De AI Act: Wat betekent deze nieuwe wet voor jouw organisatie?
Artificial Intelligence (AI) – in het Nederlands kunstmatige intelligentie – verandert in hoog tempo de manier waarop bedrijven en overheden werken. Van geautomatiseerde besluitvorming in de financiële sector, tot chatbots in de klantenservice en AI-gestuurde medische diagnoses: AI wordt steeds breder toegepast. Wat betekent dit voor jouw organisatie?
Om ervoor te zorgen dat deze technologie op een veilige, eerlijke en transparante manier wordt ingezet, introduceert de Europese Unie de AI Act. Dit is de eerste uitgebreide wetgeving ter wereld die AI-systemen reguleert.
Er is nog veel onbekend, maar in dit artikel leggen we uit wat we al wel weten: wat de AI Act inhoudt, voor wie deze geldt en hoe je je kunt voorbereiden.
Wil je weten hoe je dit efficiënt aanpakt? Fully in Control helpt je met een geïntegreerde AI-complianceoplossing. Neem contact op voor een demo.
Wat is de AI Act?
De AI Act biedt duidelijke richtlijnen voor verantwoord AI-gebruik, stimuleert innovatie en helpt risico’s zoals discriminatie, privacyschendingen en oncontroleerbare AI te voorkomen. Ook bevat het regels voor het ontwikkelen, verkopen en gebruiken van AI-systemen.
De wet hanteert een risicogebaseerde aanpak en verdeelt AI-systemen in vier categorieën:
1. Verboden AI
AI-systemen die als onaanvaardbaar risico worden beschouwd, worden verboden. Denk aan:
- Sociale scoring, waarbij mensen worden beoordeeld op hun gedrag;
- Real-time biometrische identificatie in openbare ruimtes zonder expliciete toestemming;
- Manipulatieve AI die menselijk gedrag op schadelijke wijze beïnvloedt.
2. Hoog-risico AI
AI-systemen die een grote impact kunnen hebben op fundamentele rechten en veiligheid, zoals:
- AI in rechtshandhaving, bijvoorbeeld predictive policing;
- AI in de gezondheidszorg, zoals medische diagnoses;
- AI in recruitment, zoals geautomatiseerde sollicitatieselectie.
Verplichtingen voor hoog-risico AI:
- Transparantie over hoe de AI-beslissingen neemt;
- Uitvoeren van risicoanalyses en impactbeoordelingen;
- Menselijke controle en continue monitoring;
- Registratie in een EU-brede database.
3. Beperkt risico AI
Deze AI-systemen hebben transparantievereisten, zoals:
- Chatbots die verplicht moeten melden dat ze AI zijn;
- Deepfake-technologie die expliciet als nep moet worden aangeduid.
4. Minimaal risico AI
AI-systemen die geen specifieke regulering nodig hebben, zoals:
- AI in videogames;
- AI-gestuurde spamfilters.
Voor wie geldt deze wetgeving?
De AI Act is van toepassing op alle organisaties die AI ontwikkelen, distribueren of gebruiken binnen de EU. Dit betekent dat ook bedrijven buiten de EU die AI aanbieden op de Europese markt aan deze wet moeten voldoen.
De wet richt zich specifiek op:
- Ontwikkelaars van AI-systemen, zoals bedrijven die AI-technologie ontwerpen en verkopen;
- Leveranciers en distributeurs die AI-oplossingen aanbieden of implementeren;
- Gebruikers van AI, zoals bedrijven of overheden die AI inzetten in hun processen;
- Buitenlandse bedrijven die AI aanbieden aan Europese klanten.
Als jouw organisatie AI ontwikkelt, verkoopt of gebruikt binnen de EU, dan moet je rekening houden met de AI Act.
Wat betekent de AI Act voor jouw organisatie?
Afhankelijk van het type AI dat jouw organisatie gebruikt of ontwikkelt, brengt de AI Act verschillende verplichtingen met zich mee.
1. Compliance-verplichtingen per risiconiveau
- Verboden AI: het ontwikkelen, aanbieden en gebruiken van deze AI-systemen is volledig verboden. Overtreding kan leiden tot boetes tot €35 miljoen of 7% van de wereldwijde jaaromzet;
- Hoog-risico AI: verplicht risicoanalyses, menselijke controle, transparantie en registratie;
- Beperkt risico AI: transparantieverplichtingen, zoals duidelijke meldingen aan gebruikers;
- Minimaal risico AI: geen specifieke verplichtingen, maar best practices worden aanbevolen.
2. Verplichtingen voor AI-ontwikkelaars
AI-ontwikkelaars moeten voldoen aan:
- Documentatieverplichtingen, zoals uitleg over hoe de AI werkt en wordt getraind;
- Ethische en technische standaarden om bias en discriminatie te voorkomen;
- Een risicomanagementsysteem voor AI.
3. Koppeling met bestaande wetgeving
De AI Act staat niet op zichzelf, maar overlapt met andere EU-wetgeving, zoals:
- GDPR: AI die persoonsgegevens verwerkt, moet voldoen aan privacyregels;
- NIS2: AI binnen essentiële sectoren (zoals energie en telecom) moet aan cybersecurityregels voldoen.
4. Sancties en boetes bij niet-naleving
- Boetes tot 7% van de wereldwijde omzet of €35 miljoen;
- Verbod op AI-systemen die niet aan de wet voldoen;
- Reputatieschade en juridische risico’s.
Hoe kan jouw organisatie compliant zijn?
De AI Act is al in werking, dus het is belangrijk om nu stappen te zetten.
- Breng AI-gebruik binnen je organisatie in kaart: Welke AI-systemen gebruikt of ontwikkelt jouw organisatie? In welke categorie vallen die systemen?
- Controleer de verplichtingen: Moet je AI transparant maken, risico’s beheren of documentatie bijhouden?
- Integreer AI-risicomanagement: Zorg dat AI-compliance onderdeel wordt van je bestaande ISMS of GRC-framework.
- Houd rekening met andere wetgeving: Denk aan GDPR voor privacy en NIS2 voor cybersecurity.
- Gebruik de juiste tools: Automatisering en documentatie helpen bij naleving en audits.
De AI Act brengt ingrijpende veranderingen voor bedrijven die AI ontwikkelen, verkopen of gebruiken.
Bouw aan een betrouwbare en transparante inzet van AI. Investeer daarom nu in AI-compliance en voorkom boetes en juridische problemen.
Wil je voldoen aan de AI Act en andere wetgeving? Ontdek hoe onze ISMS-software en GRC-software je helpen met AI-compliance en risicobeheer.