Alles wat u moet weten over de baanbrekende AI-verordening van Europa. Van risicoclassificatie tot technische vereisten: deze gids legt uit wat uw organisatie moet weten vóór de handhavingsdeadline van augustus 2026.
De EU Artificial Intelligence Act (Regulation (EU) 2024/1689) is het eerste alomvattende juridische kader ter wereld voor kunstmatige intelligentie. Aangenomen in juni 2024, stelt het geharmoniseerde regels vast voor de ontwikkeling, het in de handel brengen en het gebruik van AI-systemen binnen de Europese Unie.
De verordening hanteert een risicogebaseerde aanpak en deelt AI-systemen in vier risiconiveaus in met evenredige vereisten. Dit betekent dat strengere verplichtingen gelden voor AI-systemen die grotere risico's vormen voor gezondheid, veiligheid of grondrechten.
De AI Act is van toepassing op:
De extraterritoriale reikwijdte betekent dat organisaties buiten de EU moeten voldoen als hun AI-systemen personen binnen EU-lidstaten beïnvloeden — vergelijkbaar met hoe de GDPR van toepassing is op gegevensverwerking.
De EU AI Act hanteert een gefaseerde implementatieaanpak, waarbij verschillende bepalingen op verschillende momenten van toepassing worden zodat organisaties zich kunnen voorbereiden.
De EU AI Act is officieel in werking getreden
Het verbod op AI-systemen met onaanvaardbaar risico wordt van kracht
De regels voor AI-modellen voor algemene doeleinden worden van toepassing
Alle bepalingen worden van toepassing, inclusief de vereisten voor high-risk AI
Bestaande high-risk AI-systemen moeten in overeenstemming worden gebracht
2 augustus 2026 is het moment waarop de volledige handhaving voor high-risk AI-systemen begint. Organisaties zouden nu met hun nalevingsinspanningen moeten beginnen om deze deadline te halen. De meeste nalevingsprogramma's vergen 6-12 maanden voor een correcte implementatie.
De EU AI Act stelt een piramide van risiconiveaus vast, met vereisten die evenredig zijn aan de mogelijke schade die een AI-systeem kan veroorzaken. Inzicht in de classificatie van uw systeem is de eerste stap naar naleving.
AI-systemen die een duidelijke bedreiging vormen voor veiligheid, bestaansmiddelen of rechten
AI-systemen die worden gebruikt in kritieke gebieden en mensen aanzienlijk kunnen beïnvloeden
AI-systemen met specifieke transparantieverplichtingen
AI-systemen zonder specifieke regelgevende vereisten
De AI Act verbiedt bepaalde AI-praktijken volledig die worden geacht een onaanvaardbaar risico voor de grondrechten te vormen. Deze verboden zijn op 2 februari 2025 van kracht geworden.
Opmerking: Sommige verboden kennen beperkte uitzonderingen voor rechtshandhaving met voorafgaande gerechtelijke toestemming en voor specifieke scenario's van ernstige misdrijven. Organisaties dienen juridisch advies in te winnen voor grensgevallen.
High-risk AI-systemen vallen onder de meest uitgebreide vereisten van de AI Act. Ze zijn gedefinieerd in de Annexes I en III van de verordening.
Biometrische identificatie op afstand, categorisering
Energie, vervoer, water, digitale infrastructuur
Beoordeling van studenten, toegangsbeslissingen, fraudedetectie
Werving, HR-beslissingen, prestatiemonitoring
Kredietscoring, hulpdiensten, recht op uitkeringen
Risicobeoordeling, bewijsbeoordeling, criminaliteitsanalyse
Verificatie van reisdocumenten, visumverwerking
Ondersteuning bij juridisch onderzoek, gerechtelijke ondersteuning
AI-systemen die worden gebruikt als veiligheidscomponenten in producten die onder de EU-harmonisatiewetgeving (Annex I) vallen, worden automatisch als high-risk geclassificeerd. Dit omvat AI in machines, speelgoed, medische hulpmiddelen, voertuigen, luchtvaart, scheepsuitrusting en meer.
De AI Act kent verschillende verplichtingen toe afhankelijk van uw rol in de AI-waardeketen. De meeste organisaties zijn ofwel aanbieder (die AI ontwikkelt) ofwel gebruiksverantwoordelijke (die AI inzet).
Organisaties die AI-systemen ontwikkelen of op de markt brengen
Organisaties die AI-systemen in een professionele hoedanigheid gebruiken
Organisaties die niet-EU AI-systemen op de markt brengen
Organisaties in de toeleveringsketen (geen aanbieder of importeur)
High-risk AI-systemen moeten gedurende hun hele levenscyclus voldoen aan specifieke technische vereisten. Deze vereisten vormen de kern van wat aanbieders moeten implementeren.
Continu, iteratief proces gedurende de hele levenscyclus van het AI-systeem
Waarborgen dat trainings-, validatie- en testdatasets voldoen aan kwaliteitscriteria
Uitgebreide documentatie die naleving aantoont
Automatische registratie van gebeurtenissen tijdens het gebruik
Gebruiksverantwoordelijken in staat stellen outputs op passende wijze te interpreteren en te gebruiken
Doeltreffend menselijk ingrijpen tijdens het gebruik mogelijk maken
Passende prestatieniveaus bereiken
De EU AI Act voorziet in aanzienlijke administratieve boetes bij niet-naleving, volgens een gelaagde structuur die vergelijkbaar is met de GDPR.
Tot € 35 miljoen of 7% van de wereldwijde jaaromzet
Voor overtredingen die verboden AI-praktijken betreffen (afhankelijk van welk bedrag hoger is)
Tot € 15 miljoen of 3% van de wereldwijde jaaromzet
Voor overtredingen van de vereisten voor high-risk AI of GPAI-verplichtingen (afhankelijk van welk bedrag hoger is)
Tot € 7,5 miljoen of 1,5% van de wereldwijde jaaromzet
Voor het verstrekken van onjuiste of misleidende informatie aan autoriteiten (afhankelijk van welk bedrag hoger is)
De verordening bevat bepalingen voor kleine en middelgrote ondernemingen. Voor kmo's en start-ups worden boetes berekend op basis van het laagste bedrag van het percentage of het vaste bedrag. Lidstaten zijn ook verplicht regelgevingssandboxes en ondersteuningsmechanismen aan te bieden.
Een systematische aanpak van EU-AI-Act-naleving volgt doorgaans deze fasen. Organisaties zouden nu moeten beginnen om gereed te zijn tegen augustus 2026.
Alle AI-systemen in alle bedrijfsonderdelen inventariseren
Risiconiveaus beoordelen per categorie van Annex III
Nalevingslacunes ten opzichte van de vereisten identificeren
Technische en governance-maatregelen implementeren
De meeste organisaties hebben 6-12 maanden nodig om voor high-risk AI-systemen auditklare naleving te bereiken. Dit omvat: