Wat is de AI Act (AI-verordening)?
Door Joey van Vliet, oprichterBijgewerkt
Kort gezegd
De AI Act, in het Nederlands de AI-verordening, is de Europese wet voor AI-systemen (Verordening (EU) 2024/1689). Hij deelt AI in naar risico. Een paar praktijken zijn verboden, toepassingen met een hoog risico krijgen zware eisen, voor systemen die met mensen praten of inhoud genereren gelden transparantieregels, en de rest valt onder minimaal risico. De regels gelden voor wie AI bouwt én voor wie het gebruikt.
Ook wel: AI-verordening, EU AI Act, Verordening (EU) 2024/1689
De vier risiconiveaus
De AI Act behandelt niet alle AI hetzelfde. Hoe zwaarder de mogelijke gevolgen voor mensen, hoe strenger de regels.
- Verboden: een klein aantal praktijken mag niet, omdat het risico voor mensen te groot is.
- Hoog risico: AI in domeinen die de wet bij naam noemt, zoals werving en selectie, toegang tot onderwijs, kredietbeoordeling en toegang tot essentiële diensten, en AI in producten die al onder Europese veiligheidsregels vallen. Daarvoor gelden eisen aan onder meer risicobeheer, datakwaliteit, logging en menselijk toezicht.
- Transparantie: systemen die rechtstreeks met mensen communiceren of inhoud genereren. Mensen moeten bijvoorbeeld weten dat ze met een AI-systeem praten (artikel 50).
- Minimaal risico: de rest, zoals het samenvatten van een openbaar rapport of een conceptmail die je zelf nog nakijkt. Daar bepaalt vooral je eigen beleid wat mag.
Wat onder hoog risico valt, lees je bij hoog-risico AI-systeem. Daarnaast zijn er regels voor AI-modellen voor algemene doeleinden, de modellen achter tools als ChatGPT en Claude. Die richten zich vooral op de makers van die modellen, niet op bedrijven die de tools gebruiken.
Aanbieder of gebruiksverantwoordelijke?
Wat de AI Act van je vraagt, hangt vooral af van je rol. Een aanbieder ontwikkelt een AI-systeem en brengt het onder eigen naam op de markt. Een gebruiksverantwoordelijke gebruikt een systeem dat een ander heeft gemaakt. Wie ChatGPT, Copilot of AI-functies in bestaande software inzet, zit meestal in die tweede rol.
Ook dan heb je plichten. Je gebruikt het systeem volgens de instructies, neemt maatregelen voor AI-geletterdheid bij je mensen (artikel 4), regelt menselijk toezicht waar dat vereist is en laat in bepaalde gevallen weten dat er AI in het spel is (artikel 50). Bij hoog-risico toepassingen komen daar taken bij. De zwaarste eisen liggen bij de aanbieder.
AI Act en AVG
De AVG gaat over persoonsgegevens. De AI Act gaat over het AI-systeem zelf: wat het doet, hoeveel risico dat meebrengt en welke waarborgen erbij horen, ook als er geen persoonsgegevens in zitten. Laat je AI los op cv’s, klantdossiers of personeelsdata, dan gelden ze allebei. Ze overlappen op transparantie, menselijk toezicht, vastleggen wat er gebeurt en afspraken met leveranciers.
Wanneer geldt wat?
De verordening is in 2024 in werking getreden en wordt gefaseerd van toepassing. De bepalingen over verboden praktijken en AI-geletterdheid kwamen eerst, daarna die voor AI-modellen voor algemene doeleinden, en daarna de eisen voor hoog-risico toepassingen. Over die fasering is discussie geweest en de planning is aangepast. Controleer de actuele data in de geconsolideerde tekst op EUR-Lex voordat je ergens op plant.
Waar het in de praktijk toe doet
Een veelgehoord misverstand: dat de AI Act alleen geldt voor bedrijven die zelf AI bouwen. Elke organisatie die AI gebruikt, heeft er iets mee te maken. Het omgekeerde misverstand bestaat ook: dat alles met AI meteen zwaar gereguleerd is. Voor de meeste toepassingen in het MKB valt dat mee.
Begin met een lijst van waar AI al wordt gebruikt, ook de tools die niemand heeft aangevraagd. Stel per toepassing twee vragen: gaan er persoonsgegevens in, en leidt de uitkomst tot een besluit over iemand? Regel daarna AI-geletterdheid en leg de afspraken vast in een AI-beleid. Gebruik je AI bij werving en selectie, vraag je leverancier dan schriftelijk of het systeem als hoog risico is geclassificeerd. De stappen staan uitgewerkt in AI Act en AVG: wat moet je regelen.
Dit is algemene uitleg, geen juridisch advies. Bron: Verordening (EU) 2024/1689 op EUR-Lex.
Veelgestelde vragen
Geldt de AI Act ook voor het MKB?
Ja. De verordening kent geen algemene uitzondering voor kleine bedrijven. Wat je moet doen, hangt af van je rol en van het risico van de toepassing. Voor de meeste MKB-bedrijven komt het neer op AI-geletterdheid, transparantie waar dat nodig is en extra zorg bij AI die meebeslist over mensen, zoals bij werving en selectie.
Wat is het verschil tussen de AI Act en de AVG?
De AVG beschermt persoonsgegevens en geldt zodra je die verwerkt, ook met AI. De AI Act stelt eisen aan het AI-systeem zelf, afhankelijk van het risico, ook als er geen persoonsgegevens in zitten. Gebruik je AI op gegevens over mensen, dan gelden ze allebei.
Vanaf wanneer geldt de AI Act?
De verordening is in 2024 in werking getreden en wordt gefaseerd van toepassing. Verboden praktijken en AI-geletterdheid kwamen eerst, daarna de regels voor AI-modellen voor algemene doeleinden en daarna de eisen voor hoog-risico toepassingen. De planning is inmiddels aangepast. Gebruik de geconsolideerde tekst op EUR-Lex als bron, niet een samenvatting van een jaar geleden.
