EU AI Act uitgelegd: wat is de Europese AI-verordening?

Je gebruikt misschien al AI, zoals een chatbot of een slimme zoekfunctie. Als je deze tools gebruikt dan hoor je je als bedrijf aan de Europese AI-verordening te houden. In deze blog lees je precies wat deze verordening (wet) inhoudt. En voor wie deze nieuwe regels gelden.

De EU AI Act is de Europese verordening (ook wel een Wet genoemd) die gaat over het inzetten van Kunstmatige intelligentie, officieel ook wel Verordening (EU) 2024/1689 genoemd. Hierin staan regels voor AI-systemen die in de EU worden aangeboden of worden gebruikt. Het doel van de wet is om risico's voor de veiligheid en grondrechten te beperken.

Een Europese verordening geldt in alle EU-landen. Ook organisaties van buiten de EU kunnen onder de wet vallen, bijvoorbeeld als de output van hun AI-systeem in de EU wordt gebruikt.

De EU AI Act deelt AI-toepassingen in op basis van risico. Hoe groter het mogelijke risico voor veiligheid of grondrechten, hoe strenger de regels zijn. De Europese Commissie onderscheidt AI in de volgende categorieën: verboden toepassingen, hoogrisicosystemen, transparantieverplichtingen en minimaal risico. In de tabel hieronder zie je voorbeelden en wat de indeling betekent.

De risicocategorie hangt af van het doel en de inzet van een AI-systeem. Een systeem dat sollicitanten beoordeelt of helpt bepalen of iemand een toeslag krijgt heeft een hoger impact dan bijvoorbeeld een intern document generatie systeem. De beslissingen hebben namelijk direct impact op een persoon. Bij AI voor sollicitaties en toeslagen is het daarom belangrijk om de toepassing van de AI zorgvuldig te beoordelen.

Transparantie betekent dat je kunt herkennen wanneer je met AI te maken hebt. Praat je bijvoorbeeld met een AI-stemassistent, dan moet duidelijk worden gemaakt dat je niet met een echte persoon praat.

Bij AI gegenereerde content maken de transparantieregels verschil tussen twee soorten aanduidingen:

• Digitale markering: een herkenningsteken in de AI-gegenereerde tekst, beeld, audio of video. Een voorbeeld hiervan kan het digitaal watermerk bij een afbeelding zijn. Deze is dan niet zichtbaar voor de gebruiker maar wel te herkennen in de gegevens van de content.

• Zichtbaar AI-label: een duidelijke vermelding voor mensen. Bij een deepfake, zoals een nagemaakte video waarin iemand iets lijkt te zeggen wat diegene nooit heeft gezegd, moet aan het begin al duidelijk worden gemaakt dat de inhoud met AI is gegenereerd of bewerkt.

De EU AI act schrijft verschillende verplichting voor aanbieders en gebruikers van AI tools. Een aanbieder brengt een systeem onder eigen naam op de markt. Een gebruiksverantwoordelijke, in de wet 'deployer', gebruikt zo'n systeem onder eigen verantwoordelijkheid. Alleen Privégebruik valt buiten deze regels.

Koop je een kant-en-klare AI-tool voor je werk, dan ben je doorgaans gebruiksverantwoordelijke, niet de aanbieder. Ook dan kunnen regels van toepassing zijn. Verander je het beoogde doel of pas je het systeem ingrijpend aan, dan kan je rol nog eens veranderen.

Niet alleen organisaties hebben met de wet te maken. Inwoners van de EU kunnen bij een toezichthouder klagen over een schending van de AI Act. Dit kan gebeuren als diegene inzichten wil in hoe bijvoorbeeld gevoelige data is verwerkt.

De regels van de AI Act gelden niet allemaal vanaf dezelfde datum. In de tijdlijn hieronder staan de belangrijkste ingangsdata. De Autoriteit Persoonsgegevens beschrijft ook een overgangstermijn voor digitale markering bij bepaalde systemen die al op de markt waren.

De termijnen voor bepaalde hoogrisicosystemen zijn in 2026 gewijzigd. De Europese Commissie heeft deze datums hier opgenomen.

De Europese AI Act geldt rechtstreeks in Nederland. Nederland moet daarnaast regelen wie toezicht houdt en hoe de regels worden gehandhaafd.

Nationale toezichthouders controleren onder meer de verboden AI-toepassingen, de eisen voor hoogrisicosystemen en de transparantieregels. Het Europese AI-bureau houdt toezicht op verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden. Zo is het toezicht verdeeld tussen Nederland en de EU.

Begin met een overzicht van de AI-systemen die je organisatie gebruikt. Noteer per systeem het doel, wie ermee werkt en wie erdoor wordt geraakt. Controleer vervolgens of een toepassing verboden is, mogelijk hoog risico heeft of onder transparantieregels valt. Wil je hierbij hulp neem dan contact op!

Gebruik je een hoogrisico-AI-systeem, dan kunnen extra taken gelden. Denk aan gebruik volgens de instructies van de aanbieder, menselijk toezicht, passende invoergegevens en het melden van ernstige incidenten. Welke taken precies gelden, hangt af van je rol en de toepasselijke ingangsdatum. Verwerk je persoonsgegevens, toets het gebruik dan ook aan de AVG.

Zorg voor AI-geletterdheid die past bij de taken van medewerkers, de context en de risico's. Voor een praktische basis over veilig AI-gebruik kun je de cursus AI-Wijzer gebruiken.