EU AI Act: wat jildt no en wat wurdt útsteld

De EU AI Act, Ferordening (EU) 2024/1689 , is yn stadia fan tapassing sûnt it yn wurking treden op 1 augustus 2024: de ferbodden, de regels foar algemiene AI-modellen en de transparânsjeplichten foar chatbots en troch AI generearre ynhâld binne al fan tapassing. It strangste rezjym, foar AI mei hege risiko, is troch de AI Omnibus útsteld nei 2 desimber 2027 foar de systemen neamd yn Annex III en nei 2 augustus 2028 foar AI yn regele produkten.

De AI Omnibus, Ferordening (EU) 2026/1744, waard yn july 2026 publisearre yn it Offisjeel Tydskrift en is no fan krêft. De útstelde datums binne dêrom fêste wet, gjin planningsoanname.

Wat is de EU AI Act?

De KI-wet is in risiko-basearre EU-regeling: hoe heger it risiko dat in KI-systeem foarmet, hoe swierder de ferplichtingen. It jildt direkt yn Nederlân, sûnder dat Nederlânske útfieringswetjouwing foar de kearnregels nedich is.

De Wet definiearret in AI-systeem breed, yn oerienstimming mei de OECD-oanpak. It is in masine-basearre systeem dat mei in beskate mjitte fan autonomy wurket, him oanpasse kin nei't it ynset is en, út 'e ynput dy't it ûntfangt, ôfliedt hoe't útfier generearre wurde kin lykas foarsizzingen, ynhâld, oanbefellings of besluten dy't ynfloed hawwe kinne op fysike of firtuele omjouwings. Ienfâldige regel-basearre software dy't allinich ynstruksjes folget dy't skreaun binne troch minsken falt der oer it algemien bûten.

Is de AI-wet fan tapassing op jo organisaasje?

Wierskynlik, as jo AI-systemen ûntwikkelje, ferkeapje of brûke yn in profesjonele kontekst yn 'e EU. De Wet berikt ek bedriuwen bûten de EU as har systeem op 'e EU-merk pleatst wurdt of de útfier dêrfan yn 'e EU brûkt wurdt.

In Amerikaansk of Britsk bedriuw dat Jeropeeske klanten betsjinnet, kin dêrom ûnder it berik falle. De Wet ûnderskiedt ferskate rollen, elk mei syn eigen taken:

• Oanbieders ûntwikkelje in KI-systeem of in algemien KI-model en bringe it op 'e merk of yn gebrûk ûnder har eigen namme of hannelsmerk. Sy drage de swierste ferplichtingen.
• Ynsetters brûke in KI-systeem ûnder harren autoriteit yn in profesjonele kontekst, bygelyks in wurkjouwer dy't in KI-ark brûkt om sollisitanten te screenen. Puur persoanlik, net-profesjoneel gebrûk falt bûten dizze taken.
• Ymporteurs en distributeurs bringe in systeem fan tredden op 'e EU-merk of meitsje it fierderop yn 'e leveringsketen beskikber, en moatte kontrolearje dat de leveransier oan syn ferplichtingen foldocht hat.
• Produktfabrikanten en, yn guon gefallen, autorisearre fertsjintwurdigers fan net-EU-oanbieders kinne ferplichtingen fan oanbieders op har nimme.

Dyn rol kin feroarje. In ynsetter dy't in systeem mei hege risiko's substansjeel oanpast, of it ûnder eigen namme op 'e merk bringt, wurdt in leveransier en nimt de strangere taken op him. Kontrolearje dit foardat jo in systeem oanpasse dat jo fan in leveransier kocht hawwe.

Hoe klassifisearret de AI Act risiko?

De Wet wurket mei fjouwer risikonivo's: ferbeane praktiken, heech risiko, beheind risiko mei transparânsjeplichten en minimaal risiko. It nivo hinget ôf fan it doel wêrfoar jo it systeem brûke, net fan 'e technology derachter.

Ferbeane praktiken

Guon gebrûken binne folslein ferbean ûnder Artikel 5, en dy ferbodden binne fan tapassing sûnt 2 febrewaris 2025. Se omfetsje manipulative of misleidende techniken dy't gedrach materieel ferfoarmje en wichtige skea feroarsaakje, en it eksploitearjen fan kwetsberens yn ferbân mei leeftyd, beheining of sosjaal-ekonomyske situaasje. Ek ferbean binne sosjale skoaring, net-rjochte skrabjen fan gesichtsôfbyldings om erkenningsdatabases te bouwen, emoasjeherkenning op it wurk en yn it ûnderwiis (útsein om medyske of feiligensredenen), en biometryske kategorisaasje dy't gefoelige skaaimerken lykas religy of seksuele oriïntaasje ôfliedt.

Biometryske identifikaasje op ôfstân yn realtime yn iepenbiere romten foar wetshandhaving is ferbean, ûnder foarbehâld fan smelle útsûnderings mei befeiligingsmaatregels. De AI Omnibus foeget in nij ferbod ta op AI-systemen dy't materiaal fan seksueel misbrûk fan bern of net-konsensuele yntime ôfbyldings fan identifisearbere minsken generearje.

Heech risiko

Systemen mei hege risiko's binne tastien, mar wurde strang regele. Der binne twa groepen. Anneks I behannelet KI dy't in feiligenskomponint is fan, of sels in produkt is dat al regele wurdt troch EU-produktwetjouwing, lykas medyske apparaten, masines, liften en boartersguod. Anneks III listet standalone gebrûken op gefoelige gebieten: biometrysk, krityske ynfrastruktuer, ûnderwiis, wurkgelegenheid en arbeidersbehear, tagong ta essensjele iepenbiere en partikuliere tsjinsten lykas kredyt en fersekering, wetshandhaving, migraasje en grinskontrôle, en it bestjoer fan justysje en demokratyske prosessen.

In systeem neamd yn Anneks III is net heechrisiko as it allinich in smelle proseduerele of tariedende taak útfiert en de útkomst fan in beslút net materieel beynfloedet. Dy útsûndering is strak formulearre, en in oanbieder dy't derop fertrout, moat syn beoardieling dokumintearje.

Beheind risiko: transparânsje

Guon systemen binne net risikofol, mar kinne minsken misliede. Se hawwe transparânsjeplichten ûnder Artikel 50. Minsken moatte wurde ynformearre wannear't se ynteraksje hawwe mei in chatbot, troch AI generearre of manipulearre ynhâld moat wurde iepenbier makke en markearre, en minsken moatte wurde ynformearre wannear't se bleatsteld wurde oan tastiene emoasjeherkenning of biometryske kategorisearring.

Minimal risiko

De measte KI, lykas spamfilters, oanbefellingsmotors en KI yn fideospultsjes, falt yn dizze kategory. De Wet stelt hjir gjin spesifike ferplichtingen op, hoewol frijwillige gedrachskoades wurde oanmoedige, en de algemiene KI-geletterdheidsplicht yn artikel 4 is noch altyd fan tapassing.

Wannear jilde de ferplichtingen?

De Wet jildt yn fazen. De ferboden, de plicht foar KI-geletterdheid, de regels foar algemiene KI en de transparânsjeplichten binne al fan tapassing; de regels foar hege risiko's folgje yn desimber 2027 en augustus 2028.

Sûnt 2 augustus 2026 binne de transparânsjeplichten folslein fan tapassing; allinnich generative KI-systemen dy't al foar dy datum op 'e merk wiene, hawwe oant 2 desimber 2026 foar masine-lêsbere markearring. De ekstra tiid foar KI mei hege risiko's is in útstel, gjin ûntheffing: it bouwen fan in technysk bestân, risikobehear en minsklik tafersjoch duorret moannen.

Wat moatte oanbieders, ynsetters en ymporteurs dwaan?

Oanbieders fan systemen mei hege risiko drage de wichtichste lêst en moatte konformiteit bewize foardat it systeem de merk berikt. Ynsetters moatte it systeem goed brûke, it kontrolearje en de minsken dy't der lêst fan hawwe ynformearje.

Oanbieders fan systemen mei hege risiko's moatte in risikobehearsysteem ynstelle dat de hiele libbenscyclus beslacht, gegevensbehear tapasse, technyske dokumintaasje bewarje, automatyske logging en minsklik tafersjoch ynbouwe, en passende krektens, robuustheid en cyberfeiligens berikke. Foar de merklansearring foltôgje se de konformiteitsbeoardieling, de EU-ferklearring fan konformiteit, de CE-markering en registraasje yn 'e EU-database, en dêrnei kontrolearje se it systeem en melde se serieuze ynsidinten.

