Kort samengevat
- De AI Act laat andere wetgeving onverlet: je moet aan alle toepasselijke kaders tegelijk voldoen.
- De AVG regelt persoonsgegevens, de AI Act de betrouwbaarheid van het systeem — DPIA en FRIA kunnen worden gecombineerd.
- NIS2, DORA en de Cyber Resilience Act dekken generieke beveiliging; artikel 15 AI Act voegt AI-specifieke dreigingen toe.
- Voor financiële instellingen mag bestaande governance grotendeels dienstdoen als AI Act-kwaliteitsmanagementsysteem.
De AI Act is één bouwsteen in een groter Europees digitaal bouwwerk. Artikel 2 bepaalt expliciet dat de verordening andere Uniewetgeving onverlet laat. In de praktijk betekent dat: stapelen, niet vervangen. Hieronder de belangrijkste kaders en waar ze elkaar raken.
AVG (Verordening 2016/679)
De meest voorkomende samenloop. De AVG regelt de rechtmatigheid van de verwerking van persoonsgegevens: grondslag, doelbinding, transparantie, rechten van betrokkenen, bewaartermijnen. De AI Act regelt de eigenschappen van het systeem: datakwaliteit, documentatie, toezicht, robuustheid.
Praktische raakvlakken: DPIA naast FRIA, het uitlegrecht van artikel 86 AI Act naast artikel 22 AVG over geautomatiseerde besluitvorming, en de uitzondering in artikel 10 lid 5 AI Act die verwerking van bijzondere categorieën gegevens toestaat voor biasdetectie. Zie AI Act en AVG.
NIS2 (Richtlijn 2022/2555)
NIS2 verplicht essentiële en belangrijke entiteiten tot risicobeheersmaatregelen voor cyberbeveiliging en tot incidentmelding, met bestuurlijke aansprakelijkheid. Overlap met de AI Act zit bij artikel 15 en bij incidentmelding. Verschil: NIS2 kijkt naar de organisatie en haar netwerk- en informatiesystemen, de AI Act naar het AI-systeem als product — inclusief aanvallen op het model zelf. Wie NIS2 op orde heeft, kan het beveiligingsdeel van de AI Act daarop enten, maar moet de AI-specifieke dreigingen expliciet toevoegen.
DORA (Verordening 2022/2554)
Voor de financiële sector regelt DORA digitale operationele weerbaarheid: ICT-risicobeheer, incidentrapportage, weerbaarheidstesten en het beheer van derde partijen. Dat laatste raakt direct aan AI-leveranciers. Een instelling die haar DORA-registers en uitbestedingsafspraken op orde heeft, heeft daarmee een groot deel van het leveranciersbeheer voor de AI Act al staan — zie AI inkopen en contracteren. Voor financiële instellingen geldt bovendien dat bestaande governance onder sectorale regels grotendeels als kwaliteitsmanagementsysteem mag gelden.
DSA (Verordening 2022/2065)
De Digital Services Act reguleert online tussenpersonen en platforms: notice-and-action, transparantie over aanbevelingssystemen, verbod op bepaalde donkere patronen en — voor zeer grote platforms — systeemrisicobeoordelingen en audits. Een aanbevelingsalgoritme kan dus tegelijk onder DSA-transparantie en AI Act-regels vallen. Let ook op de raakvlakken bij deepfake-labeling: de AI Act verplicht markering, de DSA raakt de verspreiding ervan.
Data Act en Data Governance Act
De Data Act regelt toegang tot en gebruik van data die door verbonden producten wordt gegenereerd, plus cloudswitching en clausules over oneerlijke contractvoorwaarden. Voor AI-projecten is dat relevant bij de vraag wie welke data mag gebruiken voor training en hergebruik. De Data Governance Act faciliteert het delen van data via bemiddelingsdiensten en data-altruïsme — een route om aan representatieve trainingsdata te komen zonder de AVG te overtreden.
Cyber Resilience Act
De CRA stelt beveiligingseisen aan producten met digitale elementen gedurende hun levenscyclus, inclusief kwetsbaarhedenbeheer en updateverplichtingen. Voor AI-systemen die als product op de markt komen, geldt dat je één technisch dossier kunt opbouwen dat zowel CRA- als AI Act-eisen dekt. De AI Act bepaalt dat hoog-risico AI-systemen die aan de CRA-eisen voldoen, geacht worden te voldoen aan de cyberbeveiligingseisen van artikel 15 voor zover die door de CRA worden gedekt.
Machineverordening en productwetgeving (bijlage I)
Machines, medische hulpmiddelen, speelgoed, liften en voertuigen hebben al eigen conformiteitsregimes. Bevat zo'n product een AI-systeem als veiligheidscomponent, dan gelden de AI Act-eisen bovenop — maar wel geïntegreerd in één beoordeling en één CE-markering. Zie AI in machines en gereguleerde producten.
Toezichthouders in Nederland
De samenloop van kaders betekent ook samenloop van toezichthouders: RDI (markttoezicht AI Act), Autoriteit Persoonsgegevens (AVG en algoritmes), DNB en AFM (financieel), ACM (consument en markt), IGJ en NZa (zorg), en de sectorale NIS2-toezichthouders. Zij stemmen af, maar dat ontslaat je niet van de plicht om per kader te weten wie je aanspreekpunt is. Zie handhaving in Nederland.
Veelgestelde vragen
Moet ik naast een DPIA ook een FRIA doen?
Als je onder artikel 27 AI Act valt wel. De FRIA kijkt naar gevolgen voor grondrechten van de personen die door het systeem worden geraakt; de DPIA naar risico's van de gegevensverwerking. De AI Act staat toe dat de FRIA voortbouwt op een bestaande DPIA, zodat je alleen de ontbrekende onderdelen aanvult.
Vervangt NIS2 de beveiligingseisen van de AI Act?
Nee. NIS2 stelt eisen aan de cyberbeveiliging van essentiële en belangrijke entiteiten op organisatieniveau. Artikel 15 AI Act stelt eisen aan het AI-systeem zelf, inclusief bescherming tegen data poisoning, adversarial examples en modelmanipulatie. De kaders vullen elkaar aan.
Wat is de verhouding tussen de AI Act en de DSA?
De DSA reguleert online platforms en hun aanbevelings- en moderatiesystemen, inclusief risicobeoordelingen voor zeer grote platforms. De AI Act reguleert het AI-systeem als product. Een aanbevelingsalgoritme van een groot platform kan dus onder beide kaders vallen, met verschillende toezichthouders.