Handhaving van de EU AI Act begint: nalevingschecklist

De AI Act wordt van kracht

De EU AI Act, ‘s werelds eerste alomvattende juridische kader voor kunstmatige intelligentie, is van wetgeving overgegaan naar handhaving — in fasen. Het verbod op verboden AI-praktijken en de plicht tot AI-geletterdheid gelden sinds 2 februari 2025. De verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden volgden op 2 augustus 2025, en sinds 2 augustus 2026 kan de Commissie die met boetes handhaven; vanaf die datum gelden ook de transparantieverplichtingen voor chatbots en door AI gegenereerde content. De kernregels voor hoog risico werden echter uitgesteld: de Digital Omnibus over AI, van kracht sinds 27 juli 2026, verschoof de verplichtingen voor zelfstandige AI-systemen met een hoog risico uit bijlage III (zoals werving of kredietscoring) van 2 augustus 2026 naar 2 december 2027, en die voor AI in producten die onder EU-veiligheidswetgeving vallen naar 2 augustus 2028.

Dit is geen abstract beleid. Als uw bedrijf AI gebruikt voor aanwervingsbeslissingen, kredietscores, medische diagnostiek of een ander systeem dat de rechten en veiligheid van mensen raakt, dan is de AI Act rechtstreeks van toepassing op uw activiteiten.

De risiconiveaus begrijpen

De AI Act deelt AI-systemen in vier risicocategorieën in, elk met eigen regelgevende vereisten:

Onaanvaardbaar risico (verboden): AI-systemen voor sociale scoring door overheden, realtime biometrische identificatie in openbare ruimten (met beperkte uitzonderingen voor rechtshandhaving), manipulatie van kwetsbare groepen en emotieherkenning op de werkplek en op school. Deze zijn volledig verboden.

Hoog risico: AI die wordt gebruikt in kritieke infrastructuur, onderwijs, werkgelegenheid, essentiële diensten, rechtshandhaving, migratie en justitie. Deze systemen moeten een conformiteitsbeoordeling ondergaan, een risicobeheersysteem onderhouden, de kwaliteit van gegevens waarborgen, transparant zijn tegenover gebruikers en menselijk toezicht mogelijk maken.

Beperkt risico: Systemen zoals chatbots en deepfakegenerators die aan transparantieverplichtingen moeten voldoen — gebruikers moeten worden geïnformeerd dat ze met AI communiceren of door AI gegenereerde inhoud bekijken.

Minimaal risico: Het merendeel van de AI-toepassingen — spamfilters, AI in videogames, voorraadbeheer — krijgt geen bijkomende regelgevende vereisten.

Uw nalevingschecklist

Voor bedrijven die AI-systemen met een hoog risico aanbieden of inzetten, moet het volgende op orde zijn (voor zelfstandige systemen uit bijlage III gelden deze verplichtingen vanaf 2 december 2027 — tijd om je voor te bereiden, niet om af te wachten):

1. Inventaris van AI-systemen: Documenteer elk AI-systeem dat uw organisatie gebruikt of inzet, ingedeeld per risiconiveau. U kunt geen regels naleven waarvan u niet weet dat ze op u van toepassing zijn.

2. Risicobeheersysteem: Zet een continu risicobeheerproces op dat risico’s gedurende de hele levenscyclus van het AI-systeem identificeert, analyseert en beperkt.

3. Datagovernance: Zorg ervoor dat datasets voor training, validatie en tests relevant en representatief zijn, en zo vrij van vooringenomenheid als redelijkerwijs mogelijk. Documenteer de herkomst van de gegevens en de manier waarop ze zijn voorbereid.

4. Technische documentatie: Houd gedetailleerde dossiers bij over het systeemontwerp, de ontwikkelmethode, de trainingsprocedures en de prestatie-indicatoren — nog vóór het systeem op de markt wordt gebracht.

5. Transparantie en informatie voor gebruikers: Geef duidelijke instructies aan wie het systeem inzet, inclusief het beoogde doel, het nauwkeurigheidsniveau, bekende beperkingen en maatregelen voor menselijk toezicht.

6. Mechanismen voor menselijk toezicht: Ontwerp systemen zo dat mensen de werking doeltreffend kunnen overzien, de output kunnen interpreteren en kunnen ingrijpen of het systeem kunnen stilleggen wanneer dat nodig is.

7. Nauwkeurigheid, robuustheid en cyberbeveiliging: Toon aan dat systemen consistent presteren en bestand zijn tegen fouten, storingen en vijandige aanvallen.

8. Conformiteitsbeoordeling: De meeste systemen met een hoog risico uit bijlage III — onder meer kritieke infrastructuur, werkgelegenheid, onderwijs en kredietscoring — doorlopen een interne controle (zelfbeoordeling) door de aanbieder. Een beoordeling door een aangemelde instantie is verplicht voor biometrische systemen als geharmoniseerde normen niet (volledig) zijn toegepast, en voor AI in producten die al een beoordeling door derden nodig hebben onder sectorale wetgeving, zoals medische hulpmiddelen.

Boetes bij niet-naleving

De AI Act heeft stevige tanden. Inbreuken met verboden AI-praktijken kunnen leiden tot boetes tot EUR 35 miljoen of 7% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Niet-naleving van de vereisten voor hoog risico kan boetes opleveren tot EUR 15 miljoen of 3% van de omzet. Wie onjuiste informatie verstrekt aan de autoriteiten, riskeert boetes tot EUR 7,5 miljoen of 1% van de omzet.

Voor kmo’s en startups zijn de boetes begrensd op verhoudingsgewijs lagere drempels, en er zijn regelgevende sandboxes beschikbaar om innovatieve AI-systemen onder toezicht te testen voordat ze volledig op de markt komen.

De trans-Atlantische kloof

Het contrast met de Verenigde Staten kan nauwelijks groter zijn. In 2026 hebben de VS nog altijd geen federale AI-wetgeving. Opeenvolgende regeringen hebben presidentiële decreten uitgevaardigd en weer ingetrokken, met een lappendeken van vrijwillige toezeggingen en voorstellen op deelstaatniveau als gevolg. Amerikaanse bedrijven die in Europa actief zijn, moeten hoe dan ook aan de AI Act voldoen, wat er de facto een wereldwijde standaard van maakt — net zoals de AVG dat deed voor gegevensbescherming.

Voor Europese bedrijven is de AI Act niet alleen een nalevingslast. Het is een concurrentiekader dat het vertrouwen van het publiek in AI-systemen versterkt, een gelijk speelveld creëert tegenover minder gereguleerde concurrenten en de EU vestigt als wereldwijde normsteller voor verantwoord AI-bestuur. Bedrijven die vroeg in regel zijn, zullen een voorsprong hebben wanneer andere jurisdicties onvermijdelijk het Europese voorbeeld volgen.