Ynsetters fan systemen mei hege risiko's moatte it systeem brûke neffens de ynstruksjes fan 'e oanbieder, minsklik tafersjoch tawize oan betûft personiel, derfoar soargje dat de ynfiergegevens relevant binne, de wurking kontrolearje en de logs byhâlde. Wêr nedich, moatte se de minsken dy't der lêst fan hawwe ynformearje. Iepenbiere ynstânsjes en bepaalde partikuliere ynsetters, bygelyks by kredytskoare en fersekeringsprizen, moatte in ynfloedbeoardieling fan fûnemintele rjochten útfiere. Wurkjouwers moatte arbeiders en harren fertsjintwurdigers ynformearje foardat se in systeem mei hege risiko's yn gebrûk nimme op it wurk.

De plicht foar KI-geletterdheid yn artikel 4 jildt foar alle oanbieders en ynsetters. De KI Omnibus hat de formulering fersêfte: organisaasjes moatte no maatregels nimme om in foldwaande nivo fan KI-geletterdheid ûnder har personiel te stypjen. De ferwachting dat minsken dy't mei KI wurkje begripe wat it docht en wêr't it mis kin gean, bliuwt bestean.

Wat jildt foar algemiene AI-modellen?

Oanbieders fan algemiene AI (GPAI) modellen hawwe sûnt 2 augustus 2025 har eigen ferplichtingen. Modellen mei systemysk risiko hawwe te krijen mei ekstra taken.

Under artikels 53 oant en mei 55 moatte alle GPAI-oanbieders technyske dokumintaasje ûnderhâlde, in foldwaande detaillearre gearfetting publisearje fan 'e ynhâld dy't brûkt wurdt foar training, in belied hawwe om te foldwaan oan 'e EU-auteursrjochtwetjouwing en ynformaasje jaan oan 'e bedriuwen dy't op it model bouwe. Oanbieders fan modellen mei systemysk risiko moatte har modellen ek evaluearje, ynklusyf adversariële testen, systemyske risiko's beoardielje en ferminderje, serieuze ynsidinten folgje en melde, en soargje foar sterke cyberfeiligens. It folgjen fan 'e offisjele General-Purpose AI Code of Practice is in erkende manier om neilibjen te sjen litten. It AI-kantoar fan 'e Europeeske Kommisje hâldt direkt tafersjoch op dizze oanbieders.

Hokker transparânsjeplichten binne no fan tapassing?

Sûnt 2 augustus 2026 fereasket Artikel 50 dat minsken witte wannear't se te krijen hawwe mei AI. Dit jildt foar chatbots, troch AI generearre ynhâld en deepfakes, en foar emoasjeherkenning en biometryske kategorisearring.

Oanbieders fan chatbots en petearaginten moatte dúdlik meitsje dat de brûker ynteraksje hat mei in masine, útsein as dat dúdlik is. Oanbieders fan systemen dy't syntetyske audio, ôfbyldings, fideo of tekst generearje, moatte de útfier markearje yn in masine-lêsber formaat, sadat it as keunstmjittich detekteare wurde kin. Ynsetters dy't deepfakes publisearje, moatte iepenbierje dat de ynhâld keunstmjittich generearre of manipulearre is, en ynsetters dy't AI-generearre tekst publisearje oer saken fan iepenbier belang moatte dit iepenbierje, útsein as in persoan it beoardiele hat en redaksjonele ferantwurdlikens draacht. Ynsetters fan tastiene emoasjeherkenning of biometryske kategorisearring moatte de minsken dy't deroan bleatsteld binne ynformearje.

Wat binne de boetes ûnder de AI Act?

Boetes binne ôfhinklik fan it type oertreding en binne fêstlein yn artikel 99. Foar elke kategory jildt it heechste fan it fêste bedrach en it omsetpersintaazje.

• Ferbeane praktiken (artikel 5): oant 35 miljoen euro of 7% fan 'e wrâldwide jierlikse omset, wat it heechste is.
• Oertredings fan de measte oare ferplichtingen, ynklusyf de easken foar hege risiko's en de transparânsjeplichten: oant EUR 15 miljoen of 3% fan 'e wrâldwide jierlikse omset.
• It jaan fan ferkearde, ûnfolsleine of misliedende ynformaasje oan oanmelde ynstânsjes of autoriteiten: maksimaal € 7.5 miljoen of 1% fan 'e wrâldwide jierlikse omset.

Foar MKB's en startups is de boete beheind ta it leechste fan it fêste bedrach en it persintaazje. De AI Omnibus wreidet in oantal fan dizze ûntheffingen út nei lytse mid-cap bedriuwen. Boetes binne net it ienige ynstrumint: merktafersjochautoriteiten kinne korrektive aksje fereaskje, it beskikber stellen fan in systeem beheine of ferbiede, en it weromlûken of weromroppen dêrfan befelje.

