EU AI Act: wat je bedrijf moet doen vóór de deadline van augustus 2026

Wat de EU AI Act is

De EU AI Act (Verordening EU 2024/1689) is 's werelds eerste alomvattende wettelijke kader voor kunstmatige intelligentie. De wet werd op 12 juli 2024 gepubliceerd en trad op 1 augustus 2024 in werking. In tegenstelling tot sectorspecifieke regels die AI in bepaalde sectoren regelen, is de wet horizontaal van toepassing op alle sectoren en alle AI-gebruiksgevallen, waarbij gebruik wordt gemaakt van een risicogebaseerde benadering om te bepalen welke verplichtingen van toepassing zijn.

De wet schept verplichtingen voor twee belangrijke soorten actoren. Aanbieders AI-systemen ontwikkelen en op de EU-markt brengen – denk aan softwareleveranciers, SaaS-bedrijven en ontwikkelaars van AI-tools. Implementeerders AI-systemen in een professionele context onder eigen gezag gebruiken. De meeste bedrijven – inclusief het MKB dat kant-en-klare AI-tools gebruikt voor HR, klantenservice of bedrijfsvoering – zijn implementeerders en geen leveranciers. Aanbieders hebben zwaardere verplichtingen. Implementeerders van risicovolle AI hebben lichtere, maar nog steeds inhoudelijke.

De vier risiconiveaus

De wet classificeert AI-systemen in vier niveaus. Het niveau bepaalt uw verplichtingen – van helemaal niets voor de meeste dagelijkse AI tot een volledig verbod voor de gevaarlijkste toepassingen.

Verboden AI: wat sinds februari 2025 verboden is

De verbodsbepalingen uit Hoofdstuk II van de wet zijn op 2 februari 2025 van kracht geworden. Als uw organisatie gebruik maakt van een van de volgende zaken, bent u al in overtreding.

• Subliminale manipulatie: AI die mensen beïnvloedt via technieken die buiten de bewuste waarneming opereren om hun gedrag of beslissingen te vervormen op een manier die schade veroorzaakt.
• Kwetsbaarheden misbruiken: AI die de kwetsbaarheden van specifieke groepen – leeftijd, handicap, sociale of economische situatie – uitbuit om hun gedrag op schadelijke wijze te vervormen.
• Sociaal scoren: AI die door overheidsinstanties wordt gebruikt om individuen te beoordelen of te classificeren op basis van hun sociale gedrag of persoonlijke kenmerken, wat leidt tot een schadelijke of ongunstige behandeling.
• Voorspelling van crimineel gedrag door profilering: AI die het risico inschat dat een persoon een misdrijf pleegt, uitsluitend gebaseerd op profilering of persoonlijkheidskenmerken, in plaats van op objectieve, verifieerbare feiten.
• Ongericht biometrisch schrapen: AI-systemen die gezichtsherkenningsdatabases creëren of uitbreiden door afbeeldingen van internet of CCTV-beelden te schrappen zonder een specifiek doel.
• Emotieherkenning op de werkvloer en in het onderwijs: AI die de emoties van werknemers of studenten afleidt. Dit is een directe en onmiddellijke zorg voor werkgevers die instrumenten voor het monitoren van stemming of betrokkenheid gebruiken.
• Biometrische categorisering op basis van gevoelige kenmerken: AI die mensen op basis van biometrische gegevens categoriseert in groepen die worden gedefinieerd op basis van ras, politieke overtuiging, religie, seksuele geaardheid of andere gevoelige kenmerken.
• Realtime biometrische identificatie op afstand in openbare ruimtes: AI wordt gebruikt voor live biometrische identificatie van mensen in publiek toegankelijke ruimtes, behoudens beperkte en streng gecontroleerde uitzonderingen op het gebied van wetshandhaving.

Hoogrisico-AI: de acht bijlage III-categorieën

Bijlage III somt de categorieën AI-systemen op die als hoog risico worden geclassificeerd. De verplichtingen voor aanbieders en uitvoerders in deze categorieën gelden vanaf 2 augustus 2026. De meeste organisaties zullen risico’s tegenkomen in de categorieën arbeidsbemiddeling en financiële dienstverlening.

Wat aanbieders van risicovolle AI moeten doen

Als uw organisatie gebruik maakt van een risicovol AI-systeem, zijn uw verplichtingen als uitvoerder anders dan die van de aanbieder. De aanbieder is verantwoordelijk voor het ontwerp, de documentatie en de conformiteitsbeoordeling van het systeem. U bent verantwoordelijk voor het gebruik ervan.

