EU AI Act wordt menens op 2 augustus: wat verandert er?

Tot nu toe werd de Europese AI Act door veel organisaties vooral gezien als wetgeving voor de toekomst. Vanaf 2 augustus 2026 verandert dat merkbaar. Hoewel een deel van de strengste verplichtingen pas in latere jaren volledig van kracht wordt, treden op deze datum belangrijke bepalingen in werking voor aanbieders van zogenoemde General-Purpose AI-modellen (GPAI), waaronder grote taalmodellen (Large Language Models of LLM's). Daarnaast krijgen nationale toezichthouders en de Europese Commissie meer bevoegdheden om naleving af te dwingen.

Het doel van de AI Act is niet om kunstmatige intelligentie te verbieden of innovatie af te remmen, maar om ervoor te zorgen dat AI-systemen transparant, veilig, controleerbaar en verantwoord worden ontwikkeld en ingezet. Daarbij wordt onderscheid gemaakt tussen verschillende risiconiveaus: hoe groter de potentiële maatschappelijke impact van een AI-systeem, hoe zwaarder de wettelijke verplichtingen.

Nieuwe verplichtingen voor aanbieders van AI-modellen

Vanaf 2 augustus 2026 moeten aanbieders van General-Purpose AI-modellen kunnen aantonen dat zij voldoen aan een reeks documentatie- en transparantieverplichtingen. De Europese Commissie kan deze informatie opvragen wanneer zij dat noodzakelijk acht voor toezicht of onderzoek.

Onder meer kan worden gevraagd om:

• technische documentatie over het AI-model;
• beschrijvingen van de gebruikte trainingsmethoden;
• informatie over de herkomst en kwaliteit van trainingsdata;
• een voldoende gedetailleerde samenvatting van auteursrechtelijk beschermde trainingsdata;
• uitleg over veiligheidsmaatregelen en risicobeperking;
• informatie over cyberveiligheid en modelbeveiliging;
• procedures voor het melden en afhandelen van ernstige incidenten;
• informatie over de energie-efficiëntie en het gebruik van rekenkracht, voor zover relevant;
• beschrijvingen van evaluaties, tests en validatiemethoden.

Aanbieders van AI-modellen moeten daarnaast een beleid hanteren waarmee wordt voldaan aan de Europese auteursrechtwetgeving. Dit betekent onder meer dat rechthebbenden gebruik moeten kunnen maken van bestaande mechanismen om het gebruik van hun werken voor AI-training te beperken wanneer de wet dat voorschrijft.

Extra regels voor de krachtigste AI-modellen

Voor de meest geavanceerde AI-modellen, de zogenoemde General-Purpose AI-modellen met systeemrisico, gelden aanvullende verplichtingen.

Een model kan als systeemrisico worden aangemerkt wanneer het uitzonderlijk krachtig is en een brede maatschappelijke impact kan hebben. In dat geval moet de aanbieder onder meer:

• uitgebreide modelbeoordelingen uitvoeren;
• risicoanalyses uitvoeren en regelmatig actualiseren;
• ernstige incidenten melden;
• maatregelen nemen tegen misbruik;
• de cyberveiliging van het model verbeteren;
• passende mitigatiemaatregelen treffen voordat nieuwe versies worden uitgerold.

De Europese Commissie kan deze modellen bovendien laten beoordelen door onafhankelijke deskundigen of aanvullende informatie verlangen wanneer daar aanleiding voor bestaat.

Meer bevoegdheden voor de Europese Commissie

Vanaf augustus beschikt de Europese Commissie over ruimere mogelijkheden om toezicht te houden op aanbieders van AI-modellen.

Wanneer aanbieders niet aan hun verplichtingen voldoen, kan de Commissie onder meer:

• aanvullende informatie opvragen;
• correctieve maatregelen eisen;
• verplichtingen opleggen om risico's te beperken;
• in ernstige gevallen de beschikbaarheid van een model op de Europese markt beperken of verbieden;
• bestuurlijke boetes opleggen.

De hoogte van dergelijke boetes hangt af van de aard van de overtreding. Voor verschillende categorieën overtredingen gelden verschillende maximale bedragen. In de zwaarste gevallen kunnen de sancties oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, afhankelijk van welke waarde hoger is. Voor andere overtredingen gelden lagere maximumbedragen, zoals 15 miljoen euro of 3 procent van de jaaromzet.

Een wet die de AI-ontwikkeling moest inhalen

Opvallend is dat het oorspronkelijke voorstel voor de AI Act al in april 2021 werd gepubliceerd. Destijds stond generatieve AI nog in de kinderschoenen en bestonden populaire toepassingen zoals ChatGPT nog niet.

Sindsdien ontwikkelde AI zich in uitzonderlijk hoog tempo. Grote taalmodellen groeiden uit van experimentele onderzoeksprojecten tot technologieën die inmiddels een centrale rol spelen binnen softwareontwikkeling, zoekmachines, klantenservice, kantoorsoftware, wetenschap en bedrijfsprocessen.

Tijdens de onderhandelingen over de AI Act werd daarom besloten om de wet aanzienlijk uit te breiden. De oorspronkelijke focus lag vooral op hoog-risico-AI, maar uiteindelijk werden ook regels toegevoegd voor General-Purpose AI-modellen en generatieve AI.

Daardoor is de AI Act uitgegroeid tot de eerste uitgebreide AI-wetgeving ter wereld die vrijwel alle belangrijke toepassingen van kunstmatige intelligentie onder één wettelijk kader probeert te brengen.

