De AI Act is de Europese verordening die eisen stelt aan de ontwikkeling en het gebruik van kunstmatige intelligentie. De regels komen gefaseerd, een deel is al van kracht en een deel is inmiddels uitgesteld.
Kort samengevat
- Het geldt ook voor u als gebruiker. Niet alleen ontwikkelaars vallen eronder, ook organisaties die AI inzetten in hun eigen processen.
- Drie fases zijn ingegaan. Verboden praktijken en AI-geletterdheid sinds februari 2025, de regels voor AI-modellen voor algemene doeleinden sinds augustus 2025 en de transparantieverplichtingen sinds 2 augustus 2026.
- De hoogrisico-eisen zijn verschoven. Naar 2 december 2027, en voor AI in producten naar 2 augustus 2028.
- De AVG blijft gewoon gelden. Uitstel onder de AI Act is geen uitstel van uw privacyverplichtingen.
- Begin bij de inventarisatie. Zonder overzicht van wat er in huis wordt gebruikt, kunt u niets beoordelen.
De AI Act, formeel Verordening (EU) 2024/1689, trad op 1 augustus 2024 in werking. De verplichtingen komen niet allemaal tegelijk, en de fasering is sinds de invoering ook nog een keer gewijzigd. Dat maakt de vraag wat er nu precies van u wordt verwacht lastiger dan hij zou moeten zijn.
Voor wie geldt de AI Act?
Een hardnekkig misverstand is dat de verordening alleen techbedrijven raakt. Dat klopt niet. De AI Act onderscheidt verschillende rollen, en de twee die er voor de meeste organisaties toe doen zijn de aanbieder en de gebruiksverantwoordelijke.
Een aanbieder ontwikkelt een systeem of brengt het onder eigen naam op de markt. Een gebruiksverantwoordelijke zet een bestaand systeem in onder eigen verantwoordelijkheid. Dat tweede is waar verreweg de meeste organisaties zitten: u koopt een tool in en gebruikt die in uw werving, uw klantcontact of uw dossiervorming.
De zwaarste eisen liggen bij de aanbieder. Maar u ontkomt als gebruiksverantwoordelijke niet aan eigen plichten. U moet het systeem gebruiken volgens de instructies van de aanbieder, zorgen voor menselijk toezicht door mensen die daar ook werkelijk toe in staat zijn, en in bepaalde gevallen de mensen informeren met wie het systeem in aanraking komt.
Let op een valkuil. Zet u een ingekocht systeem structureel anders in dan waarvoor het bedoeld is, of brengt u het onder uw eigen naam naar buiten, dan kunt u zelf als aanbieder worden aangemerkt. Dan gelden de zware eisen ineens wel voor u.
Welke risiconiveaus kent de verordening?
De AI Act werkt met vier niveaus, en dat onderscheid bepaalt vrijwel alles wat er verder van u wordt verwacht.
- Onaanvaardbaar risico. Verboden. Denk aan sociale scoring door overheden en bepaalde vormen van emotieherkenning op de werkvloer.
- Hoog risico. Toegestaan, maar met stevige eisen rond risicobeheer, datakwaliteit, documentatie, logging en menselijk toezicht.
- Beperkt risico. Vooral transparantie. De mens aan de andere kant moet weten dat hij met AI te maken heeft.
- Minimaal risico. Nauwelijks aanvullende eisen.
De meeste toepassingen in het bedrijfsleven vallen in de onderste twee categorieën. De uitzondering zit vaak in beslissingen over mensen, en dan met name in werving, in toegang tot voorzieningen en in de beoordeling van medewerkers.
Welke verplichtingen gelden nu al?
Er is inmiddels een flink deel van kracht. Sinds 2 februari 2025 gelden de verboden praktijken uit artikel 5. Zet u een systeem in dat onder een verbod valt, dan bent u dus nu al in overtreding, en daar is geen overgangstermijn voor.
