EU AI Act: Alles wat u moet weten over de AI-verordening

De Verordening (EU) 2024/1689, beter bekend als de EU AI Act of AI-verordening, stelt een historisch kaders. Als eerste ter wereld introduceert de Europese Unie hiermee horizontale AI-wetgeving. De wet werd officieel aangenomen door de Raad en het Europees Parlement, is ondertekend op 13 juni 2024, en ten slotte gepubliceerd in het Publicatieblad van de EU op 12 juli 2024.

Met de inwerkingtreding op 1 augustus 2024 is een gefaseerde uitrol gestart. Dit betekent dat organisaties in de komende jaren stapsgewijs met nieuwe regels te maken krijgen. Omdat deze wet extraterritoriaal is, vallen ook aanbieders van buiten de EU onder deze wetgeving wanneer hun AI-output binnen de landsgrenzen van de EU wordt gebruikt, vergelijkbaar met de bereikwijdte van de AVG.

Voor Nederlandse instellingen is het cruciaal om tijdig aan deze vereisten te voldoen om zo stevige sancties te voorkomen. Bent u benieuwd wat dit voor uw implementatiestrategie betekent? Ontdek de mogelijkheden via AI Consultancy op ai.nl.

Wat is de EU AI Act (Verordening 2024/1689)?

De EU AI Act, voluit Verordening (EU) 2024/1689, is de eerste horizontale wetgeving ter wereld die specifiek is ontworpen om veilige, transparante en verantwoorde ontwikkeling en inzet van AI-systemen te waarborgen. Na goedkeuring door de Raad en het EP werd het document op 13 juni 2024 ondertekend en is op 12 juli 2024 in het Publicatieblad van de EU gepubliceerd.

Tijdlijn met exacte data

De wet trad formeel in werking op 1 augustus 2024 (20 dagen na publicatie). Vanaf dit moment loopt er een strikte, gefaseerde tijdlijn van de Europese Commissie tot aan volledige toepasselijkheid op 2 augustus 2027:

• 2 februari 2025: De algemene bepalingen, definities, plicht tot AI-geletterdheid (art. 4) en het verbod op verboden AI-praktijken (art. 5) zijn rechtstreeks van toepassing.
• 2 augustus 2025: Regels voor general-purpose AI (GPAI)-modellen, de nieuwe governance-structuren en sanctieregels (boetes) zijn vanaf dit moment geldend.
• 2 augustus 2026: Toepasselijkheid van het overgrote deel van de verplichtingen. Hieronder vallen ook de eisen voor high-risk systemen benoemd in bijlage III.
• 2 augustus 2027: Verplichtingen treden in werking voor de resterende high-risk AI-producten die al onder de bestaande EU-productwetgeving vallen (bijlage I).

De 4 risicocategorieën

De AI-verordening kiest voor een risicogebaseerde aanpak. AI-systemen worden ingedeeld in vier categorieën:

1. Onaanvaardbaar risico: Deze systemen vormen een duidelijke bedreiging en zijn streng verboden (art. 5).
2. Hoog risico (high-risk): Systemen met vergaande impact op fundamentele rechten of (product)veiligheid. Denk aan AI in vitale infrastructuur.
3. Beperkt risico: AI-toepassingen waarbij interactie misleidend kan zijn, waarvoor transparantie (art. 50) is vereist.
4. Minimaal risico: De bulk van de AI in de samenleving valt hieronder (zoals spamfilters of in-game AI). Hiervoor gelden geen verplichtingen, maar lidstaten moedigen het gebruik van vrijwillige codes aan.

Verboden AI-praktijken (art. 5)

Volgens de AI Act is het streng verboden om systemen met een onaanvaardbaar risico te ontwerpen, ontwikkelen of in te zetten in Europa. Denk aan:

• Manipulatieve technieken om schade aan te richten.
• Social scoring door overheden.
• Ongerichte scraping van gezichtsbeelden op het internet ten behoeve van herkenningsdatabases.
• Emotieherkenning op de werkplek en in het onderwijs (er gelden slechts uitzonderingen rondom het medisch domein of veiligheid).
• Biometrische categorisatie ingedeeld naar beschermde of gevoelige kenmerken.
• Realtime biometrische identificatie op afstand in de openbare ruimte voor rechtshandhaving, behalve voor zeer specifieke uitzonderingsgevallen.

High-risk systemen — verplichtingen

Voor de categorie Hoog Risico bestaan er ruwweg twee wettelijke paden. Optie (A): De AI functioneert als veiligheidscomponent in een product (bijage I-wetgeving), zoals in medische hulpmiddelen, speelgoed, liften of motorvoertuigen. Optie (B): De AI wordt ingezet binnen bijlage III-sectoren. Bijlage III noemt de inzetgebieden biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid en HR, toegang tot essentiële (particuliere/openbare) diensten, rechtshandhaving, migratie/asiel/grenzen, justitie en democratische processen.

Aanbieders van zulke high-risk AI moeten voldoen aan stevige vereisten. Zij moeten zorgen voor risicomanagement en correcte datakwaliteit, logging en technische documentatie bijhouden, menselijk toezicht garanderen en robuustheid en cybersecurity verzekeren. Verder omvat het proces een formele 'conformity assessment', de CE-markering en registratie in een nieuwe EU-database. Meer inzicht in deze documentatie-eisen? Zie onze diensten bij AI Consultancy.

