Wat is de AI Act?

Sinds 2 februari 2025 verboden. Hieronder vallen onder andere sociale scoring door overheden, het afleiden van emoties op de werkvloer en in het onderwijs, ongerichte verzameling van gezichtsopnamen voor gezichtsherkenningsdatabanken, en manipulatie die schade veroorzaakt. Dit is de categorie met de hoogste boetes: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor het mkb geldt het laagste van die twee bedragen als maximum.

AI in kritieke infrastructuur, onderwijs, personeelsselectie, toegang tot essentiele diensten, rechtshandhaving en medische hulpmiddelen. Verplicht zijn onder meer een risicobeheersysteem, eisen aan datakwaliteit, technische documentatie, logging, menselijk toezicht, nauwkeurigheid en robuustheid, plus registratie in een Europese databank. Dit is het pakket dat is opgeschoven naar 2 december 2027, en naar 2 augustus 2028 als de AI in een product zit dat al onder andere productwetgeving valt.

Geldt vanaf 2 augustus 2026. Je moet duidelijk maken dat iemand met een AI-systeem communiceert in plaats van met een mens, en kunstmatig gegenereerde of gemanipuleerde inhoud moet als zodanig herkenbaar zijn. Dit raakt veel organisaties die zichzelf buiten de AI Act waanden: een chatbot op je website of gegenereerde beeldcontent valt hieronder.

Sinds 2 augustus 2025 gelden verplichtingen voor aanbieders van modellen voor algemene doeleinden, met zwaardere eisen als een model systeemrisico oplevert. Voor de meeste Nederlandse organisaties is dit niet direct van toepassing, want je bent geen modelaanbieder. Indirect merk je het wel: je leverancier moet documentatie aanleveren, en die documentatie heb je nodig voor je eigen dossier.

De belangrijkste vraag die organisaties fout beantwoorden. Zet je AI in binnen je eigen bedrijf, dan ben je gebruiksverantwoordelijke en is je pakket beperkt: passend gebruik volgens de instructies, menselijk toezicht, betrokkenen informeren en logs bewaren. Bied je een systeem onder je eigen naam aan of wijzig je het substantieel, dan word je aanbieder en gaat het volledige hoogrisicopakket voor je gelden. Bouw je iets bovenop een model van een leverancier en verkoop je dat door, kijk hier dan goed naar.

Naast de coordinerende toezichthouders houden sectorale toezichthouders toezicht binnen hun domein. De Inspectie Gezondheidszorg en Jeugd voor AI in de zorg, De Nederlandsche Bank en de Autoriteit Financiele Markten voor de financiele sector, de Inspectie Leefomgeving en Transport voor transport en milieu, de Nederlandse Voedsel- en Warenautoriteit voor productveiligheid en de Nederlandse Arbeidsinspectie voor AI op de werkvloer. Voor de meeste organisaties betekent dat: je krijgt de toezichthouder die je al kent, met een nieuw onderwerp op de agenda.

De verordening kent gestaffelde boetes. Voor verboden praktijken tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet. Voor de meeste andere verplichtingen tot 15 miljoen euro of 3 procent. Er is een lagere categorie voor het verstrekken van onjuiste informatie aan een toezichthouder. Voor kleine en middelgrote ondernemingen, inclusief start-ups, geldt telkens het laagste van de twee bedragen als maximum, wat de bedragen in de praktijk aanzienlijk verlaagt zonder ze onbeduidend te maken.

De AI Act zegt wat moet, ISO 42001 helpt je dat te besturen. Een ISO 42001-certificaat geeft geen vermoeden van conformiteit onder de verordening, want de norm is daarvoor niet aangewezen, maar het dekt een groot deel van hetzelfde werk. Verwerk je persoonsgegevens met AI, dan geldt de AVG daarnaast onverkort, met een eigen grondslag en mogelijk een gegevensbeschermingseffectbeoordeling. Val je onder de Cyberbeveiligingswet, dan komt de beveiliging van je AI-systemen daar ook in terug. Drie kaders, een fundament: dat is precies waarom je het in een managementsysteem onderbrengt en niet in drie mappen.