De EU AI Act is van kracht. Ontdek wat dit betekent voor jouw AI-gebruik, welke risico's je loopt, en hoe je compliant blijft. Praktische gids voor enterprises.
De EU AI Act trad op 1 augustus 2024 in werking. De eisen gelden gefaseerd: verboden toepassingen en AI-geletterdheid vanaf 2 februari 2025, governance en verplichtingen voor general-purpose AI vanaf 2 augustus 2025 en de meeste overige bepalingen vanaf 2 augustus 2026. Voor sommige hoog-risicotoepassingen gelden latere data.
Voor enterprises betekent dit navigeren door nieuwe verplichtingen, risico-categorieën, en compliance-eisen. De vraag die veel bestuurskamers bezighoudt: wat betekent dit concreet voor onze AI-initiatieven?
De verordening is risicogebaseerd en geen algemeen verbod. De classificatie hangt af van het beoogde doel en de inzetcontext. Sommige AI-toepassingen rond werk en andere gevoelige gebieden kunnen hoog risico zijn, terwijl voor andere assistenten vooral transparantieverplichtingen gelden.
De uitdaging: veel organisaties begrijpen nog niet waar hun AI-systemen precies onder vallen, welke verplichtingen gelden, en hoe ze compliance kunnen aantonen.
Dit artikel biedt een praktische gids. Geen juridisch jargon, wel concrete handvatten. Na het lezen weet je welke AI-categorieën bestaan, waar jouw toepassingen waarschijnlijk onder vallen, en welke stappen je moet zetten.
De Structuur: AI Gecategoriseerd op Risico
De EU AI Act hanteert een risico-gebaseerde aanpak. Niet alle AI is gelijk: een chatbot die productvragen beantwoordt is fundamenteel anders dan een systeem dat bepaalt of iemand een hypotheek krijgt. De wetgeving erkent dit en creëert vier categorieën:
Categorie 1: Onacceptabel Risico (Verboden)
Bepaalde AI-toepassingen zijn simpelweg verboden in de EU:
- Social scoring systemen (zoals in China)
- Biometrische identificatie in openbare ruimtes (met uitzonderingen voor ordehandhaving)
- Manipulatieve AI die kwetsbare groepen exploiteert
- Emotieherkenning op werkplekken en in onderwijs
Deze categorie is helder: niet doen. De boetes zijn maximaal 35 miljoen euro of 7% van de wereldwijde omzet.
Categorie 2: Hoog Risico
AI-systemen die significante impact hebben op mensen's rechten en veiligheid:
- Kredietbeslissingen en verzekeringsprijszetting
- Werving en selectie (CV-screening, interviews)
- Onderwijs: toelating en beoordeling
- Kritieke infrastructuur
- Medische diagnoses
- Rechtshandhaving
Voor hoog-risico AI gelden strenge verplichtingen:
- Risico-beoordeling en mitigatie
- Datakwaliteitseisen
- Technische documentatie
- Menselijk toezicht
- Registratie in EU-database
- Conformiteitsbeoordeling
Transparantieverplichtingen voor bepaalde AI-systemen
De definitieve AI Act maakt van "limited risk" geen universele productclassificatie. Artikel 50 stelt transparantieverplichtingen voor specifieke systemen en output, waaronder:
- Chatbots en conversational AI
- AI-gegenereerde content
- Emotion detection (buiten verboden contexten)
- Biometrische categorisatie
Afhankelijk van het systeem kunnen de verplichtingen bestaan uit:
- Gebruikers informeren dat ze met AI communiceren
- Duidelijk maken wanneer content AI-gegenereerd is
- Markering van bepaalde AI-gegenereerde of gemanipuleerde content
Categorie 4: Minimaal Risico
AI-systemen zonder specifieke verplichtingen:
- Spam filters
- Videogame AI
- Voorraadoptimalisatie
Hier geldt alleen de algemene verplichting om AI "op verantwoorde wijze" te gebruiken.
Waar vallen enterprise knowledge assistants?
Een kennisassistent is niet automatisch hoog risico. De classificatie hangt af van het beoogde doel en het daadwerkelijke gebruik. Transparantieverplichtingen uit Artikel 50 kunnen gelden voor systemen die direct met mensen communiceren, terwijl een HR-systeem dat arbeidsbeslissingen neemt of wezenlijk beïnvloedt een hoog-risicotoepassing kan zijn. Voorbeelden die een use-casebeoordeling vragen:
- HR policy assistants
- Legal knowledge bases
- IT helpdesk AI
- Interne zoeksystemen
De transparantieverplichting betekent praktisch: gebruikers moeten weten dat ze met AI communiceren, en bij twijfel moeten ze kunnen zien waar informatie vandaan komt.
Key Insight
Classificeer de toepassing, niet alleen het productlabel. Een documentzoekassistent en een systeem voor arbeidsbeslissingen kunnen heel verschillende verplichtingen hebben.
De Kernverplichtingen: Wat Moet Je Doen?
