EU AI Act: wat de Europese AI-wetgeving voor jou betekent

De EU AI Act is de Europese verordening die kunstmatige intelligentie reguleert. De officiële titel is Verordening (EU) 2024/1689. De tekst is op 12 juli 2024 gepubliceerd in het Publicatieblad van de EU en op 1 augustus 2024 in werking getreden.

De wetgeving volgt een risicogebaseerde aanpak. Hoe groter het risico voor gezondheid, veiligheid of grondrechten, hoe strenger de regels. Sommige AI-toepassingen worden verboden, andere krijgen zware eisen, en een grote groep blijft vrijwel ongereguleerd.

Voor Belgische en Nederlandse organisaties betekent dit dat je niet alleen naar technische prestaties kijkt, maar ook naar transparantieverplichtingen, documentatie en menselijk toezicht. De AI Act geldt voor aanbieders, gebruikers, importeurs, distributeurs en zelfs voor niet-EU-bedrijven die AI-systemen op de Europese markt brengen.

De AI Act deelt AI-systemen in vier categorieën. Die indeling bepaalt wat je moet doen.

• Onacceptabel risico: verboden. Denk aan sociale scoring door overheden, systemen die kwetsbare personen manipuleren, en realtime biometrische identificatie op afstand in de openbare ruimte. Deze verboden gelden vanaf 2 februari 2025.
• Hoog risico: toegestaan onder strenge voorwaarden. Voorbeelden: AI in medische hulpmiddelen, werving, kredietbeoordeling, kritieke infrastructuur, onderwijs en rechtshandhaving. Je moet onder meer een conformiteitsbeoordeling doorlopen, technische documentatie bijhouden en een risicobeheersysteem opzetten.
• Beperkt risico: vooral transparantieplichten. Chatbots moeten duidelijk maken dat je met een machine praat, en AI-gegenereerde content moet als zodanig herkenbaar zijn.
• Minimaal risico: geen specifieke verplichtingen. Denk aan spamfilters of AI in videogames.

De precieze kwalificatie van jouw systeem is geen kwestie van gezond verstand alleen.

De AI Act treedt gefaseerd in werking. De belangrijkste mijlpalen zijn:

• 1 augustus 2024: de verordening treedt in werking.
• 2 augustus 2026: hoog-risico AI-systemen uit bijlage III moeten voldoen aan de eisen, tenzij ze onder een uitzondering vallen.
• 2 augustus 2027: hoog-risico AI-systemen uit bijlage I (producten die al onder andere EU-wetgeving vallen, zoals medische apparatuur) moeten volledig compliant zijn.

Houd er rekening mee dat de exacte data kunnen verschuiven als de Commissie overgangsperiodes aanpast.

De AI Act legt voor sommige systemen transparantie op, ongeacht het risiconiveau. Dat betekent dat je gebruikers moet informeren dat ze met AI te maken hebben, tenzij dat duidelijk is uit de context.

• Chatbots: maak expliciet dat de gesprekspartner een AI-systeem is.
• Deepfakes: label gemanipuleerde beelden, video of audio. Er geldt een uitzondering voor artistieke of satirische werken, maar ook dan moet de manipulatie kenbaar zijn.

Wil je jouw AI-systemen voorbereiden op de AI Act? Volg deze stappen.

1. Bepaal je rol. Ben je aanbieder (je ontwikkelt of laat een AI-systeem ontwikkelen), gebruiker (je zet het in voor je bedrijfsvoering), importeur of distributeur? Elke rol heeft eigen verplichtingen.
2. Classificeer je systemen. Ga na in welke risicocategorie elk AI-systeem valt.
3. Breng bestaande processen in kaart. Wie keurt AI-systemen goed? Waar staat de documentatie? Wie is verantwoordelijk voor updates?
4. Implementeer governance. Stel intern beleid op voor AI-gebruik, inclusief risicobeoordeling en menselijk toezicht.
5. Verzamel documentatie. Houd technische documentatie, conformiteitsbeoordelingen en instructies bij. Er bestaan AI Act templates om je op weg te helpen.
6. Plan de conformiteitsbeoordeling. Voor hoog-risico systemen moet je een beoordeling doorlopen, soms via een aangemelde instantie. Start daar tijdig mee, want de wachttijden kunnen oplopen.
7. Monitor en update. De AI Act vereist dat je AI-systemen blijft monitoren na ingebruikname en dat je incidenten meldt.

Heb je hulp nodig bij een van deze stappen? Neem contact op voor een vrijblijvend gesprek.