Hoe ferhâldt de AI Act him ta de GDPR en de Cyberbeveiligingswet?

De KI-wet komt boppe-op besteande wetjouwing. As jo ​​KI-systeem persoanlike gegevens ferwurket, is de AVG folslein fan tapassing, en as jo essensjele of wichtige tsjinsten leverje, is de Nederlânske cyberfeiligenswetjouwing ek fan tapassing.

Under de AVG hawwe jo in wetlike basis nedich, jo moatte doelbeheining en rjochten fan betrokkene respektearje, en jo moatte faak in ynfloedbeoardieling op gegevensbeskerming (DPIA) útfiere. De ynfloedbeoardieling op fûnemintele rjochten ûnder de AI Act en de DPIA oerlaapje inoar, dus it is effisjint om se tegearre út te fieren.

De Cybersecurity Act (Cyberbeveiligingswet), dy't de EU NIS2-rjochtline ymplementearret, is sûnt 15 augustus 2026 fan tapassing yn Nederlân. It foeget taken ta oangeande risikomanagement en ynsidintrapportaazje foar essensjele en wichtige entiteiten, dy't de easken fan 'e AI-wet oangeande robuustheid en feiligens fersterkje.

Wa hanthavenet de KI-wet yn Nederlân?

Algemiene KI-modellen wurde tafersjoch hâlden troch it KI-kantoar yn Brussel; al it oare wurdt hanthavene troch nasjonale merktafersjochautoriteiten. Yn Nederlân is de wet dy't dy autoriteiten oanwiist noch yn it wetjouwingsproses.

Op EU-nivo hâldt it KI-kantoar fan 'e Europeeske Kommisje direkt tafersjoch op algemiene KI-modellen en wurket it gear mei de Europeeske Keunstmjittige Intelligensjeried. De KI Omnibus hat syn foegen útwreide nei KI-systemen dy't boud binne op it eigen GPAI-model fan in provider en nei KI yn tige grutte online platfoarms en sykmasines.

De KI-Wet is direkt fan tapassing, dus bedriuwen binne al bûn oan de ûnderdielen dy't fan tapassing binne. De Nederlânske wet dy't de tafersjochhâlders en harren foegen oanwiist, is lykwols noch net yn wurking gien, en de definitive ferdieling kin noch feroarje. It oant no ta foarstelde model is in hybride. Besteande sektorregulators wurde merktafersjochautoriteiten yn har eigen fjilden, sadat KI yn 'e sûnenssoarch by de ynspeksje foar de sûnenssoarch falt en KI op it wurk by de arbeidsynspeksje. De Nederlânske Autoriteit Persoonsgegevens (AP) en de Nederlânske Autoriteit foar Digitale Ynfrastruktuer (RDI) hawwe koördinearjende rollen, wêrby't de AP as de oerbleaune tafersjochhâlder fungearret foar systemen mei hege risiko's dy't gjin dúdlike sektorregulator hawwe.

Hokker misfettingen moatte jo foarkomme?

Fjouwer misferstannen liede der geregeldwei ta dat organisaasjes muoite op it ferkearde plak stekke.

De earste is dat in minsklike hantekening it label mei hege risiko fuorthellet. Dat docht it net. De útsûndering foar smelle proseduerele of tariedende taken is strak lutsen. In ark dat sollisitanten rangearret of bestannen selektearret foar nauwer besjen beynfloedet de beslissing, sels as immen ôfmeldt. In rubberstempel is gjin minsklik tafersjoch en nimt in systeem net út Anneks III.

De twadde is dat allinnich ûntwikkelders regele wurde. Ferplichtingen fan ynsetters binne echt en te hanthavenjen tsjin de organisaasje dy't it systeem brûkt. In oantal dêrfan, lykas it ynformearjen fan arbeiders en harren fertsjintwurdigers, it tawizen fan betûft tafersjoch en it byhâlden fan logs, kinne net trochjûn wurde oan de leveransier.

De tredde is dat alles dat al yn gebrûk is, útsûndere is. Neffens artikel 111 wurde systemen mei hege risiko's dy't op 'e merk brocht binne foardat de regels foar hege risiko's fan tapassing binne, yn prinsipe allinich fongen as har ûntwerp dêrnei signifikant feroaret. Dy útsûndering is smeller as it klinkt: updates, opnij oplieden en nij gebrûk binne krekt it soarte feroaring dat in systeem wer ûnder it berik bringt. Systemen dy't brûkt wurde troch oerheidsynstânsjes moatte nettsjinsteande foar 2 augustus 2030 foldwaan. As jo ​​fan doel binne om te fertrouwen op 'e oergongsregel, dokumintearje dan no de hjoeddeistige konfiguraasje.