De verplichtingen hangen af van het systeem, de rol als aanbieder of gebruiksverantwoordelijke, het beoogde doel en de deploymentcontext.
Transparantieverplichtingen (Artikel 50)
-
AI-disclosure: Gebruikers moeten weten dat ze interacteren met een AI-systeem, niet met een mens. Dit kan simpel: "Je spreekt met een AI-assistent."
-
Content marking: AI-gegenereerde teksten, audio, of beelden moeten als zodanig herkenbaar zijn. Voor interne systemen betekent dit duidelijke labeling.
-
Source attribution: Hoewel niet expliciet vereist door de AI Act, sluit dit aan bij de geest van de wet. Wanneer AI antwoorden genereert, is het best practice om de bronnen te tonen.
Governance-vereisten
Ongeacht de risico-categorie raadt de wet aan:
- AI-register: Documenteer welke AI-systemen je gebruikt
- Risico-beoordeling: Evalueer periodiek de impact
- Verantwoordelijkheden: Wijs een AI-verantwoordelijke aan
- Training: Zorg dat gebruikers begrijpen hoe AI werkt en wat de beperkingen zijn
De overlap met GDPR
De EU AI Act vervangt GDPR niet. Ze vullen elkaar aan. Als je AI persoonsgegevens verwerkt (en dat is bijna altijd het geval), gelden beide regelgevingen:
| GDPR | EU AI Act | |------|-----------| | Rechtsgrond voor verwerking | Risico-categorisatie | | Privacy by design | Transparantie-eisen | | Data subject rights | Menselijk toezicht | | DPA vereist | Technische documentatie |
Organisaties die GDPR serieus nemen hebben een voorsprong: de principes van transparantie, verantwoordelijkheid, en data governance zijn vergelijkbaar.
Pro Tip
Als je GDPR-compliance al op orde hebt, heb je een voorsprong. De principes van privacy by design, documentatie, en verantwoordelijkheid vertalen direct naar AI Act compliance.
Tijdlijn: Wanneer moet wat geregeld zijn?
- 1 augustus 2024: de AI Act trad in werking
- 2 februari 2025: verboden toepassingen en AI-geletterdheid werden van toepassing
- 2 augustus 2025: governance en verplichtingen voor general-purpose AI-modellen werden van toepassing
- 2 augustus 2026: de meeste overige bepalingen worden van toepassing
- 2 december 2027: regels voor bepaalde hoog-risicogebieden, waaronder werkgelegenheid, worden volgens de actuele planning van toepassing
- 2 augustus 2028: regels voor hoog-risico-AI in gereguleerde producten worden van toepassing
Bron: Europese Commissie, implementatietijdlijn van de AI Act.
De boodschap: er is tijd om je voor te bereiden, maar wacht niet tot het laatste moment.
Boetes en handhaving
De EU is niet zuinig met sancties:
- Verboden AI praktijken: tot €35 miljoen of 7% wereldwijde omzet
- Hoog-risico schendingen: tot €15 miljoen of 3% omzet
- Onjuiste informatie aan toezichthouders: tot €7,5 miljoen of 1,5% omzet
De nationale toezichthouders worden nog aangewezen, maar verwacht wordt dat bestaande autoriteiten (zoals de Autoriteit Persoonsgegevens in Nederland) een rol krijgen.
Compliance in de Praktijk: Van Theorie naar Implementatie
Wetgeving begrijpen is stap één. Het implementeren in je organisatie is waar het complex wordt. Hier is een praktisch stappenplan.
Stap 1: AI-inventarisatie
Breng in kaart welke AI-systemen je organisatie gebruikt:
- Eigen ontwikkelde AI
- AI-functionaliteiten in SaaS-producten
- Third-party AI-integraties
- Experimenten en pilots
Veel organisaties onderschatten hoeveel AI ze eigenlijk gebruiken. Die "slimme zoekfunctie" in je kennisbank? Dat is AI. Die automatische categorisatie in je ticketsysteem? Ook AI.
Stap 2: Risico-classificatie
Per geïdentificeerd systeem:
- In welke categorie valt dit?
- Welke verplichtingen gelden?
- Wat is de huidige status van compliance?
Tip: betrek zowel IT als Legal. De technische realiteit en juridische interpretatie moeten matchen.
Key Insight
Veel organisaties onderschatten hoeveel AI ze al gebruiken. Die "slimme zoekfunctie"? AI. Die automatische categorisatie? Ook AI. Begin met een complete inventarisatie.
Stap 3: Gap-analyse
Identificeer waar je tekortschiet:
- Ontbreekt transparantie-notificatie?
- Zijn bronnen niet traceerbaar?
- Ontbreekt documentatie?
- Is er geen menselijk toezicht gedefinieerd?
Stap 4: Remediation planning
Prioriteer op basis van:
- Risico-niveau (hoog-risico eerst)
- Tijdlijn (wanneer worden verplichtingen van kracht?)
