Ik krijg de laatste tijd steeds vaker dezelfde vraag van ondernemers: moet ik nu echt iets met die AI-Act, of is dit weer zo’n Europese wet die vooral grote techbedrijven raakt? Het antwoord is dat de AI-Act, of eigenlijk de AI-verordening zoals hij officieel heet, iedereen raakt die met kunstmatige intelligentie werkt, en dat is inmiddels bijna elke ondernemer die weleens een tekst laat schrijven, een klantvraag laat beantwoorden of een afbeelding laat genereren. In dit eerste deel van een reeks van drie neem ik je mee in de achtergrond van de wet en het tijdpad waarlangs de verplichtingen op je afkomen.

Waarom hebben we deze wet eigenlijk nodig

De AI-verordening is wereldwijd de eerste uitgebreide wet die specifiek over kunstmatige intelligentie gaat, en dat alleen al maakt hem bijzonder. De gedachte erachter is dat je als burger, ondernemer of werknemer erop moet kunnen vertrouwen dat de AI-systemen om je heen veilig functioneren en dat je grondrechten niet in het gedrang komen doordat een algoritme ergens een beslissing over je neemt. Nu bestaan er natuurlijk al wetten die hier iets van bescherming bieden. Denk aan de AVG als het gaat om persoonsgegevens, of de Wet politiegegevens in een specifiekere context. Maar die wetten zijn nit geschreven met de hedendaagse AI in het achterhoofd en dus laten ze allerlei risico’s onaangeroerd. Onverantwoord gebruik van AI kan bijvoorbeeld leiden tot discriminatie, tot inperking van iemands vrijheden of tot misleiding en uitbuiting, en daar bood het bestaande juridische kader simpelweg geen antwoord op. De AI-Act probeert die leemte te dichten door ontwikkelaars en gebruikers van AI te verplichten risico’s in kaart te brengen en aan te pakken en door daar toezicht op te organiseren.

De wet geldt al, maar lang niet alles is al van kracht

Hier zit de kern van de verwarring die ik bij veel ondernemers tegenkom: de AI-Act is formeel al op 1 augustus 2024 in werking getreden, maar dat betekent niet dat vanaf die datum alle verplichtingen golden. De wetgever heeft gekozen voor een gefaseerde uitrol, waarbij verschillende onderdelen op verschillende momenten van toepassing worden. Even op een rij welke mijlpalen er tot nu toe zijn geweest en welke er nog aankomen.

• 1 augustus 2024 — de AI-Act treedt formeel in werking, al waren er op dat moment nog weinig inhoudelijke verplichtingen actief.
• 2 februari 2025 — de regels rond verboden AI-praktijken gaan gelden, en tegelijkertijd wordt de verplichting tot AI-geletterdheid van kracht. Over die laatste verplichting gaat het volgende deel van deze reeks uitgebreid.
• 2 augustus 2025 — het grootste deel van de governance-regels en de verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden gaat in.
• 2 augustus 2026 — de transparantieverplichtingen van artikel 50 worden van toepassing. Dit is het onderwerp van het derde deel van deze reeks, en waarschijnlijk de verplichting die de meeste ondernemers in de praktijk gaat raken.
• 2 december 2027 en 2 augustus 2028 — de verplichtingen voor hoogrisico AI-systemen gaan gefaseerd gelden, afhankelijk van de precieze categorie waarin een systeem valt.

Die laatste twee data zijn recent nog opgeschoven. Begin deze zomer is namelijk de zogeheten Digital Omnibus on AI gepubliceerd, die de oorspronkelijke tijdlijn voor hoogrisico AI-systemen heeft aangepast. De reden daarvoor is vrij praktisch: de noodzakelijke randvoorwaarden, zoals geharmoniseerde normen, richtsnoeren en bevoegde toezichthouders, waren simpelweg nog niet voldoende uitgewerkt om die strengere regels al in 2026 te kunnen laten ingaan. Dat uitstel betekent overigens niet dat de wetgever de teugels laat vieren. Het is eerder een erkenning dat een zorgvuldige, technisch uitvoerbare invoering meer tijd vergt, en dat is ook precies waar ondernemers hun voordeel mee kunnen doen: gebruik die extra tijd om je zaken op orde te krijgen, in plaats van achterover te leunen omdat de deadline verder weg ligt dan gedacht.

Wanneer is iets eigenlijk hoogrisico

Een vraag die ik ook vaak krijg is hoe je nu weet of jouw AI-toepassing onder het strenge hoogrisico-regime valt. Het goede nieuws is dat je dit niet zelf hoeft in te schatten aan de hand van een vaag risicogevoel. De wet werkt namelijk met een vrij formeel systeem. Je AI-toepassing is hoogrisico wanneer die een veiligheidscomponent vormt van een product dat in een specifieke bijlage bij de wet als gereguleerd product wordt genoemd, of wanneer je een van de use cases implementeert die in een andere bijlage expliciet als hoogrisico worden aangemerkt, tenzij je onder een van de vier beperkte uitzonderingen valt. Daarnaast geldt: zet je AI in om te profileren in de zin van de AVG, dan ben je eveneens hoogrisico. Andere smaken bestaan niet. Voor de meeste kleinere ondernemers is dit onderwerp op dit moment niet direct relevant, maar het is wel goed om te weten dat dit systeem bestaat, zodat je het kunt herkennen als het je ooit wél raakt.

Naast de verboden praktijken en het hoogrisico-regime kent de wet ook nog een categorie die om transparantie draait, en die raakt bijvoorbeeld chatbots en gegenereerde content, en een aparte set regels voor de grote algemene AI-modellen zelf. In het volgende deel van deze reeks duik ik in de verplichting die op dit moment al voor vrijwel iedere organisatie geldt, namelijk AI-geletterdheid, en leg ik uit wat de Autoriteit Persoonsgegevens daar concreet van verwacht.