Marktmannen wiki Wet- & Regelgeving

AI Act

Laatst bijgewerkt

TL;DR: De EU AI Act is een risicogebaseerde verordening voor het ontwikkelen, aanbieden en gebruiken van AI-systemen binnen de EU — met verplichtingen die zwaarder worden naarmate het risico van een toepassing groter is, een concreet stappenplan om dat risico te bepalen, en boetes tot 7% van de wereldwijde omzet.

De AI Act geldt naast (niet in plaats van) de AVG: de AI Act regelt de veiligheid en betrouwbaarheid van AI-systemen, de AVG blijft van toepassing zodra er persoonsgegevens worden verwerkt. Voor een organisatie die AI inzet — bijvoorbeeld in marketing, werving of klantcontact — betekent dit vaak dat beide kaders tegelijk gelden.

Voor wie geldt de wet

De reikwijdte is breed: aanbieders (ontwikkelaars/leveranciers), distributeurs en importeurs, gebruiksverantwoordelijken/deployers (bedrijven, overheden, instellingen die het systeem inzetten), en GPAI-aanbieders (generatieve/algemene AI-modellen). Ook organisaties die AI integreren in producten (medische hulpmiddelen, voertuigen, machines) vallen eronder. De verplichting werkt door in de hele keten: een organisatie moet kunnen aantonen dat haar toeleveranciers compliant zijn.

Let op: een gebruiksverantwoordelijke kan zelf aanbieder worden als hij een systeem van een derde partij substantieel aanpast voor een hoog-risico toepassing of onder eigen merknaam op de markt brengt — bijvoorbeeld een HR-afdeling die ChatGPT met een uitgebreide set eigen prompts en data ombouwt tot een cv-screeningtool.

Rollen in de keten

  • Aanbieder (provider): ontwikkelt het AI-systeem of brengt het onder eigen naam op de markt; draagt de conformiteitsbeoordeling en verbindt zijn naam aan de CE-markering (met bijbehorende aansprakelijkheid).
  • Gebruiksverantwoordelijke (deployer): zet het systeem daadwerkelijk in binnen de eigen processen — dit is de rol die de meeste bedrijven die AI-tools gebruiken (zoals Claude, ChatGPT) hebben; houdt operationeel toezicht en monitort incidenten.
  • Importeurs en distributeurs: brengen AI-systemen op de Europese markt of distribueren ze.

Vooral aanbieders van hoog-risico AI moeten via conformiteitsbeoordelingen en documentatie aantonen dat hun systeem aan de eisen voldoet.

Het risicomodel

Hoe groter het risico voor mens en samenleving, hoe strenger de regels. De AI Act kent hiervoor een vast stappenplan — geen open risico-inschatting per geval.

Verboden AI-praktijken (art. 5)

Absoluut verbod, zonder ruimte voor belangenafweging of toestemming van de betrokkene:

  • Manipulatieve/misleidende technieken of misbruik van kwetsbaarheden (leeftijd, handicap, sociale/economische omstandigheid) die iemands gedrag wezenlijk verstoren én aanzienlijke schade berokkenen.
  • Social scoring: personen evalueren of classificeren op basis van sociaal gedrag met een nadelige behandeling tot gevolg, buiten de oorspronkelijke context of onevenredig aan het gedrag.
  • Databanken voor gezichtsherkenning aanleggen via ongerichte scraping van internet- of CCTV-beelden.
  • Risicobeoordeling van strafbare feiten uitsluitend op basis van profilering of persoonlijkheidskenmerken (wel toegestaan ter ondersteuning van een reeds op objectieve feiten gebaseerd menselijk oordeel).
  • Emotieherkenning op de werkplek of in het onderwijs (uitzondering: medische of veiligheidsredenen).
  • Biometrische categorisering om ras, politieke opvattingen, vakbondslidmaatschap, religie of seksuele gerichtheid af te leiden.
  • Real-time biometrische identificatie op afstand in openbaar toegankelijke plaatsen t.b.v. rechtshandhaving.

Uitzonderingen gelden voor wetenschappelijk onderzoek (tot het systeem buiten R&D wordt ingezet) en voor puur persoonlijk, niet-professioneel gebruik.

Hoog-risico AI (art. 6)

Twee onafhankelijke routes; beide beoordelen via een vast stappenplan, niet via een eigen inschatting:

  • Type 1 — gereguleerde producten (Bijlage I): het systeem is (een veiligheidscomponent van) een product dat al onder sectorale EU-productwetgeving valt — machines, speelgoed, pleziervaartuigen, kabelbanen, medische hulpmiddelen, radioapparatuur (breder dan verwacht: ook wifi, mobiele telefoons), gasverbrandingstoestellen — én er is een conformiteitsbeoordeling door een derde partij vereist. Uitgezonderd: burgerluchtvaart, voertuigen, landbouw-/bosbouwvoertuigen, spoorwegsystemen, drones.
  • Type 2 — specifiek doel in Bijlage III: kritieke infrastructuur (verkeer, water, gas, elektriciteit), onderwijs (toegang, leerresultaten, examenfraude-detectie), essentiële diensten (overheidsuitkeringen, kredietwaardigheid, verzekeringen, noodoproepen/triage), biometrie (identificatie op afstand, categorisering, emotieherkenning), arbeid (werving, contractbeslissingen, taaktoewijzing, prestatiemonitoring).

Voor Type 2 geldt een algemene uitzondering ("geen significant risico") als het systeem uitsluitend: (1) een beperkte procedurele taak uitvoert, (2) een eerder menselijk resultaat verbetert, (3) afwijkingen van beslispatronen signaleert zonder het menselijk oordeel te vervangen, of (4) een voorbereidende taak uitvoert. Deze uitzondering vervalt zodra het systeem aan profilering doet — een recruitment-AI die cv's sorteert op relevantie is daardoor al snel hoog risico, ook al "beslist" het zelf niets.

Transparantieverplichtingen (art. 50)

Gelden ongeacht of een systeem ook hoog risico is:

  • Chatbots en andere systemen voor directe interactie moeten zich kenbaar maken als AI.
  • Synthetische content (tekst, beeld, audio, video) moet machineleesbaar gemarkeerd zijn — vaak onzichtbaar (bv. Content Credentials), die platforms als LinkedIn oppikken voor een label.
  • Deepfakes (content die een echte situatie nabootst) moeten expliciet zichtbaar gelabeld zijn, bijvoorbeeld als watermerk.
  • Uitzondering bij evident artistiek/satirisch/fictief werk, en wanneer een partij met redactionele verantwoordelijkheid (bv. een persbureau) menselijke controle heeft uitgeoefend op de content.

General-Purpose AI (GPAI, art. 53/55)

GPAI-modellen (ChatGPT, Claude e.d.) kunnen niet vooraf getoetst worden aan een beoogd doel — daarom een apart, lichter regime: aanbieders moeten transparant zijn over trainingsdata, modaliteiten en beperkingen (art. 53), vastgelegd in technische documentatie waarmee afnemers hun eigen systeem compliant kunnen ontwikkelen. Bij systeemrisico (trainingscompute boven 10^25 FLOPS, of aanwijzing door de Europese Commissie) gelden zwaardere eisen (art. 55). Transparantie raakt hier ook auteursrecht en de AVG: of grootschalig scrapen van trainingsdata toegestaan is, is juridisch nog onduidelijk.

Verplichtingen op hoofdlijnen

Voor hoog-risico AI, samengevat per thema — (A) = verplichting voor de aanbieder, (G) = voor de gebruiksverantwoordelijke:

  • Menselijk toezicht: effectief toezicht inbouwen (A); toezichthoudend personeel trainen en bevoegd maken (G); recht op uitleg van getroffen personen faciliteren (G).
  • Gegevensbeheer & privacy: datakwaliteit en governance (A); representatieve input data (G); afstemming met de AVG (A & G).
  • Risicobeheer: risicoanalyse (A); beheersmaatregelen nemen en gebruiksinstructies volgen (A & G); monitoring na marktintroductie (A).
  • Nauwkeurigheid, testen, validatie: passend niveau van nauwkeurigheid, robuustheid en cyberbeveiliging (A); testen vóór implementatie (A).
  • Incidentbeheer: plan voor melden en behandelen van serieuze incidenten (A & G); corrigerende maatregelen (A).
  • Transparantie & documentatie: transparant ontwerp (A); gebruiksinstructies opstellen en volgen (A & G); technische documentatie bijhouden (G); logs automatisch bijhouden, minimaal 6 maanden (A & G); Type 2 hoog-risico systemen registreren in de EU-database (A); werknemersvertegenwoordigers informeren bij inzet op de werkvloer (G).
  • Conformiteit & markering: conformiteitsbeoordeling doorlopen, EU-conformiteitsverklaring opstellen, CE-markering aanbrengen (A).
  • Beheersystemen: intern kwaliteitsbeheersysteem (A); afspraken met derde-partijleveranciers over informatie en toegang (A).

AI Act & AVG

Waar de AI Act de robuustheid van het systeem zelf reguleert, bewaakt de AVG de rechtmatigheid van de dataverwerking erachter — een AI-systeem moet aan beide wetten tegelijk voldoen.

