De EU AI Act is de Europese wet die regels stelt aan kunstmatige intelligentie. Hij is in 2024 aangenomen en wordt gefaseerd ingevoerd. De kern: hoe risicovoller een toepassing, hoe strenger de eisen — en een handvol toepassingen is helemaal verboden.
Voor de meeste Nederlandse bedrijven is de praktische vraag niet of de wet geldt, maar in welke categorie hun gebruik valt. Meestal is dat de lichtste.
Vier risiconiveaus
De wet deelt toepassingen in naar wat er mis kan gaan, niet naar de techniek erachter.
- Onaanvaardbaar risico — verboden. Sociale scores toekennen aan burgers, gedrag manipuleren op een manier die schade veroorzaakt, emotieherkenning op de werkvloer en in het onderwijs, en het ongericht verzamelen van gezichten van internet.
- Hoog risico — zware eisen. Systemen die meebeslissen over werving, toegang tot onderwijs, kredietverlening, medische toepassingen of overheidsdiensten.
- Beperkt risico — informatieplicht. Chatbots, en alles wat tekst, beeld of geluid genereert. Mensen moeten weten dat ze met een machine te maken hebben.
- Minimaal risico — geen extra eisen. Spamfilters, aanbevelingen, gereedschap dat je zelf gebruikt om teksten te schrijven.
Waar de meeste bedrijven vallen
In de onderste twee categorieën. Gebruik je een taalmodel om productteksten op te zetten of vragen te beantwoorden, dan geldt de informatieplicht en verder weinig.
Let op één uitzondering die vaker voorkomt dan mensen denken: werving en selectie. Software die sollicitanten sorteert of scoort valt onder hoog risico, ook als er uiteindelijk een mens beslist. Wie een systeem gebruikt dat cv’s rangschikt, zit in de zware categorie — dat is voor recruitmentbureaus en grotere werkgevers een reële verplichting.
Wat de informatieplicht inhoudt
Drie dingen, en ze zijn alle drie te regelen in een middag.
Vertel dat het een machine is. Een chatbot op je site moet duidelijk maken dat er geen mens meeleest. Niet in de voorwaarden maar in het venster zelf.
Markeer gegenereerd beeld en geluid. Materiaal dat echt lijkt maar het niet is, moet herkenbaar zijn als kunstmatig. Voor een illustratie bij een blog is dat licht; voor iets dat op een echte opname lijkt, niet.
Zorg dat er iemand kan ingrijpen. Ook buiten de zware categorie is een systeem dat zelfstandig naar klanten communiceert zonder toezicht een risico dat je zelf draagt.
Wat er bij hoog risico bij komt
Aanzienlijk meer: een risicobeoordeling, gedocumenteerde en gecontroleerde trainingsdata, logbestanden van wat het systeem deed, aantoonbaar menselijk toezicht, en registratie in een Europese databank. Ook moet je kunnen uitleggen hoe een uitkomst tot stand kwam.
In de praktijk komt dat neer op een leverancier kiezen die dit al geregeld heeft. Zelf een hoogrisicosysteem bouwen en de papieren op orde brengen is geen bijzaak — dat is een project.
Wie is verantwoordelijk
De wet onderscheidt aanbieders die een systeem op de markt brengen en gebruikers die het inzetten. Als gebruiker heb je lichtere verplichtingen, maar niet géén: je moet het systeem inzetten waarvoor het bedoeld is, toezicht houden en de informatieplicht naleven.
Belangrijk: gebruik je een Amerikaans systeem voor Europese klanten, dan geldt de wet gewoon. De vestigingsplaats van de leverancier doet niet ter zake, de markt waarop je opereert wel.
De invoering
Gefaseerd, over meerdere jaren. De verboden toepassingen gingen als eerste in, daarna de regels voor algemene AI-modellen, en de zwaarste eisen voor hoogrisicosystemen als laatste. Voor bestaande systemen gelden overgangstermijnen.
De boetes zijn fors — voor verboden toepassingen lopen ze op tot een percentage van de wereldwijde jaaromzet. Dat is bedoeld voor de grote partijen; toezichthouders hebben aangegeven dat kleinere bedrijven eerst begeleid worden.
Hoe dit zich verhoudt tot elders
Europa reguleert vooraf en per toepassing. De Verenigde Staten doen weinig federaal en laten het aan sectoren en staten over. China stuurt strak maar met heel andere doelen — inhoudelijke controle in plaats van bescherming van burgers.
Gevolg voor wie internationaal werkt: Europa is doorgaans het strengste regime waar je aan moet voldoen. Wie het hier op orde heeft, zit elders meestal goed.
Waar je begint
Maak een lijst van waar in je bedrijf AI wordt gebruikt — inclusief wat er in software zit die je al jaren hebt. Zet erachter of het meebeslist over mensen. Zo ja, dan is dat je aandachtspunt; zo nee, dan volstaat de informatieplicht.
Regel daarna twee dingen: laat je chatbot zeggen dat hij een chatbot is, en schrijf één A4 waarin staat welke systemen je gebruikt, waarvoor, en wie er toezicht op houdt. Dat document is meteen je bewijs dat je erover hebt nagedacht.
