De AI Act: wat dit voor u als ondernemer betekent

De ontwikkelingen op het gebied van Artificial Intelligence (AI) volgen elkaar in hoog tempo op. AI-systemen kunnen nu onder andere zelf beslissingen nemen, content genereren en mensen assisteren. Dit soort ontwikkelingen bieden veel mogelijkheden, maar vormen ook risico’s voor de samenleving. Zo kunnen bedrijven met behulp van AI hun productiviteit verbeteren door taken te automatiseren. Hierdoor lopen groepen of (kwetsbare) mensen alleen het risico te worden gediscrimineerd. Neem bijvoorbeeld de toeslagenaffaire. Daarnaast kost het trainen van AI-systemen bijvoorbeeld veel stroom en zorgt het dus voor veel CO2-uitstoot wat slecht is voor het milieu.

De ontwikkelingen en de risico’s van AI zijn dan ook de aanleiding geweest voor de Europese Commissie om begin 2021 met een voorstel voor nieuwe AI-regelgeving in Europa te komen: de AI Act. Maar wat houdt deze regeling precies in en wat betekent dit voor u als ondernemer? In dit artikel leest u meer over de AI Act.

Wat is het doel en voor wie geldt de AI Act?

Het doel van de AI Act is om het gebruik en de ontwikkeling van AI-toepassingen in de EU veiliger, transparanter, traceerbaarder, niet-discriminerend en milieuvriendelijker te maken. Mensen en andere gebruikers moeten erop kunnen vertrouwen dat AI op een veilige manier wordt gebruikt en dat grondrechten, zoals het recht op privacy, non-discriminatie en vrijheid van meningsuiting worden gewaarborgd.

Tegelijkertijd moet de AI Act bedrijven aanmoedigen om AI-systemen te blijven ontwikkelen door investeringen en innovatie in AI te vergemakkelijken. Op deze manier moet de samenleving kunnen blijven profiteren van de voordelen van AI.

Zoals u misschien al wel aanvoelt, betekent de AI Act straks wel een beperking van uw vrijheid als ondernemer. De AI Act legt namelijk verplichtingen op voor elk bedrijf dat AI-systemen ontwikkelt, verkoopt of gebruikt.

Aan welke verplichtingen moet mijn bedrijf voldoen?

De specifieke verplichtingen waar uw bedrijf straks aan moet voldoen, zijn afhankelijk van het risiconiveau dat het betreffende AI-systeem met zich brengt. Welke risiconiveaus zijn dit?

De risiconiveaus

De AI Act noemt 4 niveaus:

• Onaanvaardbaar: denk hierbij aan AI-systemen van de overheid die burgers punten te geven op basis van al dan niet wenselijk gedrag. Dit soort systemen zorgen voor een dusdanig risico voor de veiligheid of inbreuk op de grondrechten dat ze worden verboden.
• Hoog: hieronder vallen onder andere systemen die worden gebruikt voor geautomatiseerde besluitvorming, bijvoorbeeld bij de toekenning van uitkeringen. Systemen die onder dit risiconiveau vallen, dienen straks aan de hieronder staande verplichtingen van de AI Act te voldoen.
• Beperkt: voorbeelden hiervan zijn chatbots. Ten aanzien van dit soort systemen gaan straks enkel een paar transparantieverplichtingen gelden. Zo moeten mensen en andere gebruikers duidelijk worden geïnformeerd over het feit dat zij te maken hebben met een AI-systeem.
• Minimaal: dit zijn bijvoorbeeld systemen, zoals spamfilters. Voor deze systemen gaan geen aanvullende verplichtingen gelden.

Hoe weet u in welk risiconiveau uw AI-systeem valt? De AI Act kent hiervoor in artikel 5 een lijst met onaanvaardbare-risicosystemen.