Een risicogebaseerde aanpak

De AI Act werkt volgens een risicobenadering.

Verboden AI

Een beperkt aantal toepassingen wordt als onaanvaardbaar risico beschouwd en is verboden.

Voorbeelden hiervan zijn:

• sociale scoring door overheden;
• manipulatieve AI die menselijk gedrag op schadelijke wijze beïnvloedt;
• bepaalde vormen van biometrische categorisatie;
• het zonder wettelijke grondslag verzamelen van gezichtsbeelden voor het opbouwen van grootschalige gezichtsdatabases;
• bepaalde vormen van realtime biometrische identificatie in de openbare ruimte door opsporingsinstanties, behoudens de uitzonderingen die de wet toestaat.

Een groot deel van deze verboden is al sinds 2 februari 2025 van kracht.

Hoog-risico-AI

De strengste eisen gelden voor AI-systemen die grote gevolgen kunnen hebben voor burgers.

Voorbeelden zijn AI die wordt gebruikt bij:

• medische hulpmiddelen;
• kritieke infrastructuur;
• onderwijs en examens;
• personeelsselectie;
• kredietbeoordelingen;
• toegang tot sociale voorzieningen;
• rechtshandhaving;
• migratieprocedures;
• rechtspraak.

Aanbieders van dergelijke systemen moeten onder meer:

• een uitgebreid risicobeheersysteem opzetten;
• hoogwaardige datasets gebruiken;
• technische documentatie bijhouden;
• alle relevante activiteiten registreren;
• menselijke controle mogelijk maken;
• nauwkeurigheid, robuustheid en cyberveiligheid aantonen;
• conformiteitsbeoordelingen uitvoeren;
• waar vereist een CE-markering aanbrengen.

Transparantie voor gebruikers

Ook voor AI-systemen met een lager risico gelden nieuwe verplichtingen.

Wanneer gebruikers communiceren met een AI-systeem, moet in beginsel duidelijk zijn dat zij met AI communiceren en niet met een mens.

Daarnaast moeten aanbieders van generatieve AI passende maatregelen nemen om AI-gegenereerde inhoud herkenbaar te maken wanneer de wet dat vereist, bijvoorbeeld door middel van technische markeringen, metadata of andere geschikte methoden. Bij deepfakes gelden aanvullende transparantieverplichtingen.

In de praktijk vermelden veel bekende AI-diensten, zoals ChatGPT, Claude en Gemini, al dat gebruikers met een AI-model communiceren en dat de antwoorden onjuistheden kunnen bevatten.

Nationale toezichthouders en AI-sandboxes

Alle lidstaten moeten toezichthoudende instanties aanwijzen die verantwoordelijk zijn voor de handhaving van de AI Act.

Daarnaast moeten zij zogenoemde AI regulatory sandboxes opzetten. Dit zijn gecontroleerde testomgevingen waarin bedrijven nieuwe AI-toepassingen onder toezicht kunnen ontwikkelen en testen voordat deze breed op de markt worden gebracht.

Hiermee wil de Europese Unie innovatie stimuleren zonder afbreuk te doen aan veiligheid en fundamentele rechten.

Niet alle AI valt onder zware regels

Voor veel alledaagse toepassingen verandert weinig.

Laag-risicosystemen, zoals:

• spamfilters;
• aanbevelingsalgoritmen;
• zoekfuncties;
• AI in videogames;
• eenvoudige tekstsuggesties;
• routeoptimalisatie;

blijven grotendeels buiten de zwaarste verplichtingen van de AI Act. Wel moeten aanbieders uiteraard blijven voldoen aan andere Europese wetgeving, zoals privacy-, consumenten- en auteursrecht.

De invoering verloopt in fases

De AI Act wordt gefaseerd ingevoerd.

• 2 februari 2025: de verboden AI-praktijken worden van kracht.
• 2 augustus 2025: regels voor General-Purpose AI-modellen en aanwijzing van bevoegde autoriteiten treden in werking.
• 2 augustus 2026: de verplichtingen voor aanbieders van General-Purpose AI-modellen worden volledig toepasselijk en de handhaving wordt aanzienlijk uitgebreid.
• 2 augustus 2027: de meeste verplichtingen voor hoog-risico-AI-systemen worden van toepassing, waaronder veel AI-systemen die onder bestaande Europese productwetgeving vallen.
• 2030: voor bepaalde bestaande hoog-risico-AI-systemen binnen publieke infrastructuur gelden overgangsbepalingen waardoor zij uiterlijk dan aan de AI Act moeten voldoen.

Geen eindpunt, maar het begin van Europees AI-toezicht

De AI Act markeert geen einde van de Europese AI-regelgeving, maar het begin van een voortdurend toezichtskader. De wet is bewust zo ingericht dat zij kan worden aangevuld met technische normen, uitvoeringshandelingen en richtsnoeren van de Europese Commissie.

Dat betekent dat de praktische invulling van veel verplichtingen de komende jaren verder zal worden verduidelijkt. Tegelijkertijd zal de handhaving naar verwachting steeds intensiever worden naarmate AI een grotere rol gaat spelen in de economie, de overheid en het dagelijks leven.

Voor organisaties die AI ontwikkelen of inzetten is 2 augustus daarom niet slechts een symbolische datum, maar een belangrijk moment waarop naleving van de AI Act steeds concreter en controleerbaarder wordt. Transparantie, documentatie, risicobeheer en verantwoord gebruik van AI verschuiven daarmee van vrijblijvende best practices naar afdwingbare wettelijke verplichtingen.

Door: Drifter