Transparantieplicht (art. 50)

Voor AI onder de categorie 'Beperkt risico' is een transparantieplicht opgenomen via art. 50. Gebruikers moeten weten dat ze met AI communiceren (zoals met chatbots). Ook dienen AI-gegenereerde content of AI-gemanipuleerde stukken zoals deepfakes herkenbaar te zijn gemaakt. Voor tekst die door AI wordt gegenereerd over zaken van algemeen of publiek belang is de plicht tot labelen eveneens verplicht gesteld.

General-purpose AI (GPAI) en systemic risk

Om te waken voor brede taalmodellen (LLM's) of generatieve systemen is in hoofdstuk V een speciaal regime opgetuigd voor General-purpose AI (GPAI).

Alle GPAI-providers moeten ten minste:

• Technische documentatie op orde houden.
• Specificaties delen met downstream-aanbieders en afnemers.
• Een copyright-policy toepassen gericht op opt-out verzoeken.
• Een publieke samenvatting voorzien over waar welke trainingsdata vandaan kwam.

Daarnaast kan er sprake zijn van een zogenoemd "systemic risk". In de wet ligt de drempel voor systematisch risico bij modellen getraind met een compute groter dan 10^25 FLOPs. Deze modellen moeten bovendien model-evaluaties doen, het systeemrisico adequaat mitigeren, incident reporting oppakken en zware cybersecuritymaatregelen doorvoeren. Via een goede AI-training leren betrokkenen in uw bedrijf efficiënt met deze regelgeving omspringen.

Sancties (art. 99)

Artikel 99 stelt expliciete, hoge maxima voor boetes wanneer de normen worden overtreden:

• Voor overtredingen van de verboden AI-praktijken (art. 5) kan de boete oplopen tot maximaal € 35 miljoen of 7% van de wereldwijde jaaromzet (waarbij het hoogste bedrag geldt).
• Bij niet-naleving van overige verplichtingen – bijvoorbeeld de regels door high-risk providers en deployers – zijn sancties denkbaar tot € 15 miljoen of 3% wereldwijde omzet.
• Mocht u onjuiste of misleidende informatie via uw bedrijf verstrekken aan toezichthouders, krijgt u een prent met boetes tot € 7,5 miljoen of 1% omzet.

Belangrijk in deze bedragen: voor zowel MKB-ondernemingen als start-ups geldt standaard het vóórdeel, hierbij wordt het laagste van de twee bedragen gehanteerd in plaats van de reguliere hoogste optie.

Toezicht in Nederland (AP, RDI, uitvoeringswet)

De governance voor regulering is op Europees niveau bij het nieuwe European AI Office belegd. Dit valt rechtstreeks onder de Commissie (DG CNECT). Daarnaast functioneert de op te zetten AI Board, gesteund door een Europees wetenschappelijk panel (scientific panel) en adviesforum (advisory forum).

Op landelijk niveau dient elke EU-lidstaat uiterlijk 2 augustus 2025 een nationale marktoezichthouder (market surveillance authority) en zogeheten 'notifying authority' aangewezen te hebben.

In de Nederlandse context (tot november 2024 / richting 2026) luidt de situatie als volgt:

• Autoriteit Persoonsgegevens (AP) en Rijksinspectie Digitale Infrastructuur (RDI) publiceerden op 7 november 2024 hun eindadvies getiteld "Toezicht op AI". Hierin dragen zij de voorkeur uit naar sectoraal toezicht inclusief centrale coördinatie.
• De formele Uitvoeringswet AI-verordening is in Nederland door staatssecretaris Aerdts in de internetconsultatie gebracht (april 2026). Deze desbetreffende consultatieperiode loopt nog tot en met 1 juni 2026.
• Ondertussen is er bij de Autoriteit Persoonsgegevens intern de directie Coördinatie Algoritmes (DCA) in het leven geroepen, die zich al richt op algemene AI-/algoritmes-coördinatie in het toezichtsveld.

Praktisch stappenplan voor organisaties

Zorg ervoor dat AI-compliance systematisch wordt bekeken aan de hand van de volgende op de verordening gebaseerde stappen:

1. Start met AI-geletterdheid (art. 4): Begin met het creëren van kennis bij uw medewerkers; volgens het tijdpad van de Commissie wordt dit op 2 februari 2025 al vereist.
2. Toets op verboden praktijken (art. 5): Controleer en vermijd tools die bijvoorbeeld ongericht via scraping gezichtsbeelden opbouwen of realtime meten via kwetsbare emotieherkenning op kantoor.
3. Identificeer uw risicocategorieën: Ga na of er systemen binnen uw bedrijf onder hoog risico (bijlages I of III) vallen en controleer in de toekomst uw CE-markering, óf merk uw chatbot aan voor de transparantie-eis.
4. Integreer de Transparantieplicht (art. 50): Waarborg dat iedere AI-gegenereerde deepfake of chatbot duidelijk, herkenbaar wordt gepresenteerd richting eindgebruikers.
5. Beheer uw General-Purpose AI verzoeken: Indien u breed getrainde taalmodellen bouwt of aanbiedt, let op documentatie en check de copyright opt-out voorkeuren van content-eigenaren. Controleer tevens of het rekenvermogen voor modeltraining de 10^25 FLOPs grens overschrijdt in verband met extra cybersecuritywetgeving.
6. Volg de landelijke uitrol in de gaten: Houd de internetconsultatie voor de Uitvoeringswet AI-verordening (actief t/m 1 juni 2026) nauwlettend in het vizier zodat u de aangewezen Nederlandse bevoegde autoriteiten tegen 2 augustus 2025 kent.