Wat is het doel van de AI Act?
De AI Act is, net als de Data Act en NIS-2, onderdeel van de digitale strategie van de Europese Unie. Met de AI Act wil de EU beter vat krijgen op de voorwaarden waaronder AI-systemen worden ontwikkeld, aangeboden en gebruikt. Een belangrijk uitgangspunt van de AI Act is dat AI-systemen die onder de AI Act vallen veilig, transparant, traceerbaar, niet-discriminerend en milieuvriendelijk moeten zijn. AI-systemen mogen nooit volledig geautomatiseerd zijn. Verder is menselijk toezicht op AI vereist om schadelijke gevolgen te voorkomen. AI mag dus niet als een ondoorzichtige “black box” functioneren wanneer de gevolgen voor mensen of organisaties groot kunnen zijn.
De AI Act werkt met een risicogebaseerde aanpak. Hoe groter het risico van een AI-systeem, hoe zwaarder de verplichtingen. Sommige AI-toepassingen zijn zelfs verboden, terwijl voor andere systemen vooral transparantieverplichtingen gelden. Het doel is om innovatie mogelijk te maken, maar tegelijkertijd misbruik, manipulatie en schade voor burgers en bedrijven te beperken.
Wat zijn AI-systemen onder de AI Act?
Onder AI-systemen wordt volgens de AI Act verstaan: een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en dat, voor expliciete of impliciete doelstellingen, uit de ontvangen input afleidt hoe output te genereren zoals voorspellingen, inhoud, aanbevelingen of beslissingen die van invloed kunnen zijn op fysieke of virtuele omgevingen.
Kenmerkend voor een AI-systeem ten opzichte van reguliere software is dat de output niet van tevoren vaststaat vanwege het gebruik van een strikt algoritme.
De definitie is bewust ruim gekozen om ervoor te zorgen dat de AI Act niet snel achterhaald raakt. De AI Act is van toepassing op het in de handel brengen, het in gebruik stellen en het gebruik van AI-systemen in de Unie. De Act is dus niet alleen van toepassing op aanbieders van AI-systemen, maar ook op de eventuele importeur, distributeur of professionele gebruiker.
Enkele belangrijke uitgangspunten van de AI Act:
De AI Act classificeert AI-systemen op basis van hun risico. Grofweg zijn er drie risico-indelingen:
1. Onaanvaardbaar risico: verboden AI-praktijken
AI-systemen die onaanvaardbare risico’s met zich meebrengen zijn sinds 2 februari 2025 verboden (artikel 5 AI Act). Het gaat om toepassingen die een duidelijke bedreiging kunnen vormen voor de veiligheid, rechten of vrijheden van mensen. Voorbeelden zijn bepaalde manipulatieve technieken, social scoring en sommige vormen van biometrische identificatie of gezichtsherkenning.
2. Hoog risico: strenge complianceverplichtingen
Het grootste deel van de AI Act heeft betrekking op AI-systemen die een hoog risico vormen. De AI Act bepaalt dat twee typen AI-systemen hoogrisicovol zijn, namelijk:
- AI-systemen die worden gebruikt als (veiligheidscomponent van/in) een fysiek product dat valt onder harmonisatiewetgeving in de EU. Te denken valt bijvoorbeeld aan regelgeving op het gebied van burgerluchtvaart, voertuigbeveiliging, scheepsuitrusting, speelgoed en persoonlijke beschermingsmiddelen (Bijlage I, AI Act); en
- AI-systemen die worden gebruikt in specifieke sectoren of situaties en zijn opgenomen in Bijlage III van de AI Act. Bijvoorbeeld op het gebied van biometrie, kritieke infrastructuur, onderwijs en beroepsopleiding, werkgelegenheid, personeelsbeheer, uitkeringen, migratie, democratische processen en rechtshandhaving. Let op: er geldt een uitzondering voor systemen die slechts een procedurele taak uitvoeren of het resultaat van een eerder voltooide menselijke activiteit verbeteren.
Aanbieders van AI-systemen met een hoog risico dienen aan strenge voorwaarden te voldoen op het gebied van veiligheid, transparantie en traceerbaarheid. Dergelijke systemen moeten onder andere een risicobeheersysteem bevatten. Ook gelden er strenge eisen voor de kwaliteit van datasets waarmee getraind wordt. Een hoog-risico-AI-systeem moet daarnaast automatisch loggen, technische documentatie voorhanden hebben, instructies geven voor gebruik, voldoen aan verschillende eisen voor cybersecurity en beschikken over een systeem van menselijk toezicht.
De toepassing van deze verplichtingen verloopt gefaseerd. Voor de tweede categorie hoog-risico-AI-systemen (Bijlage III, AI Act), gelden de regels volgens de huidige planning vanaf 2 december 2027. Voor hoog-risico-AI die is ingebed in gereguleerde fysieke producten (categorie 1) (Bijlage I, AI Act), gelden de regels vanaf 2 augustus 2028. Inwerkingtreding van deze twee categorieën is verschoven van augustus 2026 naar 2027 en 2028 door de recent in werking getreden Verordening Digitale Omnibus AI. Deze verordening ondersteunt innovatie en concurrentievermogen door de naleving voor kleinere bedrijven te vergemakkelijken, de termijnen te verlengen, de test- en experimenteermogelijkheden uit te breiden en meer juridische duidelijkheid te bieden voor bedrijven die AI in Europa ontwikkelen en inzetten.