• Gebruik het zoals bedoeld: U dient het systeem te gebruiken in overeenstemming met de gebruiksaanwijzingen van de aanbieder. Wijzigingen of gebruiksgevallen die buiten de beoogde reikwijdte vallen, verschuiven de aansprakelijkheid jegens u.
• Implementeer menselijk toezicht: U moet een persoon aanwijzen met de noodzakelijke competentie, autoriteit en middelen om menselijk toezicht op de werking van het systeem uit te voeren. Volledig geautomatiseerde risicovolle beslissingen zonder zinvolle menselijke beoordeling zijn niet toegestaan.
• Monitor op onverwacht gedrag: U moet toezicht houden op de werking van het systeem en ernstige incidenten of storingen melden aan de aanbieder en, indien vereist, aan de relevante markttoezichtautoriteit.
• Houd logboeken bij: Wanneer het AI-systeem automatisch logbestanden genereert, moet u deze logbestanden bewaren gedurende de periode die vereist is door de toepasselijke wetgeving.
• Informeer de getroffen werknemers: Als het AI-systeem gevolgen heeft voor werknemers – bijvoorbeeld bij het monitoren van prestaties of het toewijzen van taken – moet u de werknemers en hun vertegenwoordigers informeren over het gebruik van het systeem voordat het wordt ingezet.
• Voer een grondrechteneffectbeoordeling (FRIA) uit: Implementeerders die overheidsinstanties zijn, of die AI met een hoog risico inzetten voor kredietscores, verzekeringen of bepaalde andere diensten, moeten vóór de implementatie een FRIA uitvoeren en documenteren.

AI-modellen voor algemeen gebruik: wat implementeerders moeten weten

General Purpose AI (GPAI)-modellen – de grote basismodellen die ten grondslag liggen aan ChatGPT, Microsoft Copilot, Google Gemini en soortgelijke tools – vallen onder een apart spoor in de wet. GPAI-verplichtingen voor providers zijn vanaf 2 augustus 2025 afdwingbaar geworden.

Voor de meeste bedrijven is het belangrijkste punt dit: wanneer u een GPAI-model gebruikt via een API, een abonnementsproduct of een platform zoals Microsoft 365 Copilot, bent u een implementeerder van dat GPAI-systeem. De provider – OpenAI, Microsoft, Google – draagt ​​de primaire GPAI-nalevingsverplichtingen, waaronder het bijhouden van technische documentatie, het publiceren van samenvattingen van trainingsgegevens en het voldoen aan de EU-auteursrechtwetgeving. U erft hun naleving via hun voorwaarden en transparantiedocumentatie.

De situatie verandert echter als je voortbouwt op een GPAI-model. Als u een basismodel verfijnt, toevoegt aan een product dat u op de markt brengt, of een GPAI-model gebruikt om een ​​applicatie aan te drijven die in een risicovolle Annex III-categorie valt – zoals een GPAI-aangedreven CV-screeningtool – dan gaat u verplichtingen aan als aanbieder van die downstream-applicatie. De naleving van de onderliggende GPAI-provider dekt niet de risicovolle applicatie die u erbovenop hebt gebouwd.

GPAI-modellen met systeemrisico

GPAI-modellen die zijn getraind met behulp van meer dan 10²⁵ drijvende-kommabewerkingen (ruwweg gelijkwaardig aan de meest capabele grensmodellen die momenteel beschikbaar zijn) worden aangemerkt als systeemrisico's. Hun leveranciers worden geconfronteerd met aanvullende vereisten: tests op tegenspraak, het melden van incidenten aan het Europese AI-bureau, cyberbeveiligingsmaatregelen en rapportage over energie-efficiëntie. Als uitvoerder van deze modellen zijn uw verplichtingen ongewijzigd, maar u moet bevestigen dat uw GPAI-provider zich heeft geregistreerd bij het EU AI Office en de vereiste transparantiedocumentatie heeft gepubliceerd.

De implementatietijdlijn

Wat de meeste bedrijven nu moeten doen

Nu de deadline van augustus 2026 nadert, is het nuttigste startpunt een gestructureerde inventarisatie van uw AI-gebruik. U kunt uw verplichtingen niet beoordelen zonder eerst te weten welke AI-systemen u gebruikt en in welke context.

Stap 1: Inventariseer uw AI-gebruik

Maak een lijst van alle AI-systemen die in uw organisatie worden gebruikt – niet alleen de systemen die IT heeft aangeschaft, maar ook de tools die door individuele teams en individuen worden gebruikt. Inclusief productiviteits-AI (Copilot, ChatGPT), HR-platforms met AI-functies, klantgerichte chatbots, tools voor fraudedetectie en alle analyseplatforms die beslissingen nemen of informeren over mensen. Shadow AI is hier een reëel risico: veel organisaties ontdekken via dit proces dat werknemers AI-tools gebruiken waar hun IT-functie niet naar heeft gekeken.

