AI Act Kompas

De EU AI Act — formeel Verordening (EU) 2024/1689 — is op 1 augustus 2024 in werking getreden en is rechtstreeks van toepassing in alle 27 lidstaten. Er is geen Nederlandse implementatiewet nodig om de kern te laten werken: de regels gelden zoals ze in de verordening staan. Dit artikel vat de hele wet samen in de volgorde waarin je hem in de praktijk tegenkomt.

1. Waarom deze wet er is

Vóór de AI Act bestond er in Europa geen samenhangend kader voor AI. Toezichthouders moesten terugvallen op algemene wetgeving: de AVG voor persoonsgegevens, productveiligheidsregels voor apparaten, het discriminatierecht voor ongelijke behandeling. Dat leidde tot twee problemen tegelijk. Bedrijven wisten niet waar ze aan toe waren, en burgers hadden weinig grip op systemen die over hun hypotheek, hun sollicitatie of hun uitkering meebeslisten.

De Europese wetgever koos daarom voor een aanpak die uit het productveiligheidsrecht komt: niet de technologie reguleren, maar het gebruik en het risico. Een taalmodel dat marketingteksten schrijft, hoeft niet aan dezelfde eisen te voldoen als hetzelfde model dat sollicitaties rangschikt. Diezelfde logica verklaart waarom de wet met CE-markering, conformiteitsbeoordelingen en markttoezicht werkt — begrippen die je ook kent van machines en medische hulpmiddelen.

2. Wat telt als AI-systeem

Artikel 3 definieert een AI-systeem als een machinaal systeem dat is ontworpen om met verschillende niveaus van autonomie te werken, dat na uitrol aanpassingsvermogen kan vertonen en dat uit de ontvangen input afleidt hoe het output genereert. Dat afleidingsvermogen is het onderscheidende element: klassieke software die uitsluitend vooraf geprogrammeerde regels uitvoert, valt er niet onder. Lees de volledige uitleg in ons artikel over de definitie van een AI-systeem.

Buiten de reikwijdte vallen onder meer AI voor uitsluitend militaire, defensie- of nationale veiligheidsdoeleinden, systemen die alleen voor wetenschappelijk onderzoek en ontwikkeling worden gebruikt, en zuiver persoonlijk, niet-beroepsmatig gebruik door natuurlijke personen.

3. De vier risiconiveaus

De kern van de wet is de risicopiramide. Zie de uitgebreide uitleg per niveau; hier de korte versie:

• Onaanvaardbaar risico — acht categorieën zijn volledig verboden, zoals social scoring, ongerichte scraping van gezichtsbeelden en emotieherkenning op werk en school. Zie verboden AI-praktijken.
• Hoog risico — toegestaan, maar alleen onder strikte voorwaarden. Dit zijn AI-systemen als veiligheidscomponent in gereguleerde producten (bijlage I) en de acht domeinen uit bijlage III, waaronder werving, onderwijs, kredietverlening, essentiële diensten en rechtshandhaving.
• Beperkt risico — transparantieverplichtingen. Gebruikers moeten weten dat ze met AI praten (chatbots) en AI-gegenereerde content moet worden gemarkeerd (deepfakes).
• Minimaal risico — geen verplichtingen uit de AI Act zelf. Hier valt het overgrote deel van alle AI-toepassingen: spamfilters, aanbevelingen in een webshop, voorraadvoorspelling, ruisonderdrukking.

Daarnaast staat een vijfde spoor los van de piramide: general-purpose AI-modellen. Die worden niet geclassificeerd naar gebruik, maar hebben hun eigen hoofdstuk met documentatie-, auteursrecht- en veiligheidsverplichtingen.

4. Wie welke rol heeft

De verplichtingen hangen af van je rol in de keten. De AI Act onderscheidt vooral:

• Aanbieder (provider) — ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam of merk op de markt. Draagt het leeuwendeel van de verplichtingen.
• Gebruiksverantwoordelijke (deployer) — gebruikt een AI-systeem onder eigen verantwoordelijkheid in een professionele context. De meeste Nederlandse organisaties zitten in deze rol.
• Importeur en distributeur — brengen systemen van buiten de EU op de markt of stellen ze beschikbaar en moeten controleren of de aanbieder zijn werk heeft gedaan.
• Productfabrikant — integreert AI in een product dat al onder EU-productwetgeving valt.

Let op de omslagregel van artikel 25: zet je je eigen merk op een systeem, wijzig je het beoogde doel of breng je een substantiële wijziging aan, dan word je zelf aanbieder — met alle verplichtingen van dien. Zie wanneer je van deployer aanbieder wordt. Het volledige overzicht staat op de pagina verplichtingen per rol.

