EU AI Act: Alles wat u moet weten over de AI-verordening

De Verordening (EU) 2024/1689, beter bekend als de EU AI Act of AI-verordening, stelt een historisch kaders. Als eerste ter wereld introduceert de Europese Unie hiermee horizontale AI-wetgeving. De wet werd officieel aangenomen door de Raad en het Europees Parlement, is ondertekend op 13 juni 2024, en ten slotte gepubliceerd in het Publicatieblad van de EU op 12 juli 2024.

Met de inwerkingtreding op 1 augustus 2024 is een gefaseerde uitrol gestart. Dit betekent dat organisaties in de komende jaren stapsgewijs met nieuwe regels te maken krijgen. Omdat deze wet extraterritoriaal is, vallen ook aanbieders van buiten de EU onder deze wetgeving wanneer hun AI-output binnen de landsgrenzen van de EU wordt gebruikt, vergelijkbaar met de bereikwijdte van de AVG.

Voor Nederlandse instellingen is het cruciaal om tijdig aan deze vereisten te voldoen om zo stevige sancties te voorkomen. Bent u benieuwd wat dit voor uw implementatiestrategie betekent? Ontdek de mogelijkheden via AI Consultancy op ai.nl.

Wat is de EU AI Act (Verordening 2024/1689)?

De EU AI Act, voluit Verordening (EU) 2024/1689, is de eerste horizontale wetgeving ter wereld die specifiek is ontworpen om veilige, transparante en verantwoorde ontwikkeling en inzet van AI-systemen te waarborgen. Na goedkeuring door de Raad en het EP werd het document op 13 juni 2024 ondertekend en is op 12 juli 2024 in het Publicatieblad van de EU gepubliceerd.

Update juli 2026: wat de Digital Omnibus verandert

Op 24 juli 2026 is de Digital Omnibus on AI gepubliceerd in het Publicatieblad van de EU: Verordening (EU) 2026/1744, in werking sinds 27 juli 2026. Deze verordening wijzigt de AI Act zelf en verschuift een aantal deadlines die oorspronkelijk op 2 augustus 2026 stonden.

De kern in drie punten:

• Hoog-risico AI is uitgesteld. De verplichtingen voor zelfstandige hoog-risicosystemen uit bijlage III gaan pas gelden op 2 december 2027 in plaats van 2 augustus 2026. Voor hoog-risico AI die als veiligheidscomponent in gereguleerde producten zit (bijlage I) verschuift de datum van 2 augustus 2027 naar 2 augustus 2028.
• Transparantie is níet uitgesteld. De verplichtingen uit artikel 50 gelden vanaf 2 augustus 2026. Voor het markeren van synthetische content (art. 50, lid 2) geldt een overgangstermijn tot 2 december 2026 voor systemen die vóór 2 augustus 2026 op de markt zijn gebracht; wat daarna op de markt komt, moet direct voldoen.
• Er komen verboden bij. Artikel 5 wordt uitgebreid met een verbod op AI-systemen die non-consensuele intieme beelden (NCII) of materiaal van seksueel kindermisbruik (CSAM) genereren, met een overgangstermijn tot 2 december 2026. Aanbieders van beeld- en videogeneratoren moeten het risico op voorzienbaar misbruik beoordelen.

Daarnaast is de AI-geletterdheidsplicht uit artikel 4 versoepeld: aanbieders en gebruiksverantwoordelijken moeten de ontwikkeling van AI-geletterdheid onder hun personeel ondersteunen, in plaats van een bepaald niveau te garanderen. De termijn voor het opzetten van nationale AI-testomgevingen (regulatory sandboxes) schuift van 2 augustus 2026 naar 2 augustus 2027.

Wat betekent dit praktisch? Uitstel is geen afstel. De inhoudelijke eisen aan hoog-risico AI blijven staan, u krijgt er alleen langer de tijd voor. Wat u nú al moet regelen is transparantie — weten uw gebruikers dat ze met AI communiceren, en is AI-gegenereerde content herkenbaar? — plus het uitsluiten van verboden praktijken.

Tijdlijn met exacte data (bijgewerkt na de Digital Omnibus)

De wet trad formeel in werking op 1 augustus 2024 (20 dagen na publicatie). Sindsdien loopt een gefaseerde tijdlijn, die door Verordening (EU) 2026/1744 op onderdelen is aangepast:

• 2 februari 2025: de algemene bepalingen, definities, de plicht rond AI-geletterdheid (art. 4, inmiddels versoepeld) en het verbod op verboden AI-praktijken (art. 5) zijn van toepassing.
• 2 augustus 2025: de regels voor general-purpose AI (GPAI)-modellen, de governance-structuren en de sanctieregels gelden vanaf deze datum.
• 2 augustus 2026: de transparantieverplichtingen van artikel 50 gelden. Dit was oorspronkelijk ook de datum voor hoog-risico AI uit bijlage III — die is verschoven.
• 2 december 2026: einde van de overgangstermijn voor het markeren van synthetische content (art. 50, lid 2) door bestaande systemen, en voor de nieuwe verboden rond NCII en CSAM.
• 2 augustus 2027: uiterste datum voor lidstaten om AI-testomgevingen (regulatory sandboxes) operationeel te hebben.
• 2 december 2027: de verplichtingen voor hoog-risico AI-systemen uit bijlage III gaan in (was 2 augustus 2026).
• 2 augustus 2028: de verplichtingen voor hoog-risico AI in producten die al onder bestaande EU-productwetgeving vallen (bijlage I) gaan in (was 2 augustus 2027).