Stap 2: Classificeer elk systeem op risiconiveau

Bepaal voor elk geïdentificeerd systeem welk niveau van toepassing is. De belangrijkste vraag voor de meeste MKB-bedrijven: neemt het AI-systeem beslissingen over mensen in de context van werkgelegenheid, onderwijs, kredietverlening of essentiële diensten, of ondersteunt het deze in belangrijke mate? Zo ja, dan is er waarschijnlijk sprake van een hoog risico. Als het een chatbot is waarvan gebruikers weten dat ze ermee praten, is het risico beperkt. Als het een aanbevelingsmotor of een interne productiviteitstool is, is het risico waarschijnlijk minimaal.

Stap 3: Controleer uw HR- en recruitment-AI

Werkgelegenheid en werknemersbeheer is de categorie van bijlage III die het meest relevant is voor het breedste scala aan organisaties. Als u een tool gebruikt die het screenen van cv's, het rangschikken van kandidaten, het plannen van sollicitatiegesprekken, het monitoren van de productiviteit van werknemers of het nemen van beslissingen over taaktoewijzing automatiseert of helpt, controleer dan of de aanbieder van die tool over documentatie beschikt die hun benadering van de AI Act bevestigt. Vraag uw HR-technologieleveranciers rechtstreeks: zijn uw systemen geclassificeerd als risicovol onder de EU AI Act, en wat is uw compliance-roadmap?

Stap 4: Controleer uw verboden AI-blootstelling

Doorloop de verboden AI-categorieën en controleer of een huidige tool mogelijk binnen het toepassingsgebied valt. Emotieherkenning en monitoring op de werkplek zijn de twee meest waarschijnlijke risico's voor organisaties uit de particuliere sector. Elk platform dat gezichtsuitdrukkingen, stemgeluid of fysiek gedrag analyseert om de betrokkenheid van medewerkers of de emotionele toestand af te leiden, moet onmiddellijk worden beoordeeld.

Stap 5: Update uw AI-beleid en informeer uw personeel

De wet verplicht aanbieders van AI met een hoog risico om werknemers te informeren wanneer AI-systemen worden gebruikt bij arbeidsbeslissingen. Naast de wettelijke vereiste is het bewustzijn van het personeel over welke AI-instrumenten in gebruik zijn en hoe deze werken een goed bestuur. Werk uw beleid voor acceptabel gebruik bij om generatieve AI aan te pakken, documenteer welke tools zijn goedgekeurd en voor welke doeleinden, en zorg ervoor dat de persoon die verantwoordelijk is voor AI-toezicht zowel de autoriteit als de tijd heeft om dit uit te oefenen.

Ons audit- en complianceteam werkt samen met organisaties om hun AI Act-gereedheidsbeoordelingen te structureren, van inventarisatie tot gap-analyse tot herstel. Ons AI-adviespraktijk ondersteunt bedrijven die AI op verantwoorde wijze inzetten in gereguleerde sectoren, waaronder de financiële dienstverlening, de gezondheidszorg en de horeca.

De fijne structuur

De wet voorziet in een drieledige strafstructuur. Nationale markttoezichtautoriteiten zijn verantwoordelijk voor de handhaving binnen elke lidstaat, waarbij het Europese AI-bureau rechtstreeks toezicht houdt op GPAI-aanbieders.

• Verboden AI-overtredingen: Tot € 35 miljoen of 7% van de totale wereldwijde jaaromzet, afhankelijk van welke van de twee het hoogst is.
• Niet-naleving van AI-verplichtingen met een hoog risico: Tot € 15 miljoen of 3% van de totale wereldwijde jaaromzet, afhankelijk van welke van de twee het hoogst is.
• Het verstrekken van onjuiste, onvolledige of misleidende informatie aan autoriteiten: Tot € 7,5 miljoen of 1% van de totale wereldwijde jaaromzet, afhankelijk van welke van de twee het hoogst is.

Voor kleine en middelgrote ondernemingen en startende ondernemingen worden de boetes gemaximeerd op het laagste bedrag: het absolute plafond of het percentage van de omzet. Dit biedt enige bescherming ten opzichte van de behandeling van grote bedrijven, maar de absolute cijfers blijven op elke schaal significant. Het European AI Office heeft aangegeven dat de handhaving zich in eerste instantie zal richten op de ernstigste overtredingen en op herhaalde of nalatige niet-naleving, in plaats van op de eerste keer dat organisaties technische inbreuken plegen door organisaties die zich daadwerkelijk inspannen om hieraan te voldoen.