EU AI Act: wat er nu geldt en wat de Digital Omnibus veranderde

Wat de EU AI Act is

De EU AI Act (Verordening EU 2024/1689) is het eerste alomvattende wettelijke kader voor kunstmatige intelligentie ter wereld. Gepubliceerd op 12 juli 2024, van kracht per 1 augustus 2024. Sectorspecifieke AI-regels bestaan al, maar deze wet werkt horizontaal: alle sectoren, alle gebruiksgevallen, met een risicogebaseerde benadering om te bepalen welke verplichtingen gelden.

De wet onderscheidt twee typen actoren. Aanbieders ontwikkelen AI-systemen en brengen die op de EU-markt: softwareleveranciers, SaaS-bedrijven, ontwikkelaars van AI-tools. Implementeerders gebruiken een AI-systeem in een professionele context onder eigen gezag. De meeste bedrijven, ook het MKB dat kant-en-klare AI-tools inzet voor HR, klantenservice of bedrijfsvoering, zijn implementeerders. Aanbieders dragen zwaardere verplichtingen. Implementeerders van risicovolle AI hebben lichtere verplichtingen, maar ze zijn er wel degelijk.

De vier risiconiveaus

De wet deelt AI-systemen in vier niveaus in. Dat niveau bepaalt uw verplichtingen: van geen enkele voor de meeste dagelijkse AI tot een absoluut verbod voor de gevaarlijkste toepassingen.

Verboden AI: wat sinds februari 2025 verboden is

De verbodsbepalingen uit Hoofdstuk II zijn op 2 februari 2025 van kracht geworden. Gebruikt uw organisatie een van de onderstaande systemen, dan handelt u al in strijd met de wet.

• Subliminale manipulatie: AI die mensen beïnvloedt via technieken buiten de bewuste waarneming, waardoor hun gedrag of beslissingen op schadelijke wijze worden gestuurd.
• Kwetsbaarheden misbruiken: AI die de kwetsbaarheden van specifieke groepen uitbuit, zoals leeftijd, handicap of economische situatie, om hun gedrag op schadelijke wijze te sturen.
• Sociaal scoren: AI waarmee overheidsinstanties individuen beoordelen of classificeren op basis van sociaal gedrag of persoonlijke kenmerken, wat leidt tot nadelige behandeling.
• Voorspelling van crimineel gedrag door profilering: AI die het risico inschat dat een persoon een misdrijf pleegt op basis van profilering of persoonlijkheidskenmerken, zonder objectieve, verifieerbare feiten.
• Ongericht biometrisch schrapen: AI die gezichtsherkenningsdatabases opbouwt of uitbreidt door afbeeldingen van internet of CCTV-beelden te verzamelen zonder specifiek doel.
• Emotieherkenning op de werkvloer en in het onderwijs: AI die de emoties van werknemers of studenten registreert. Werkgevers die tools gebruiken voor het monitoren van stemming of betrokkenheid lopen hier direct risico.
• Biometrische categorisering op basis van gevoelige kenmerken: AI die mensen op grond van biometrische gegevens indeelt in groepen naar ras, politieke overtuiging, religie, seksuele geaardheid of andere gevoelige kenmerken.
• Realtime biometrische identificatie op afstand in openbare ruimtes: AI die mensen live biometrisch identificeert in publiek toegankelijke ruimtes, met uitzondering van streng afgebakende gevallen voor rechtshandhaving.

Hoogrisico-AI: de acht bijlage III-categorieën

Bijlage III omschrijft de AI-categorieën die als hoog risico gelden. De Digital Omnibus-wijzigingen van juni 2026 stelden de verplichtingen voor aanbieders en implementeerders in deze categorieën uit tot 2 december 2027. De oorspronkelijke deadline van augustus 2026 vervalt. Voor de meeste organisaties liggen de risico’s in de categorieën arbeid en financiële dienstverlening.

Wat implementeerders van hoog-risico AI moeten doen

Gebruikt uw organisatie een risicovol AI-systeem, dan gelden voor u als implementeerder andere verplichtingen dan voor de aanbieder. De aanbieder draagt verantwoordelijkheid voor ontwerp, documentatie en conformiteitsbeoordeling. U draagt verantwoordelijkheid voor het gebruik.

