De EU AI Act: uitleg, risicocategorieën en wat die betekent voor jouw software.

In het kort:

• De EU AI Act werkt risicogebaseerd: hoe hoger het risico, hoe strenger de eisen.

• Er zijn vier risicocategorieën: onaanvaardbaar, hoog, beperkt en minimaal.

• De wet kent twee hoofdrollen: de provider die AI ontwikkelt en de deployer die AI gebruikt.

• De eerste verplichtingen gelden al sinds 2 februari 2025. De zwaardere hoog-risico-eisen schuiven via de Digital Omnibus door naar eind 2027 en 2028, al is dat nog niet definitief.

• Vrijwel elke organisatie die AI-tools inzet valt eronder, al is het maar als deployer.

Wat de EU AI Act inhoudt.

De EU AI Act is een verordening, geen richtlijn. Dat betekent dat de wet rechtstreeks geldt in alle 27 lidstaten, zonder dat Nederland er eigen wetgeving van hoeft te maken. Het doel is tweeledig: ruimte geven aan verantwoorde AI en tegelijk grenzen stellen waar AI risico's oplevert voor gezondheid, veiligheid of grondrechten. Het uitgangspunt is simpel uit te leggen. De wet behandelt niet alle AI gelijk, maar kijkt naar wat een systeem doet en wie het raakt. Een spamfilter en een algoritme dat sollicitanten beoordeelt vallen niet in dezelfde categorie, en dat is precies de bedoeling. Hoe groter de mogelijke impact op mensen, hoe meer de wet van je verwacht. Belangrijk om te weten: de AI Act heeft een lange arm. Zit jouw organisatie buiten de EU, maar wordt de output van je AI-systeem binnen de Unie gebruikt, dan val je alsnog onder de regels.

De vier risicocategorieën van de AI-verordening.

De AI-verordening verdeelt AI-systemen in vier categorieën. Elke categorie heeft zijn eigen verplichtingen, oplopend van een volledig verbod tot helemaal geen specifieke eisen.

Onaanvaardbaar risico: verboden toepassingen.

De zwaarste categorie. Dit zijn toepassingen die de EU zo schadelijk vindt dat ze verboden zijn. Denk aan social scoring door overheden, manipulatieve AI die het gedrag van mensen onbewust stuurt, en bepaalde vormen van biometrische identificatie op afstand. Deze verboden gelden al sinds 2 februari 2025 en overtreding levert de hoogste boetes op.

Hoog risico: strenge eisen.

AI die gebruikt wordt voor zaken met grote gevolgen voor mensen valt onder hoog risico. Voorbeelden zijn systemen voor werving en selectie, kredietbeoordeling, onderwijs en kritieke infrastructuur. Voor deze systemen gelden de zwaarste praktische verplichtingen: een risicobeheersysteem, eisen aan datakwaliteit, technische documentatie, logging, menselijk toezicht en een conformiteitsbeoordeling voordat het systeem op de markt komt.

Beperkt risico: transparantieplicht.

Hieronder vallen chatbots, AI-gegenereerde content en deepfakes. De kern is transparantie: een gebruiker moet weten dat hij met AI te maken heeft of dat content kunstmatig is gemaakt. Synthetische tekst, beeld, audio en video moeten machine-leesbaar als AI-gegenereerd worden gemarkeerd.

Minimaal risico: geen specifieke eisen.

De grootste groep in de praktijk. Spamfilters, aanbevelingsalgoritmes en de meeste alledaagse AI-toepassingen vallen hieronder. Hiervoor stelt de wet geen specifieke verplichtingen.

Voor wie de AI Act geldt: provider versus deployer.

Dit is het deel waar veel organisaties zich op verkijken. De AI Act maakt onderscheid tussen twee rollen, en die rollen bepalen wat je moet regelen.

Een provider ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt. Een deployer gebruikt een AI-systeem in de eigen bedrijfsvoering. Gebruik je tools als ChatGPT of Copilot in je werkprocessen, dan ben je deployer en heb je dus ook verplichtingen.

Hier zit de adder onder het gras. Pas je een bestaand AI-systeem ingrijpend aan, bijvoorbeeld door het te fine-tunen of door het beoogde doel te wijzigen, dan word je juridisch zelf provider. Met alle bijbehorende verplichtingen. Voor organisaties die AI laten integreren in maatwerk software is dat een wezenlijk verschil: de manier waarop je AI inbouwt, bepaalt mede in welke rol je terechtkomt.

De deadlines van de EU AI Act.

De wet wordt gefaseerd ingevoerd. Dit is de oorspronkelijke tijdlijn uit de verordening:

• 1 augustus 2024: de AI Act treedt in werking.

• 2 februari 2025: het verbod op bepaalde AI-praktijken (artikel 5) en de AI-geletterdheidsplicht (artikel 4) gaan in.

• 2 augustus 2025: de regels voor AI-modellen voor algemene doeleinden (GPAI) en het boetekader worden van kracht.

• 2 augustus 2026: de meeste overige verplichtingen, waaronder die voor hoog-risico AI, zouden ingaan.

• 2 augustus 2027: voorziene volledige toepassing.

Wat de AI Act betekent voor maatwerk software en AI-integratie.

Of jouw software onder de AI Act valt, hangt niet af van het feit dat het maatwerk is. Het hangt af van wat de AI-functie doet en in welke risicocategorie die valt. Bouw je een functie die mensen beoordeelt, bijvoorbeeld in een wervingsproces of bij een kredietaanvraag, dan kom je al snel in een zwaardere categorie terecht. Een slimme zoekfunctie of een in-product assistent zit doorgaans veel lager.

Het praktische punt: de wet vraagt om transparantie, logging, menselijk toezicht en documentatie. Dat zijn geen dingen die je er achteraf bij plakt. Het zijn ontwerpkeuzes. Wie maatwerk software laat ontwikkelen en deze eisen vanaf het begin meeneemt, heeft straks aanzienlijk minder werk dan wie ze er later in moet wringen. Denk aan een AI-functie die elke beslissing logt, die altijd terugkoppelt dat een mens kan ingrijpen, en die haar redenering kan tonen. Dat is precies het soort grip dat de wet verlangt, en dat is goed in te bouwen in AI-functies binnen je bestaande software.

Je organisatie voorbereiden op de AI Act.

Je hoeft niet te wachten tot een deadline om te beginnen. Een paar nuchtere stappen brengen je al ver. Breng eerst in kaart welke AI je gebruikt en laat bouwen. Veel organisaties onderschatten dat: van de chatbot op de site tot de Copilot in Microsoft 365, het telt allemaal mee. Leg dat vast in een eenvoudig AI-register. Bepaal vervolgens per toepassing in welke risicocategorie die valt en welke rol je hebt, provider of deployer. Stel daarna licht AI-beleid op: wie mag wat, en onder welke voorwaarden. En vergeet de AI-geletterdheid niet. Die verplichting geldt al sinds 2 februari 2025 en vraagt dat medewerkers die met AI werken begrijpen wat het doet, waar de risico's zitten en wat de beperkingen zijn. Tot slot: wees transparant naar je gebruikers wanneer ze met AI te maken hebben.