerciële belangen groot zijn.
De Europese Commissie werkt aan het AI Pact, waarin bedrijven beloven de AI-verordening vroegtijdig na te leven. Zulke vrijwillige stappen helpen, maar vervangen geen formele audits of sancties. Nationale autoriteiten moeten ook kunnen controleren of veiligheidsbeloften echt kloppen. Dat vergt budget, mensen en technische testfaciliteiten.
Daarnaast worden risico’s zichtbaar buiten de labs, bijvoorbeeld bij deepfakes, fraude en discriminerende uitkomsten. Politieke campagnes en oplichtingspraktijken maken al gebruik van synthetische media. Zonder snelle interventies kunnen schade en kosten zich opstapelen bij burgers en bedrijven. Het toezicht moet daarom net zo iteratief en datagedreven worden als de technologie zelf.
AI-verordening vraagt uitvoering nu
De Europese AI-verordening (AI Act) is in werking en wordt stapsgewijs van kracht tot en met 2026, op het moment van schrijven. De wet verplicht onder meer risicobeoordeling, menselijke controle, robuustheidstests en documentatie. Voor algemene AI (GPAI), zoals grote taalmodellen, komen extra plichten bij transparantie en modelveiligheid. Bepaalde toepassingen, zoals real-time biometrische identificatie in de openbare ruimte, vallen onder strenge voorwaarden.
De AI-verordening deelt systemen in vier risicoklassen: minimaal, beperkt, hoog en onaanvaardbaar.
De AVG blijft daarnaast gelden voor alle verwerking van persoonsgegevens, ook bij training en gebruik van modellen. Dataminimalisatie en een rechtmatige grondslag zijn verplicht, net als beveiliging en DPIA’s bij hoge risico’s. Voor tekst- en datamining van auteursrechtelijk beschermd werk geldt in de EU een uitzondering met opt-out. Aanbieders moeten daarom transparant zijn over trainingsdata en respecteren als rechthebbenden zich afmelden.
Voor overheden zijn de gevolgen direct: inkoop moet aan de AI-verordening voldoen en systemen met hoog risico vragen extra waarborgen. Denk aan documentatie, logging en uitleg die begrijpelijk is voor burgers. Ook moeten publieke instellingen kunnen stoppen of aanpassen als uitkomsten schadelijk zijn. Europese normering en testprotocollen moeten dit snel concreet maken.
Nederland zoekt werkbare handhaving
In Nederland werken ministeries aan de inrichting van toezicht op de AI-verordening, op het moment van schrijven. Bestaande autoriteiten zoals de Autoriteit Persoonsgegevens (AVG), de Autoriteit Consument & Markt en de Rijksinspectie Digitale Infrastructuur liggen voor de hand voor delen van dit werk. Heldere taakverdeling is nodig om dubbel werk en gaten te voorkomen. Ook gemeenten en uitvoeringsorganisaties vragen om praktische richtlijnen.
Het Rijk bouwt aan registers en handreikingen voor algoritmen in de publieke sector. Een algoritmeregister maakt zichtbaar waar en hoe systemen worden ingezet. Dat helpt bij verantwoording en bijsturing als er problemen zijn. Maar registers werken pas goed als informatie volledig, actueel en controleerbaar is.
Er is behoefte aan een nationaal test- en evaluatiekader dat past bij Europese normen. Denk aan onafhankelijke labs die AI-diensten kunnen doormeten op bias, privacy en robuustheid. Publieke inkoop kan daarbij eisen stellen aan rapportages, zoals modelkaarten en impactanalyses. Zo ontstaat een marktprikkel om veiliger systemen te leveren.
Open modellen vergroten risico’s
Open gewichten, zoals bij Meta’s Llama 3.1 en modellen van Mistral, versnellen innovatie in het mkb en onderzoek. Ze verlagen kosten en maken aanpassing aan lokale talen en sectoren eenvoudiger. Maar dezelfde openheid maakt het ook makkelijker om veiligheidsfilters te verwijderen. Misbruik, zoals deepfakes of geautomatiseerde phishing, is dan moeilijker te beperken.
Voor toezichthouders speelt een nieuwe vraag: wie is verantwoordelijk als een afgeleide versie wordt misbruikt? De AI-verordening kijkt naar de hele keten, van ontwikkelaar tot distributeur en gebruiker. Duidelijke contracten, licenties en loggings helpen om rollen te scheiden. Zonder die afspraken blijft aansprakelijkheid onduidelijk, vooral bij community-versies.
Daarnaast botst open beschikbaarheid met eisen rond dataherkomst. Ontwikkelaars moeten kunnen uitleggen welke data is gebruikt en met welke juridische basis. Europese uitgevers en makers eisen transparantie en eerlijke voorwaarden. Zolang die basis ontbreekt, blijven rechtszaken en klachten bij toezichthouders waarschijnlijk.
Transparantie en testen zijn nodig
Grip terugkrijgen vraagt om drie zaken: duidelijke documentatie, onafhankelijke testen en snelle handhaving. Documentatie betekent bruikbare modelkaarten, systeemkaarten en datasetsamenvattingen. Testen vergt gedeelde benchmarks en toegang tot rekenkracht voor publieke labs. Handhaving moet risicogestuurd en zichtbaar zijn, zodat afschrikking werkt.
Voor aanbieders is vroege naleving verstandig, ook commercieel. Transparantie over herkomst van data en veiligheidsmaatregelen scheelt later kosten en reputatieschade. Voor GPAI-modellen helpt een overzicht van trainingsbronnen en bekende beperkingen. Watermerken voor synthetische media kunnen misbruik sneller opsporen, mits robuust en privacyvriendelijk.
Overheden kunnen de Europese AI-verordening koppelen aan inkoop en subsidievoorwaarden. Projecten die met publiek geld AI gebruiken, moeten aan AVG en risicoregels voldoen. Publieke instellingen doen er goed aan om interne AI-raden en escalatiepaden in te richten. Zo blijft besluitvorming uitlegbaar en kan inzet worden gestopt als het fout gaat.