Voor de hoge-risicosystemen kan u kijken naar Bijlage II en III van de AI Act. In Bijlage II worden AI-systemen opgesomd die onder specifieke EU-regelgeving vallen en daardoor in ieder geval een hoog risico kennen. Bijlage III noemt daarentegen enkel categorieën van systemen die mogelijk een hoog risico kennen. Het is aan u zelf om dit te beoordelen. Doe dit zorgvuldig. Classificeert u uw AI-systeem verkeerd? Dan loopt u straks het risico op een boete.

De verplichtingen bij een hoog risiconiveau

Ontwikkelt, verkoopt of gebruikt u een AI-systeem dat valt binnen het hoge risiconiveau? Dan gelden straks voor u in het kort de volgende verplichtingen:

• Risicomanagement: Voordat het AI-systeem op de markt wordt gebracht en gedurende de levensduur van het systeem moeten de risico’s worden geïdentificeerd, geëvalueerd, beheerd en verminderd.
• Gegevensbeheer: Worden voor het trainen van het AI-systeem data of datareeksen gebruikt? Dan moet de data onbevooroordeeld, kwalitatief en representatief zijn.
• Technische documentatie: In de technische documentatie van het AI-systeem moet op zo’n wijze worden aangetoond dat het systeem voldoet aan de AI Act, zodat bevoegde autoriteiten dit kunnen controleren.
• Transparantie: Er moet volledige openheid worden gegeven over het gebruik van AI-systemen. Zo moet er onder meer gedetailleerde informatie worden verstrekt over de werking en de soorten gegevens die het systeem verzamelt. Ook is het verplicht om transparant te zijn over de algoritmen die worden gebruikt en om uit te leggen hoe deze functioneren.
• Menselijk toezicht: Er moet voor worden gezorgd dat er menselijk toezicht wordt gehouden bij het gebruik van het AI-systeem.
• Conformiteitsbeoordeling: Voordat een AI-systeem op de markt wordt gebracht, moet deze door jou als aanbieder of importeur worden gekeurd. Dit betekent dat moet worden gecontroleerd of het systeem voldoet aan de hierboven genoemde verplichtingen. Let op. Wordt het systeem ingezet als veiligheidscomponent voor publieke infrastructuur of biometrische identificatie? Dan moet je de keuring door een externe partij laten uitvoeren.

Sinds wanneer geldt de AI Act?

De regels van de AI Act zijn niet allemaal tegelijk in werking getreden. Er is gekozen voor een gefaseerde invoering, zodat organisaties voldoende tijd hebben om zich voor te bereiden.

Sinds 2 februari 2025 geldt al het verbod op AI-systemen met een onaanvaardbaar risico. Vanaf die datum moeten organisaties bovendien zorgen voor voldoende AI-geletterdheid bij medewerkers die met AI-systemen werken.

Niet lang daarna, op 2 augustus 2025, zijn de regels voor AI-modellen voor algemene doeleinden (general-purpose AI) van kracht geworden. Daaronder vallen veel generatieve AI-modellen. Ook is vanaf die datum het grootste deel van de governance- en handhavingsstructuur van de AI Act in werking getreden.

De belangrijkste stap was op 2 augustus 2026. Sinds die datum is het grootste deel van de AI Act van toepassing en gelden onder meer de verplichtingen voor de meeste hoog-risico-AI-systemen en de transparantieverplichtingen. Voor gebruikers moet nu duidelijk zijn wanneer zij met een AI-systeem of met AI-gegenereerde content te maken hebben.

Wat daarna nog volgt: vanaf 2 augustus 2027 gaat het laatste deel van de verplichtingen gelden. Dat betreft met name hoog-risico-AI-systemen die onderdeel zijn van producten die al onder bestaande EU-productwetgeving vallen, zoals medische hulpmiddelen, machines of speelgoed.

Vragen?

Heeft u vragen? Contact dan een van onze advocaten via de mail, telefonisch of vul het contactformulier in voor een vrijblijvend eerste gesprek. Wij denken graag met u mee.