• Gebruik het zoals bedoeld: Gebruik het systeem conform de gebruiksaanwijzingen van de aanbieder. Wijzigingen of gebruiksgevallen buiten de beoogde reikwijdte schuiven de aansprakelijkheid naar u toe.
• Wijs menselijk toezicht aan: Wijs een persoon aan met de bevoegdheid, competentie en middelen om toezicht te houden op de werking van het systeem. Volledig geautomatiseerde hoog-risico beslissingen zonder zinvolle menselijke beoordeling zijn niet toegestaan.
• Monitor op onverwacht gedrag: Houd de werking van het systeem bij en meld ernstige incidenten of storingen aan de aanbieder en, indien vereist, aan de relevante markttoezichtautoriteit.
• Bewaar de logbestanden: Genereert het AI-systeem automatisch logbestanden, bewaar deze dan voor de periode die de toepasselijke wetgeving vereist.
• Informeer de betrokken werknemers: Heeft het AI-systeem gevolgen voor werknemers, bij het monitoren van prestaties of het toewijzen van taken, informeer dan werknemers en hun vertegenwoordigers vóór de inzet.
• Voer een grondrechteneffectbeoordeling (FRIA) uit: Overheidsinstanties, en implementeerders die hoog-risico AI inzetten voor kredietscores, verzekeringen of bepaalde andere diensten, documenteren een FRIA vóór de implementatie.

AI-modellen voor algemeen gebruik: wat implementeerders moeten weten

General Purpose AI (GPAI)-modellen, de grote basismodellen achter ChatGPT, Microsoft Copilot, Google Gemini en vergelijkbare tools, vallen onder een apart spoor in de wet. GPAI-verplichtingen voor aanbieders zijn per 2 augustus 2025 afdwingbaar.

Gebruikt u een GPAI-model via een API, een abonnement of een platform zoals Microsoft 365 Copilot, dan bent u implementeerder van dat systeem. De aanbieder, OpenAI, Microsoft of Google, draagt de primaire GPAI-nalevingsverplichtingen: technische documentatie bijhouden, samenvattingen van trainingsgegevens publiceren, voldoen aan EU-auteursrechtwetgeving. Via hun voorwaarden en transparantiedocumentatie erft u hun naleving.

Dat verandert zodra u op een GPAI-model voortbouwt. Verfijnt u een basismodel, voegt u het toe aan een product dat u op de markt brengt, of drijft u er een applicatie mee aan die in een risicovolle Bijlage III-categorie valt, zoals een GPAI-aangedreven CV-screeningtool, dan krijgt u verplichtingen als aanbieder van die downstream-applicatie. De naleving van de onderliggende GPAI-aanbieder dekt de risicovolle applicatie die u erop bouwt niet.

GPAI-modellen met systeemrisico

GPAI-modellen getraind met meer dan 10²⁵ drijvende-kommabewerkingen, ruwweg vergelijkbaar met de meest capabele grensmodellen op dit moment, gelden als systeemrisico's. Hun aanbieders moeten adversariële tests uitvoeren, incidenten melden aan het Europese AI-bureau, cyberbeveiligingsmaatregelen treffen en rapporteren over energie-efficiëntie. Als implementeerder van deze modellen veranderen uw eigen verplichtingen niet, maar controleer of uw GPAI-aanbieder zich heeft geregistreerd bij het EU AI Office en de vereiste transparantiedocumentatie heeft gepubliceerd.

De implementatietijdlijn

Wat de meeste bedrijven nu moeten doen

De Bijlage III-deadline ligt nu in december 2027. Gebruik die tijd voor een gestructureerde inventarisatie van uw AI-gebruik. Uw verplichtingen beoordelen zonder te weten welke AI-systemen u gebruikt en in welke context is niet mogelijk.

Stap 1: Inventariseer uw AI-gebruik

Breng alle AI-systemen in kaart die in uw organisatie worden gebruikt, niet alleen de systemen die IT heeft aangeschaft, maar ook de tools die individuele teams en medewerkers zelf gebruiken. Denk aan productiviteits-AI (Copilot, ChatGPT), HR-platforms met AI-functies, klantgerichte chatbots, fraudedetectietools en analyseplatforms die beslissingen over mensen nemen of ondersteunen. Shadow AI is een reëel risico: veel organisaties ontdekken via dit proces dat medewerkers AI-tools gebruiken die IT nooit heeft beoordeeld.