De fjirde is dat de KI-wet besteande wet ferfangt. Hy komt der boppe-op. Gegevensbeskerming, gelikense behannelingswet, konsumintewet, sektorregeling, arbeidswet en de rjochten fan 'e ûndernimmingsried bliuwe folslein fan tapassing. Yn Nederlân is it meastal ien fan dy, net de KI-wet sels, dy't de earste konkrete klacht oplevert. Neffens artikel 27(1)(l) fan 'e Wet op de Ondernimmingsrieden is bygelyks de ynfiering fan in systeem foar it kontrolearjen fan personiel de ynstimming fan 'e ûndernimmingsried fereaske.

Wat moatte jo as oanbieder kontrolearje?

• Oft elk systeem dat jo op 'e EU-merk bringe ferbean, heechrisiko is, ûnderwurpen is oan artikel 50 of minimaal risiko hat.
• Foar generative KI op 'e merk foar 2 augustus 2026: masine-lêsbere markearring fan útfier foar 2 desimber 2026.
• Foar systemen mei hege risiko: risikobehear, gegevensbehear, technyske dokumintaasje, logging en minsklik tafersjoch foar 2 desimber 2027 (Bylage III).
• De konformiteitsbeoardieling, EU-ferklearring fan konformiteit, CE-markering en registraasje yn 'e EU-database.
• As jo ​​modellen foar algemien gebrûk ûntwikkelje: de dokumintaasje, gearfetting fan trainingsynhâld en auteursrjochtbelied ûnder artikels 53 oant 55.

Wat moatte jo as útsetter kontrolearje?

• In ynventarisaasje fan elk AI-systeem dat jo brûke, ynklusyf AI ynboud yn software fan tredden, mei it risikonivo dêrfan.
• Dat gjin gebrûk ûnder de ferbodden fan Artikel 5 falt, lykas emoasjeherkenning op it wurk.
• Oft jo in oanbieder wurden binne troch in systeem substansjeel oan te passen of it ûnder jo eigen namme op 'e merk te bringen.
• Iepenbiering fan chatbots, deepfakes en troch AI generearre tekst ûnder artikel 50, en maatregels foar AI-geletterdheid ûnder artikel 4.
• Tastimming fan 'e ûndernimmingsried ûnder artikel 27(1)(l) WOR foardat keunstmjittige yntelliginsje (KI) ynfierd wurdt dy't personiel kontrolearret, en in DPIA ûnder de GDPR.

Wat kinne wy ​​foar jo dwaan mei de AI Act?

Wy advisearje oanbieders en ymplemintearders oer neilibjen fan 'e AI Act neist de AVG en arbeidswetjouwing. Us yndeks fan Nederlânske hantliedingen foar IT- en privacywetjouwing listet relatearre artikels.

• Wy klassifisearje jo AI-systemen op risikonivo en bepale jo rol foar elk dêrfan.
• Wy besjogge leveransierskontrakten foar de tawizing fan ferplichtingen en oanspraaklikens ûnder de AI Act.
• Wy stelle de transparânsjemeidielings op dy't fereaske binne ûnder artikel 50.
• Wy kombinearje de ynfloedbeoardieling fan 'e fûnemintele rjochten mei de DPIA ûnder de GDPR.
• Wy tariede it fersyk om tastimming fan 'e ûndernimmingsried op en fiere it oerlis út.

Gearfetting

• De EU AI Act (Ferordening (EU) 2024/1689) is fan krêft sûnt 1 augustus 2024 en jildt yn fazen.
• De ferboden, AI-geletterdheid, GPAI-regels en transparânsjeplichten binne al fan tapassing; it markearjen fan útfier fan âldere generative systemen moat foar 2 desimber 2026 dien wurde.
• De AI Omnibus (Feroardering (EU) 2026/1744) hat de regels foar hege risiko's útsteld nei 2 desimber 2027 (Bylage III) en 2 augustus 2028 (Bylage I).
• Boetes geane op oant € 35 miljoen of 7% fan 'e wrâldwide omset; foar MKB's jildt it legere bedrach.
• De AI Act komt boppe-op de GDPR, de Cyberbeveiligingswet en arbeidswetjouwing; plan neilibjen as ien programma.

Faak Stelde Fragen