5. Wat hoog-risico systemen concreet moeten

Voor hoog-risico AI schrijft hoofdstuk III, afdeling 2 zeven eisen voor. Elk daarvan heeft een eigen artikel op deze site:

• Risicobeheersysteem (art. 9) — een continu proces over de hele levenscyclus.
• Data en datagovernance (art. 10) — representatieve, zo foutloos mogelijke datasets met biasonderzoek.
• Technische documentatie (art. 11 + bijlage IV) — vóór ingebruikname gereed en actueel gehouden.
• Registratie van logs (art. 12) — automatische logging van gebeurtenissen.
• Transparantie richting de deployer (art. 13) — gebruiksinstructies die daadwerkelijk bruikbaar zijn.
• Menselijk toezicht (art. 14) — ontworpen zodat een mens kan ingrijpen.
• Nauwkeurigheid, robuustheid en cyberbeveiliging (art. 15).

Daarbovenop komen organisatorische eisen: een kwaliteitsmanagementsysteem, een conformiteitsbeoordeling met CE-markering, registratie in de EU-databank, monitoring na het in de handel brengen en het melden van ernstige incidenten.

6. Deadlines in vogelvlucht

• 1 augustus 2024 — inwerkingtreding.
• 2 februari 2025 — verboden praktijken (art. 5) en AI-geletterdheid (art. 4).
• 2 augustus 2025 — GPAI-verplichtingen, governance, sancties en aanwijzing van nationale autoriteiten.
• 2 augustus 2026 — het merendeel van de verordening, inclusief bijlage III hoog-risico en de transparantieregels van artikel 50.
• 2 augustus 2027 — AI als veiligheidscomponent in bijlage I-producten en de einddatum voor bestaande GPAI-modellen.

Een gedetailleerd overzicht staat op de tijdlijnpagina en in ons artikel over wat er verandert in 2026 en 2027.

7. Toezicht en boetes

Op Europees niveau houdt het AI Office toezicht op GPAI-modellen; nationaal zijn markttoezichtautoriteiten aangewezen. In Nederland is de RDI coördinerend markttoezichthouder en houdt de Autoriteit Persoonsgegevens zich bezig met algoritmes en grondrechten — zie handhaving in Nederland.

De boetestructuur kent drie niveaus: tot €35 miljoen of 7% van de wereldwijde jaaromzet voor verboden praktijken, tot €15 miljoen of 3% voor de meeste andere overtredingen, en tot €7,5 miljoen of 1% voor het verstrekken van onjuiste informatie aan toezichthouders. Voor kmo's geldt telkens het láágste van de twee bedragen. Details op de boetepagina.

8. Waar begin je?

In de praktijk werkt deze volgorde het best:

1. Inventariseer alle AI-toepassingen in je organisatie, inclusief functies die stilletjes in bestaande software zijn geactiveerd.
2. Classificeer per toepassing het risiconiveau — de risico-check geeft een indicatie.
3. Bepaal je rol per systeem: aanbieder of deployer, en check artikel 25.
4. Regel AI-geletterdheid — dit geldt nu al voor iedereen. Zie artikel 4.
5. Werk de gaten weg met de compliance-checklist en leg beslissingen vast.

De volledige, juridisch bindende tekst vind je in Verordening (EU) 2024/1689 op EUR-Lex. Deze samenvatting is een hulpmiddel, geen juridisch advies.

Veelgestelde vragen

Wat is de EU AI Act in één zin?

De EU AI Act (Verordening (EU) 2024/1689) is de eerste brede wet ter wereld die kunstmatige intelligentie reguleert via een risicogebaseerde aanpak: hoe groter het risico voor gezondheid, veiligheid of grondrechten, hoe strenger de eisen aan het AI-systeem.

Geldt de AI Act ook voor bedrijven buiten de EU?

Ja. De verordening heeft extraterritoriale werking: hij geldt voor aanbieders die een AI-systeem in de EU op de markt brengen ongeacht hun vestigingsplaats, en voor aanbieders en gebruiksverantwoordelijken buiten de EU wanneer de output van het systeem in de EU wordt gebruikt.

Moet ik als gebruiker van AI-software ook iets doen?

Ja. Ook zonder eigen ontwikkeling gelden de AI-geletterdheidsplicht van artikel 4, transparantieplichten bij chatbots en AI-content, en — bij hoog-risico systemen — de deployer-verplichtingen uit artikel 26: gebruik volgens de instructies, menselijk toezicht, logbewaring en informatie aan betrokkenen.

Wanneer is de AI Act volledig van kracht?

De verordening trad op 1 augustus 2024 in werking. Verboden praktijken en AI-geletterdheid gelden sinds 2 februari 2025, GPAI-regels sinds 2 augustus 2025, het gros van de verplichtingen sinds 2 augustus 2026, en voor AI in producten die onder bijlage I vallen geldt 2 augustus 2027.