De 4 risicocategorieën

De AI-verordening kiest voor een risicogebaseerde aanpak. AI-systemen worden ingedeeld in vier categorieën:

1. Onaanvaardbaar risico: Deze systemen vormen een duidelijke bedreiging en zijn streng verboden (art. 5).
2. Hoog risico (high-risk): Systemen met vergaande impact op fundamentele rechten of (product)veiligheid. Denk aan AI in vitale infrastructuur.
3. Beperkt risico: AI-toepassingen waarbij interactie misleidend kan zijn, waarvoor transparantie (art. 50) is vereist.
4. Minimaal risico: De bulk van de AI in de samenleving valt hieronder (zoals spamfilters of in-game AI). Hiervoor gelden geen verplichtingen, maar lidstaten moedigen het gebruik van vrijwillige codes aan.

Verboden AI-praktijken (art. 5)

Volgens de AI Act is het streng verboden om systemen met een onaanvaardbaar risico te ontwerpen, ontwikkelen of in te zetten in Europa. Denk aan:

• Manipulatieve technieken om schade aan te richten.
• Social scoring door overheden.
• Ongerichte scraping van gezichtsbeelden op het internet ten behoeve van herkenningsdatabases.
• Emotieherkenning op de werkplek en in het onderwijs (er gelden slechts uitzonderingen rondom het medisch domein of veiligheid).
• Biometrische categorisatie ingedeeld naar beschermde of gevoelige kenmerken.
• Realtime biometrische identificatie op afstand in de openbare ruimte voor rechtshandhaving, behalve voor zeer specifieke uitzonderingsgevallen.

High-risk systemen, verplichtingen

Voor de categorie Hoog Risico bestaan er ruwweg twee wettelijke paden. Optie (A): De AI functioneert als veiligheidscomponent in een product (bijage I-wetgeving), zoals in medische hulpmiddelen, speelgoed, liften of motorvoertuigen. Optie (B): De AI wordt ingezet binnen bijlage III-sectoren. Bijlage III noemt de inzetgebieden biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid en HR, toegang tot essentiële (particuliere/openbare) diensten, rechtshandhaving, migratie/asiel/grenzen, justitie en democratische processen.

Aanbieders van zulke high-risk AI moeten voldoen aan stevige vereisten. Zij moeten zorgen voor risicomanagement en correcte datakwaliteit, logging en technische documentatie bijhouden, menselijk toezicht garanderen en robuustheid en cybersecurity verzekeren. Verder omvat het proces een formele 'conformity assessment', de CE-markering en registratie in een nieuwe EU-database. Meer inzicht in deze documentatie-eisen? Zie onze diensten bij AI Consultancy.

Let op de gewijzigde data: door Verordening (EU) 2026/1744 gelden deze verplichtingen voor bijlage III-systemen pas vanaf 2 december 2027 en voor bijlage I-systemen vanaf 2 augustus 2028. De eisen zelf zijn ongewijzigd — u heeft er meer tijd voor, geen vrijstelling.

Transparantieplicht (art. 50)

Voor AI onder de categorie 'Beperkt risico' is een transparantieplicht opgenomen via art. 50. Gebruikers moeten weten dat ze met AI communiceren (zoals met chatbots). Ook dienen AI-gegenereerde content of AI-gemanipuleerde stukken zoals deepfakes herkenbaar te zijn gemaakt. Voor tekst die door AI wordt gegenereerd over zaken van algemeen of publiek belang is de plicht tot labelen eveneens verplicht gesteld.

Sinds de Digital Omnibus geldt hierbij het volgende ritme: de informatieplicht — de gebruiker weet dat hij met AI communiceert — is van toepassing vanaf 2 augustus 2026. Voor het markeren van AI-gegenereerde of AI-bewerkte content (art. 50, lid 2) hebben systemen die al vóór 2 augustus 2026 op de markt waren tot 2 december 2026 de tijd; systemen die daarna op de markt komen, moeten er direct aan voldoen.

General-purpose AI (GPAI) en systemic risk

Om te waken voor brede taalmodellen (LLM's) of generatieve systemen is in hoofdstuk V een speciaal regime opgetuigd voor General-purpose AI (GPAI).

