In het eerste deel van deze reeks liet ik zien dat de AI-Act gefaseerd in werking treedt en dat de meest ingrijpende verplichtingen, zoals die voor hoogrisico AI-systemen, nog even op zich laten wachten. Er is echter één verplichting die daar niet op wacht en die al sinds 2 februari 2025 gewoon geldt: de verplichting tot AI-geletterdheid.

Wat houdt die verplichting precies in

Artikel 4 van de AI-verordening schrijft voor dat aanbieders en professionele gebruikers van AI-systemen passende maatregelen moeten nemen om de AI-geletterdheid van hun medewerkers te bevorderen en van iedereen die namens hen met AI-systemen werkt. Belangrijk om te beseffen is dat deze verplichting volledig los staat van de vraag of het AI-systeem dat je gebruikt als hoogrisico wordt aangemerkt. Er is dus geen drempel die je eerst moet overschrijden voordat artikel 4 op je van toepassing wordt: gebruik je AI in je organisatie, dan geldt deze regel simpelweg voor jou.

De Digital Omnibus, waar ik in het vorige deel ook al even naar verwees, heeft op dit punt verduidelijkt dat het om een inspanningsverplichting gaat en niet om een resultaatsverplichting. Je hoeft dus niet te garanderen dat elke medewerker een meetbaar niveau van kennis behaalt, maar je moet wel aantoonbaar passende en evenredige maatregelen nemen. Bij het bepalen van wat passend is, speelt onder meer mee welke technische kennis en ervaring iemand al heeft, welke opleiding of trainingen diegene heeft gevolgd en in welke context het AI-systeem wordt ingezet.

Wat betekent dit concreet in de praktijk

Het is niet genoeg om medewerkers gewoon toegang te geven tot een AI-tool en ze vervolgens zelf te laten uitzoeken hoe het werkt. Een van de belangrijkste vaardigheden die van medewerkers wordt verwacht, is het kritisch kunnen beoordelen van wat een AI-systeem oplevert. Dat betekent dat iemand in staat moet zijn om te kijken naar:

• de juistheid van de gegenereerde output;
• de volledigheid ervan;
• de context waarin die output tot stand is gekomen; en
• mogelijke vooringenomenheid, ofwel bias, die kan ontstaan doordat een model is getraind op scheve of onvolledige data.

Daarnaast moeten gebruikers begrijpen waar de beperkingen van een AI-systeem liggen, herkennen wanneer een uitkomst mogelijk niet klopt, en weten wanneer extra controle nodig is voordat ze iets overnemen of naar buiten brengen. De wet schrijft geen specifieke cursus, geen minimumaantal trainingsuren en geen verplicht certificaat voor. Wat wel telt, is dat je kunt aantonen dat je serieus werk hebt gemaakt van deze verplichting. Dat kan bijvoorbeeld door een overzicht bij te houden van welke AI-systemen binnen je organisatie zijn goedgekeurd, door interne richtlijnen op te stellen over wat wel en niet mag met AI, door onboarding- en trainingssessies te organiseren en door registraties bij te houden van wie welke training heeft gevolgd. De Europese Commissie heeft trouwens expliciet bevestigd dat een certificaat geen vereiste is: interne documentatie, zoals trainingsregistraties, volstaat prima als bewijs.

Het stappenplan van de Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens, die in Nederland de coördinerend toezichthouder is op dit terrein, heeft een stappenplan gepubliceerd om organisaties op weg te helpen. Dat plan bestaat uit vier stappen, en hoewel het “meerjarig actieplan” wordt genoemd, betekent dat niet dat je er als organisatie jarenlang de tijd voor hebt. Iedereen had immers al per 2 februari 2025 aan de bak moeten zijn.

1. Identificeren. Breng in kaart welke AI-systemen je gebruikt, wie ze gebruikt, met welk doel en welke risico’s daarbij horen. Doe hierbij ook een nulmeting van het bestaande kennisniveau binnen je organisatie, bijvoorbeeld via een korte enquête of quiz.
2. Doelen bepalen. Bekijk per medewerker of functie welke kennis en vaardigheden nodig zijn om het betreffende AI-systeem verantwoord te kunnen gebruiken. Niet iedereen hoeft evenveel te weten: iemand die zelf niet met een systeem werkt, hoeft minder diepgaand geïnformeerd te zijn dan wie het dagelijks gebruikt.
3. Uitvoeren. Zet trainingen, workshops of andere acties in om iedereen op het eigen niveau AI-geletterd te krijgen. Standaardiseer dit niet te veel: voor de een is een uitgebreide training nodig, voor de ander is het doorlezen van een document al voldoende.
4. Evalueren. Analyseer regelmatig of de gestelde doelen worden gehaald, bijvoorbeeld via periodieke rapportages, interne of externe audits, of een nieuwe nulmeting. Op basis daarvan stel je vervolgens weer nieuwe doelen.

Grotere organisaties kunnen ervoor kiezen om iemand intern verantwoordelijk te maken voor dit hele proces, soms een AI-officer genoemd. Dat is geen verplichting uit de wet zelf, maar wel een aanbeveling die het proces een stuk beter geborgd houdt.

En als je een zzp’er of kleine ondernemer bent?

Ben je zelfstandige of run je een klein bedrijf met weinig medewerkers, dan hoef je uiteraard geen aparte AI-officer aan te stellen. Wat wel verstandig is: houd zelf regelmatig bij welke AI-systemen je gebruikt en of jij, en eventuele medewerkers, nog voldoende weten om daar verantwoord mee om te gaan. Werk dat overzicht bij zodra je een nieuw systeem in gebruik neemt of een bestaand systeem anders gaat inzetten. Basiskennis over hoe AI technisch werkt, hoef je niet steeds opnieuw op te frissen, maar de vaardigheid om output te interpreteren en de gevolgen voor anderen goed in te schatten, verdient wel doorlopende aandacht, simpelweg omdat de systemen zelf blijven veranderen.

In het derde en laatste deel van deze reeks ga ik in op transparantie: wanneer moet je eigenlijk laten weten dat er AI aan te pas is gekomen en wat betekent dat voor je website, je social media en je content?