Vanaf diezelfde datum geldt de plicht rond AI-geletterdheid. Organisaties moeten ervoor zorgen dat medewerkers die met AI werken voldoende kennis hebben om dat verantwoord te doen. Die verplichting is bij de wijziging van 2026 iets zachter geformuleerd, maar hij is niet verdwenen. Een gestructureerde aanpak via bijvoorbeeld een privacy en security awareness e-learning is daarvoor de meest praktische route, juist omdat u de inspanning moet kunnen aantonen.
Sinds 2 augustus 2025 gelden de regels voor AI-modellen voor algemene doeleinden en het bijbehorende toezicht. En sinds 2 augustus 2026 gelden de transparantieverplichtingen. Dat is de fase die de meeste organisaties direct raakt: gebruikt u een chatbot, genereert u teksten of beelden met AI, of zet u emotieherkenning in, dan moet u daar open over zijn.
Wat is er uitgesteld en wat betekent dat?
De verplichtingen voor hoogrisicosystemen zouden oorspronkelijk op 2 augustus 2026 ingaan. Dat is niet doorgegaan. Een wijzigingsverordening die op 24 juli 2026 in het Publicatieblad verscheen verschuift de eisen voor hoogrisicosystemen uit bijlage III naar 2 december 2027, en die voor AI als veiligheidscomponent in producten naar 2 augustus 2028. Als reden noemt de Europese Commissie dat de geharmoniseerde normen nog niet gereed waren en dat de nationale toezichthouders te laat waren aangewezen.
Wij raden aan om dat uitstel niet te lezen als rust, om twee redenen. De inventarisatie en de documentatie die u voor het hoogrisicoregime nodig heeft, kosten sowieso maanden. En belangrijker: de AVG kent geen uitstel. Verwerkt uw systeem persoonsgegevens, dan gelden uw verplichtingen daar onverminderd.
Hoe verhoudt de AI Act zich tot de AVG?
De twee kaders bestaan naast elkaar en overlappen gedeeltelijk. Verwerkt uw AI-systeem persoonsgegevens, dan heeft u een grondslag nodig, moet u transparant zijn over de verwerking en gelden de rechten van betrokkenen. Daar verandert de AI Act niets aan.
Wat erbij komt is een productgerichte laag: eisen aan het systeem zelf, aan de documentatie en aan het toezicht erop. In de praktijk betekent dat vaak dat een bestaande DPIA wordt uitgebreid in plaats van dat er een compleet nieuw traject start. Dat scheelt aanzienlijk in doorlooptijd.
Waar begint u?
Met de saaiste stap, en dat is bewust. Maak een lijst van alle AI-systemen die in uw organisatie worden gebruikt. Niet alleen de tools die formeel zijn ingekocht, maar ook wat afdelingen zelf zijn gaan gebruiken. Die tweede categorie is meestal groter dan de directie denkt, en de vraag of medewerkers persoonsgegevens in ChatGPT of Copilot mogen invoeren is er een die vrijwel overal speelt.
Noteer per systeem wat het doet, wie het gebruikt, of er persoonsgegevens in gaan en of er beslissingen over mensen mee worden genomen. Die vier vragen brengen u verder dan welke juridische analyse ook, want zonder dat overzicht kunt u geen enkel risiconiveau bepalen.
Wat legt u vast?
Leg de uitkomst vast, en leg vooral ook de onderbouwing vast. Bij toezicht is de vraag zelden alleen wat u heeft besloten, maar bijna altijd waarom. Een systeem dat u na afweging als beperkt risico heeft geclassificeerd is verdedigbaar; diezelfde classificatie zonder enige onderbouwing is dat niet.
Sluit aan bij wat u al heeft. Uw register van verwerkingen en uw bestaande beoordelingen zijn de logische plek om de AI-inventarisatie aan te hangen, en waarom u een register van verwerkingen bijhoudt legden wij eerder uit. Loopt u vast op de samenloop met de AVG, dan is juridisch privacy advies meestal de snelste manier om te bepalen wat wel en niet nodig is.