Alle GPAI-providers moeten ten minste:

• Technische documentatie op orde houden.
• Specificaties delen met downstream-aanbieders en afnemers.
• Een copyright-policy toepassen gericht op opt-out verzoeken.
• Een publieke samenvatting voorzien over waar welke trainingsdata vandaan kwam.

Daarnaast kan er sprake zijn van een zogenoemd "systemic risk". In de wet ligt de drempel voor systematisch risico bij modellen getraind met een compute groter dan 10^25 FLOPs. Deze modellen moeten bovendien model-evaluaties doen, het systeemrisico adequaat mitigeren, incident reporting oppakken en zware cybersecuritymaatregelen doorvoeren. Via een goede AI-training leren betrokkenen in uw bedrijf efficiënt met deze regelgeving omspringen.

Sancties (art. 99)

Artikel 99 stelt expliciete, hoge maxima voor boetes wanneer de normen worden overtreden:

• Voor overtredingen van de verboden AI-praktijken (art. 5) kan de boete oplopen tot maximaal € 35 miljoen of 7% van de wereldwijde jaaromzet (waarbij het hoogste bedrag geldt).
• Bij niet-naleving van overige verplichtingen, bijvoorbeeld de regels door high-risk providers en deployers, zijn sancties denkbaar tot € 15 miljoen of 3% wereldwijde omzet.
• Mocht u onjuiste of misleidende informatie via uw bedrijf verstrekken aan toezichthouders, krijgt u een prent met boetes tot € 7,5 miljoen of 1% omzet.

Belangrijk in deze bedragen: voor zowel MKB-ondernemingen als start-ups geldt standaard het vóórdeel, hierbij wordt het laagste van de twee bedragen gehanteerd in plaats van de reguliere hoogste optie.

Toezicht in Nederland (AP, RDI, uitvoeringswet)

De governance voor regulering is op Europees niveau bij het nieuwe European AI Office belegd. Dit valt rechtstreeks onder de Commissie (DG CNECT). Daarnaast functioneert de op te zetten AI Board, gesteund door een Europees wetenschappelijk panel (scientific panel) en adviesforum (advisory forum).

Op landelijk niveau dient elke EU-lidstaat uiterlijk 2 augustus 2025 een nationale marktoezichthouder (market surveillance authority) en zogeheten 'notifying authority' aangewezen te hebben.

In Nederland is de situatie op dit moment als volgt:

• De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) zijn aangewezen voor het centrale toezicht. De AP houdt toezicht op de verboden AI-praktijken, op het merendeel van de hoog-risicosystemen uit bijlage III en op de transparantieverplichtingen. AP en RDI vervullen samen de coördinerende rol, waarbij de RDI het centrale aanspreekpunt richting Europa is.
• De internetconsultatie voor de Uitvoeringswet AI-verordening liep tot 1 juni 2026. De wet treedt naar verwachting later in werking dan 2 augustus 2026; de AI-verordening zelf werkt in de tussentijd rechtstreeks, ongeacht de nationale uitvoeringswet.
• AP en RDI zetten een AI-testomgeving (regulatory sandbox) op waarin organisaties hun AI-systemen onder begeleiding van de toezichthouders kunnen testen. Lidstaten hebben hiervoor tot 2 augustus 2027 de tijd.

Praktisch stappenplan voor organisaties

Zorg ervoor dat AI-compliance systematisch wordt bekeken aan de hand van de volgende op de verordening gebaseerde stappen:

1. Start met AI-geletterdheid (art. 4): Begin met het creëren van kennis bij uw medewerkers; volgens het tijdpad van de Commissie wordt dit op 2 februari 2025 al vereist.
2. Toets op verboden praktijken (art. 5): Controleer en vermijd tools die bijvoorbeeld ongericht via scraping gezichtsbeelden opbouwen of realtime meten via kwetsbare emotieherkenning op kantoor.
3. Identificeer uw risicocategorieën: Ga na of er systemen binnen uw bedrijf onder hoog risico (bijlages I of III) vallen en controleer in de toekomst uw CE-markering, óf merk uw chatbot aan voor de transparantie-eis.
4. Integreer de Transparantieplicht (art. 50): Waarborg dat iedere AI-gegenereerde deepfake of chatbot duidelijk, herkenbaar wordt gepresenteerd richting eindgebruikers.
5. Beheer uw General-Purpose AI verzoeken: Indien u breed getrainde taalmodellen bouwt of aanbiedt, let op documentatie en check de copyright opt-out voorkeuren van content-eigenaren. Controleer tevens of het rekenvermogen voor modeltraining de 10^25 FLOPs grens overschrijdt in verband met extra cybersecuritywetgeving.
6. Plan op de nieuwe deadlines: gebruik het uitstel naar 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I) om risicomanagement, technische documentatie, conformiteitsbeoordeling en menselijk toezicht rustig in te richten. Maar regel transparantie (art. 50) en het uitsluiten van verboden praktijken (art. 5) nú — die data staan wél vast.