- Impact (hoeveel gebruikers, hoeveel beslissingen?)
Stap 5: Vendor assessment
Voor AI die je inkoopt: evalueer leveranciers op:
- EU data residency
- AI Act compliance statements
- Transparantie mogelijkheden
- Audit trail functionaliteit
Vraag expliciet: "Hoe helpt dit product mij aan de EU AI Act te voldoen?"
Pro Tip
Neem de vraag "Hoe helpt dit product mij aan de EU AI Act te voldoen?" op in elke AI-gerelateerde RFP. Leveranciers die hier geen duidelijk antwoord op hebben, zijn nog niet klaar.
De rol van procurement
AI-compliance begint bij inkoop. Neem AI Act-eisen op in:
- RFP's en vendor-selectie criteria
- Contracten en SLA's
- Due diligence checklists
Wat te zoeken in compliant AI-oplossingen
- EU-gehost: Data blijft in Europa
- Transparante werking: Je kunt uitleggen hoe het systeem tot antwoorden komt
- Bronvermelding: Elke output is traceerbaar naar input
- Audit logs: Wie vroeg wat, wanneer, en wat was het antwoord
- Menselijk toezicht: Mogelijkheid om AI-beslissingen te reviewen
- Geen training op klantdata: Jouw data verbetert niet het model voor anderen
Veelgestelde Vragen en Misverstanden
"Moeten we stoppen met AI tot we compliant zijn?"
Nee. De meeste enterprise AI kan blijven draaien. De nadruk ligt op transparantie en documentatie, niet op verbieden. Begin met inventariseren en werk gefaseerd naar de vereisten die op je toepassing van toepassing zijn.
"Valt onze kennisbank-AI onder hoog risico?"
Niet per definitie. Een systeem dat beperkt blijft tot documentzoekwerk en brongestuurde conceptantwoorden verschilt van een systeem dat beslissingen neemt of wezenlijk beïnvloedt in hoog-risicogebieden, zoals arbeid. Leg het beoogde doel vast en laat de concrete toepassing beoordelen.
"Wat als onze AI-leverancier niet EU-gebaseerd is?"
De AI Act geldt voor AI die in de EU wordt ingezet, ongeacht waar de leverancier gevestigd is. Vraag je leverancier naar:
- Waar data verwerkt wordt
- Of er EU-specifieke opties zijn
- Hoe zij compliance ondersteunen
"Is open source AI vrijgesteld?"
Gedeeltelijk. Open source AI-modellen zijn vrijgesteld van sommige verplichtingen voor providers, maar als je ze inzet in je organisatie, gelden de deployer-verplichtingen nog steeds.
"Hoe verhoudt dit zich tot sector-specifieke regelgeving?"
De AI Act werkt samen met bestaande regelgeving. In financiële diensten, healthcare, en andere gereguleerde sectoren kunnen aanvullende eisen gelden. De AI Act is een bodem, geen plafond.
"Wat als we alleen Microsoft/Google/AWS AI gebruiken?"
De grote cloudproviders werken aan compliance, maar de verantwoordelijkheid voor correct gebruik ligt bij jou. Hun tools kunnen compliant zijn; jouw implementatie bepaalt of jij compliant bent.
Conclusie: Compliance als Competitive Advantage
De EU AI Act wordt vaak gepresenteerd als hindernis. Maar vooruitstrevende organisaties zien het anders: het is een kans.
In een wereld waar consumenten en zakelijke klanten steeds kritischer worden op AI-gebruik, is "wij voldoen aan de EU AI Act" een vertrouwenssignaal. Het communiceert: wij nemen AI serieus. Wij nemen privacy serieus. Wij nemen jullie rechten serieus.
Organisaties die nu investeren in compliant AI bouwen een fundament dat:
- Vertrouwen wekt bij klanten en medewerkers
- Risico's minimaliseert bij toekomstige wetgeving
- Snellere adoptie mogelijk maakt (minder weerstand)
- Vendor lock-in voorkomt (EU-gehoste opties zijn overdraagbaar)
De EU AI Act is niet de laatste AI-wetgeving. Het is de eerste. Organisaties die nu leren navigeren in dit landschap zijn beter voorbereid op wat komt.
De praktische vraag is niet "moet ik dit serieus nemen?" Het antwoord is ja. De vraag is "hoe begin ik?" En het antwoord: begin met inventariseren, classificeren, en documenteren. Zoek leveranciers die compliance ondersteunen. En onthoud: transparantie is de kern.
AI die je kunt vertrouwen begint met AI die je kunt uitleggen. Aan gebruikers, aan toezichthouders, en aan jezelf.
Bottom Line
De EU AI Act is geen hindernis maar een kans. Organisaties die nu investeren in compliant AI bouwen een vertrouwensvoorsprong die moeilijk in te halen is.
Klaar om dit te ervaren?
Ontdek hoe Volentis jouw team kan helpen met betrouwbare AI-antwoorden uit je eigen documenten.