  • DPIA vs. FRIA: bij verhoogd privacyrisico eist de AVG een Data Protection Impact Assessment (DPIA) — verplicht voor iedere verwerkingsverantwoordelijke waar relevant. De AI Act introduceert daarnaast de Fundamental Rights Impact Assessment (FRIA), maar beperkter: vooral voor gebruiksverantwoordelijken in de publieke sector en enkele specifieke private taken. Een gewoon bedrijf dat AI voor personeelsbeoordeling inzet, doet dus wel een DPIA maar geen FRIA. Beide mogen in één document (bv. de Rijksoverheid-sjablonen IAMA of AIIA).
  • Geautomatiseerde besluitvorming: de AI Act geeft een recht van uitleg bij hoog-risico beslissingen; de AVG gaat verder en verbiedt volledig geautomatiseerde besluitvorming over mensen zonder uitdrukkelijke toestemming of wettelijke grondslag. De gangbare oplossing — een mens in de lus (human-in-the-loop) — werkt alleen als die persoon ook echt de middelen en bevoegdheid heeft om de AI te overrulen; anders wordt het toezicht een formaliteit (automation bias). Een human-on-the-loop-opzet, waarbij een mens pas ingrijpt bij grenswaarden of afwijkende gevallen, is in de praktijk vaak realistischer én nog steeds voldoende voor de AI Act-eis van menselijk toezicht.

Handhaving en boetes (Nederland)

Elke lidstaat krijgt minstens één toezichthouder. In Nederland is dit nog niet formeel belegd; het voorstel is sectoraal toezicht door bestaande markttoezichthouders (NVWA, IGJ, AFM, RDI) op de partijen die zij al reguleren, met de Autoriteit Persoonsgegevens als vangnet waar geen sectoraal toezicht bestaat. Voor GPAI houdt de Europese Commissie zelf toezicht, via het nieuwe AI Office — aanvullend op bestaande bevoegdheden onder de Digital Services Act en Digital Markets Act.

Toezichthouders mogen toegang eisen tot documentatie, broncode en modelparameters, bindende aanwijzingen geven, gebruik laten staken en boetes opleggen:

  • tot €35 miljoen of 7% van de wereldwijde omzet bij verboden AI-toepassingen;
  • tot €15 miljoen of 3% van de omzet bij andere overtredingen;
  • tot €7,5 miljoen of 1,5% van de omzet bij onjuiste/onvolledige/misleidende informatie aan toezichthouders;
  • lagere plafonds voor mkb en startups.

Praktijkvragen

  • Valt elk algoritme onder de AI Act? Nee. Alleen systemen die zelf beslisregels afleiden uit data ("inferentievermogen"). Een vaste, vooraf geprogrammeerde als-dan-logica is geen AI in de zin van de wet.
  • Moet een bestaand AI-systeem alsnog voldoen? Ja, hoog-risico AI moet compliant zijn — maar pas bij de eerste "substantiële wijziging" na 2 augustus 2026. Vuistregel: een nieuwe productversie (2.0, 3.0) telt als substantieel, een verbetering (2.3, 3.1) niet. Voor verboden praktijken geldt geen overgangsrecht: die moeten meteen stoppen.
  • Moet AI-gegenereerde tekst of beeld altijd zichtbaar gelabeld worden? Nee. Verplicht is een (vaak onzichtbare, machineleesbare) markering; alleen deepfakes moeten expliciet zichtbaar gelabeld zijn. De labelplicht voor tekst vervalt bij content die niet het publiek informeert (fictie, e-mail) of die menselijke eindredactie heeft ondergaan.
  • Valt open-source AI erbuiten? In beginsel vrijgesteld van de AI Act, maar niet van het verbod op art. 5-praktijken, en de vrijstelling vervalt zodra het model voor een hoog-risico toepassing wordt ingezet.
  • Betekent AI Act-compliance ook AVG-compliance? Nee, ze bestaan naast elkaar — en ook andere wetgeving (Cyber Resilience Act, Digital Services Act) blijft gewoon gelden.

Open vragen

  • Wanneer wordt het NL-markttoezicht formeel belegd, en welke sectorale toezichthouder is dan concreet verantwoordelijk voor een organisatie als Marktmannen (marketing/SaaS-context)?
  • Wat betekent dit concreet voor een marketingorganisatie die generatieve AI (Claude, ChatGPT) inzet voor content en klantcontact: welke rol (deployer) en welke transparantieplicht (AI-labeling van content) is van toepassing?
  • Hoe streng wordt de FRIA-drempel in de praktijk uitgelegd voor MKB-gebruiksverantwoordelijken die net buiten de expliciet genoemde publieke/private taken vallen?

Verwante concepten

Bronnen

  • AI Act — ICTRecht B.V., 08-12-2025
  • De AI Act in zes stappen — Onbekend, 27-07-2026
  • De AI Act: AI binnen de lijnen van het recht — Onbekend, 27-07-2026
#privacy

Backlinks