Stap 2: Classificeer elk systeem op risiconiveau

Bepaal voor elk systeem welk risiconiveau van toepassing is. De kernvraag voor de meeste MKB-bedrijven: neemt het AI-systeem beslissingen over mensen in de context van werkgelegenheid, onderwijs, kredietverlening of essentiële diensten, of ondersteunt het die beslissingen wezenlijk? Dan is hoog risico waarschijnlijk. Weten gebruikers dat ze met een chatbot praten, dan is het risico beperkt. Gaat het om een aanbevelingsmotor of een interne productiviteitstool, dan is het risico vrijwel zeker minimaal.

Stap 3: Controleer uw HR- en recruitment-AI

Werkgelegenheid en werknemersbeheer is de Bijlage III-categorie die voor de meeste organisaties relevant is. Gebruikt u een tool die het screenen van cv's, het rangschikken van kandidaten, het plannen van sollicitatiegesprekken, het monitoren van productiviteit of taaktoewijzing automatiseert of ondersteunt, vraag dan bij de aanbieder van die tool op hoe zij de AI Act aanpakken. Stel de vraag rechtstreeks aan uw HR-technologieleveranciers: zijn uw systemen geclassificeerd als risicovol onder de EU AI Act, en wat is uw compliance-roadmap?

Stap 4: Controleer uw verboden AI-blootstelling

Loop de verboden AI-categorieën door en controleer of een huidige tool daarbinnen valt. Emotieherkenning en monitoring op de werkplek zijn de twee meest waarschijnlijke risico's voor private organisaties. Elk platform dat gezichtsuitdrukkingen, stemgeluid of fysiek gedrag analyseert om de betrokkenheid of emotionele toestand van medewerkers te registreren, vraagt om directe beoordeling.

Stap 5: Update uw AI-beleid en informeer uw personeel

De wet verplicht implementeerders van hoog-risico AI om werknemers te informeren wanneer AI-systemen een rol spelen bij arbeidsbeslissingen. Los van die wettelijke eis is personeelsbewustzijn over welke AI-tools worden gebruikt en hoe ze werken een kwestie van goed bestuur. Werk uw beleid voor acceptabel gebruik bij zodat het generatieve AI afdekt, leg vast welke tools zijn goedgekeurd en voor welke doeleinden, en zorg dat de persoon die verantwoordelijk is voor AI-toezicht ook de bevoegdheid en de tijd heeft om dat toezicht uit te oefenen.

Ons audit- en complianceteam werkt samen met organisaties om hun AI Act-gereedheidsbeoordelingen te structureren, van inventarisatie tot gap-analyse tot herstel. Ons AI-adviespraktijk ondersteunt bedrijven die AI op verantwoorde wijze inzetten in gereguleerde sectoren, waaronder de financiële dienstverlening, de gezondheidszorg en de horeca.

De fijne structuur

De wet kent drie boetecategorieën. Nationale markttoezichtautoriteiten handhaven binnen elke lidstaat; het Europese AI-bureau houdt rechtstreeks toezicht op GPAI-aanbieders.

• Verboden AI-overtredingen: Tot € 35 miljoen of 7% van de totale wereldwijde jaaromzet, afhankelijk van welke van de twee het hoogst is.
• Niet-naleving van AI-verplichtingen met een hoog risico: Tot € 15 miljoen of 3% van de totale wereldwijde jaaromzet, afhankelijk van welke van de twee het hoogst is.
• Het verstrekken van onjuiste, onvolledige of misleidende informatie aan autoriteiten: Tot € 7,5 miljoen of 1% van de totale wereldwijde jaaromzet, afhankelijk van welke van de twee het hoogst is.

Voor kleine en middelgrote ondernemingen en startups geldt de laagste van de twee berekeningen: het absolute plafond of het omzetpercentage. Dat biedt enige bescherming ten opzichte van grote bedrijven, maar zelfs voor kleinere organisaties zijn de absolute bedragen niet te onderschatten. Het European AI Office heeft laten weten dat handhaving zich aanvankelijk richt op de ernstigste overtredingen en op herhaalde of nalatige niet-naleving, en niet op organisaties die zich aantoonbaar inspannen om te voldoen maar voor het eerst een technische overtreding begaan.