AI Act
De AI Act is de Europese wet die regels stelt aan het ontwikkelen én gebruiken van kunstmatige intelligentie. Steeds meer organisaties maken gebruik van AI, bijvoorbeeld via ChatGPT, Copilot of AI-toepassingen binnen HR, marketing en klantenservice. Maar welke verplichtingen brengt de AI Act met zich mee? Lees wat AI Act inhoudt, wanneer deze van toepassing is en welke stappen organisaties nu al moeten zetten.
Wat is de AI Act?
De AI Act (Verordening (EU) 2024/1689) is de eerste Europese verordening die specifiek regels stelt aan het ontwikkelen, op de markt brengen en gebruiken van AI-systemen.
De doelstelling van de wet is tweeledig:
- innovatie stimuleren;
- fundamentele rechten, veiligheid en transparantie beschermen.
Daarbij kiest de Europese wetgever bewust voor een risicogebaseerde benadering. Niet iedere AI-toepassing vormt immers hetzelfde risico. Een chatbot die algemene vragen beantwoordt vraagt om een andere regulering dan AI die sollicitanten beoordeelt of medische diagnoses ondersteunt.
Niet alle AI is hetzelfde
Veel organisaties denken dat ChatGPT, algoritmen en AI hetzelfde zijn. Juridisch ligt dat genuanceerder.
Een traditioneel algoritme volgt vooraf vastgestelde regels. Een AI-systeem kan daarentegen zelfstandig patronen herkennen en op basis daarvan conclusies trekken of voorspellingen doen. Generatieve AI, zoals ChatGPT, Copilot of Gemini, vormt vervolgens weer een aparte categorie: de zogenoemde General Purpose AI (GPAI). Deze modellen kunnen voor uiteenlopende toepassingen worden gebruikt en kennen daarom een eigen juridisch regime.
Hoe werkt het risicomodel van de AI Act?
De AI Act verdeelt AI-systemen in verschillende risicocategorieën.
Categorie 1 – Verboden AI
Sommige toepassingen zijn volledig verboden.
Voorbeelden zijn:
- social scoring door overheden;
- AI die kwetsbare personen manipuleert;
- bepaalde vormen van biometrische identificatie; en
- predictive policing uitsluitend op basis van profilering.
Voor deze toepassingen bestaat geen uitzondering. Zij mogen niet op de Europese markt worden aangeboden of gebruikt.
Categorie 2 – Hoog-risico AI
De meeste verplichtingen uit de AI Act zien op hoog-risico AI.
Dat betreft onder meer AI die wordt gebruikt voor:
- werving en selectie;
- personeelsbeoordelingen;
- onderwijs;
- kredietwaardigheid;
- gezondheidszorg;
- kritieke infrastructuur;
- rechtspraak; en
- migratie en grensbewaking.
Voor deze systemen gelden uitgebreide eisen ten aanzien van:
- risicomanagement;
- documentatie;
- logging;
- datakwaliteit;
- cybersecurity;
- menselijke controle; en
- conformiteitsbeoordelingen.
Of een AI-systeem daadwerkelijk als hoog-risico kwalificeert, wordt bepaald aan de hand van de criteria en bijlagen van de AI Act. Niet iedere AI-toepassing binnen HR of finance valt dus automatisch onder dit regime.
Categorie 3 – Transparantieverplichtingen
Ook AI-systemen die geen hoog risico vormen, kunnen aan transparantieverplichtingen moeten voldoen. Een chatbot moet bijvoorbeeld duidelijk maken dat sprake is van communicatie met AI.
Daarnaast gelden specifieke regels voor:
- deepfakes;
- AI-gegenereerde afbeeldingen;
- synthetische audio; en
- bepaalde AI-gegenereerde teksten.
Het uitgangspunt is dat gebruikers moeten kunnen herkennen wanneer zij met AI te maken hebben.
Categorie 4 – GeneralPurposeAI
Generatieve AI zoals ChatGPT heeft de afgelopen jaren een enorme vlucht genomen. Omdat deze modellen voor vrijwel ieder doel kunnen worden ingezet, heeft de AI Act hiervoor een afzonderlijk juridisch kader ontwikkeld.
Aanbieders van GPAI moeten onder meer transparant zijn over:
- gebruikte trainingsdata;
- technische documentatie;
- beperkingen van het model;
- auteursrechtelijke aspecten; en
- risico’s.
Voor modellen met een zogenoemd systeemrisico gelden aanvullende verplichtingen.
Wat is het verschil tussen de AI Act en de AVG?
Een veelgestelde vraag is of naleving van de AI Act automatisch betekent dat ook aan de AVG is voldaan. Het antwoord is duidelijk: nee. Beide regelingen bestaan naast elkaar.
De AI Act ziet op de veiligheid, betrouwbaarheid en governance van AI-systemen. De AVG reguleert de verwerking van persoonsgegevens.
Dat betekent dat organisaties onder meer moeten blijven beoordelen:
- welke persoonsgegevens worden verwerkt;
- welke grondslag daarvoor bestaat;
- of sprake is van geautomatiseerde besluitvorming;
- of een DPIA verplicht is;
- hoe transparantie richting betrokkenen wordt gewaarborgd.
Voor bepaalde hoog-risico AI-systemen introduceert de AI Act bovendien een Fundamental Rights Impact Assessment (FRIA). In sommige gevallen kunnen een DPIA en FRIA worden gecombineerd, maar zij hebben ieder een eigen doel en juridische grondslag.
Check-list: is jouw organisatie voorbereid op de AI Act?
Een goede voorbereiding begint met een inventarisatie.
Loop in ieder geval de volgende punten na:
✔ Inventariseer alle AI-systemen binnen de organisatie.
✔ Breng de leveranciers van AI-oplossingen in kaart.
✔ Bepaal of sprake is van hoog-risico AI.
✔ Controleer of persoonsgegevens worden verwerkt.
✔ Beoordeel of een DPIA of FRIA noodzakelijk is.
✔ Stel een AI-beleid en AI-governance op.
✔ Pas contracten met leveranciers waar nodig aan.
✔ Zorg voor opleiding en AI-geletterdheid van medewerkers.
✔ Richt toezicht en incidentmanagement in.
Heb je een vraag?
Julianne beantwoordt alvast een aantal veelgestelde vragen. Staat je vraag er niet bij of wil je sparren met een expert? Neem dan contact op met Julianne.
Julianne Leerentveld
Wanneer geldt de AI Act?
Moet iedere organisatie aan de AI Act voldoen?
Is ChatGPT verboden?
Wat is het verschil tussen de AI Act en de AVG?
Wij denken graag met je mee
De AI Act is veel meer dan een technische verordening voor softwareontwikkelaars. Zij raakt vrijwel iedere organisatie die AI gebruikt of wil gaan gebruiken. Daarmee wordt AI-governance een integraal onderdeel van goed ondernemingsbestuur, risicomanagement en compliance.
Organisaties die nu investeren in een inventarisatie van hun AI-toepassingen, passende governance, duidelijke interne richtlijnen en een zorgvuldige beoordeling van privacy- en AI-risico’s, zijn beter voorbereid op toekomstige verplichtingen én verkleinen het risico op handhaving en aansprakelijkheid.
Wil je weten welke gevolgen de AI Act heeft voor jouw organisatie? Of wil je ondersteuning bij een AI-impactanalyse, AI-beleid, DPIA, FRIA of de implementatie van AI-governance? Wij denken graag met je mee over een praktische en juridisch verantwoorde inzet van AI.