Verlenging van de termijnen betekent niet dat organisaties kunnen (blijven) afwachten. Het is belangrijk om nu al in kaart te brengen welke AI-systemen er worden gebruikt of aangeboden, en als die systemen als hoog risico kunnen kwalificeren, is het belangrijk om te weten welke documentatie, contractuele afspraken en interne procedures nodig zijn.
3. Laag risico: transparantieverplichtingen
Voor AI-systemen met een beperkter (laag) risico gelden vanaf 2 augustus 2026 transparantieverplichtingen (artikel 50 AI Act). De kern is dat mensen moeten weten wanneer zij met AI te maken hebben of wanneer content kunstmatig is gegenereerd of gemanipuleerd (bewerkt).
Dat betekent bijvoorbeeld dat chatbots en andere interactieve AI-systemen die een directe interactie hebben met natuurlijke personen, gebruikers moeten informeren dat zij met AI communiceren en niet met een mens, tenzij dat voor de gebruiker evident is (lid 1). Ook gebruikers van een AI-systeem dat teksten genereert of bewerkt om het publiek te informeren (ten behoeve van het algemene belang) moet in bepaalde gevallen bekendmaken dat deze content kunstmatig is gegenereerd of bewerkt. Lees voor meer praktische tips en duiding over AI-gegenereerde content inclusief de geldende uitzonderingen de andere blog van Joost van Dongen en Myra Grobben (blog AI-gegenereerde content gemaakt? Let op de AI-gebruiksmelding).
Voor deepfakes geldt dat duidelijk moet worden gemaakt dat de content kunstmatig is gegenereerd of gemanipuleerd (lid 4). Bij AI-gegenereerde media kan daarnaast voor de aanbieder van een AI-systeem een machineleesbare markering vereist zijn, zodat de content makkelijker kan worden gedetecteerd (lid 2). Het doel van deze regels is om misleiding en manipulatie tegen te gaan en gebruikers in staat te stellen een geïnformeerde keuze te maken.
Voor bedrijven die generatieve AI gebruiken in marketing, klantenservice, recruitment of online publicaties, is dit zeer relevant. Denk aan AI-gegenereerde afbeeldingen, video’s, productteksten, nieuwsachtige berichten of content die voor een breed publiek wordt gepubliceerd.
Voorts regelt de AI Act het volgende:
- De AI Act introduceert een systeem waarbij een entiteit, die niet de aanbieder is, tóch als aanbieder wordt aangemerkt. Voor deze entiteit gelden dan eveneens strenge verplichtingen wanneer het een hoog risico AI-systeem betreft;
- Importeurs en distributeurs van AI-systemen moeten verifiëren of het systeem voldoet. Distributeurs moeten onder andere controleren of het AI-systeem voldoet aan CE-vereisten;
- Niet voldoen aan de AI Act kan leiden tot boetes. Net als bij de AVG zijn er verschillende toezichthoudende autoriteiten die boetes kunnen opleggen wanneer niet wordt voldaan aan de verplichtingen uit de AI Act;
- Burgers hebben op grond van de AI Act de mogelijkheid om schadeclaims in te dienen bij de producent of aanbieder van een AI-systeem. Aansprakelijkheid voor schade kan niet worden uitgesloten en er geldt een omkering van de bewijslast.
Gevolgen van de AI Act?
De AI Act heeft verstrekkende gevolgen voor aanbieders, importeurs, distributeurs en professionele gebruikers van AI-systemen. De impact verschilt echter per rol en type AI-systeem. Het is dus belangrijk om te inventariseren welke AI-systemen binnen de organisatie worden gebruikt, door wie en met welk doel; dit geldt zowel voor grote AI-projecten als voor laagdrempelige tools. Beoordeel vervolgens per systeem welke rol uw organisatie heeft. De regels en verplichtingen verschillen immers per type AI-systeem en de rol die daarbij wordt vervuld.
Daarnaast dient uw organisatie ermee rekening te houden dat de AI Act niet volledig op zichzelf staat. AI-systemen dienen namelijk ook te voldoen aan de al bestaande wetgeving. Op het gebied van intellectuele eigendom bestaat op dit moment nog onduidelijkheid over de vraag of AI-gegenereerd werk auteursrechtelijk beschermd kan worden. In maart 2026 heeft het Europees Parlement bijvoorbeeld wel kenbaar gemaakt dat het van oordeel is dat inhoud die volledig door AI is gegenereerd niet door het auteursrecht mag worden beschermd.[1] Het werk mist immers een persoonlijke stempel van de maker. Duidelijk is wel dat met AI-gegenereerd werk inbreuk kan worden gemaakt op auteursrechten van derden.
Ook de gebruikersvoorwaarden van AI-leveranciers zijn belangrijk en kunnen van invloed zijn op het gebruik van de output. Partijen die samenwerken met aanbieders van AI-systemen zullen contractuele afspraken moeten maken. Daarbij spelen onderwerpen als aansprakelijkheid en toegankelijkheid een belangrijke rol. Ook regelgeving op het gebied van cybersecurity (denk aan NIS-2) heeft een groot effect op AI.
Kortom, organisaties hebben genoeg (voorbereidende) werkzaamheden te doen. Heeft uw organisatie daar hulp bij nodig? Neem gerust contact op met een van onze specialisten.
