De Europese AI-verordening: wat houdt de AI Act in?

Terwijl burgers en bedrijven wereldwijd nog volop experimenteren met chatbots, beeldgeneratoren en slimme algoritmes, heeft Europa als eerste ter wereld een compleet wettelijk kader voor kunstmatige intelligentie neergezet: de Europese AI Act.

De AI Act is niet zomaar een richtlijn: het is een verordening die rechtstreeks geldt in elke lidstaat, met boetes die kunnen oplopen tot tientallen miljoenen euro’s. Voor wie AI bouwt, verkoopt of gebruikt binnen de EU, is dit dan ook geen wet om te negeren.

In dit artikel leggen we uit wat de AI Act inhoudt, hoe het op risico gebaseerde systeem werkt en welke deadlines eraan komen.

Wat is de AI Act precies?

De officiële naam is Verordening (EU) 2024/1689, ook wel de AI-verordening of AI Act genoemd. De verordening is op 13 juni 2024 vastgesteld door het Europees Parlement en de Raad.

Het gaat om de eerste uitgebreide wettelijke regeling voor AI ter wereld. Het doel is niet om innovatie te blokkeren, maar om betrouwbare AI te stimuleren: technologie die veilig is, grondrechten respecteert, en tegelijk ruimte laat voor Europese bedrijven om te blijven innoveren.

Waarom kwamen er regels voor AI?

AI-systemen brengen unieke risico’s met zich mee die bestaande wetgeving niet altijd goed afdekt. Een bekend probleem: het is vaak niet te herleiden waarom een AI-systeem een bepaalde beslissing of voorspelling heeft gedaan. Dat maakt het lastig om te beoordelen of iemand oneerlijk is benadeeld, bijvoorbeeld bij een sollicitatie of een aanvraag voor een uitkering.

Bestaande wetgeving biedt weliswaar enige bescherming, maar is onvoldoende toegesneden op de specifieke uitdagingen die AI-systemen met zich meebrengen. Vandaar de keuze voor een aparte verordening.

Vier risiconiveaus als uitgangspunt

De kern van de AI Act is een op risico gebaseerde aanpak. Niet elke toepassing van AI wordt over één kam geschoren: hoe groter het risico voor mensen, hoe strenger de regels. Er zijn vier niveaus.

Onaanvaardbaar risico: verboden praktijken

Sommige toepassingen worden gezien als een duidelijke bedreiging voor de veiligheid, het bestaan of de rechten van mensen. Deze zijn simpelweg verboden, sinds februari 2025:

• Schadelijke AI-gestuurde manipulatie en misleiding
• Schadelijke uitbuiting van kwetsbaarheden (zoals leeftijd of beperking)
• Social scoring door overheden
• Risicobeoordeling of voorspelling van individuele criminaliteit
• Ongericht scrapen van internet of camerabeelden om gezichtsherkenningsdatabases te bouwen
• Emotieherkenning op de werkvloer en in het onderwijs
• Biometrische categorisering om gevoelige kenmerken af te leiden (zoals etniciteit of geaardheid)
• Realtime biometrische identificatie op afstand door opsporingsdiensten in publiek toegankelijke ruimtes

Hoog risico: strenge verplichtingen

Toepassingen die serieuze risico’s kunnen opleveren voor gezondheid, veiligheid of grondrechten vallen in de categorie hoog risico. Denk aan AI in kritieke infrastructuur, sollicitatiesoftware, kredietbeoordeling, biometrische identificatie, rechtspraak en grensbewaking.

Voor deze systemen gelden strikte eisen voordat ze op de markt mogen komen:

• Adequate risicobeoordeling en risicobeperking
• Datasets van hoge kwaliteit om discriminerende uitkomsten te voorkomen
• Logging van activiteit voor traceerbaarheid van resultaten
• Uitgebreide technische documentatie voor toezichthouders
• Duidelijke informatie richting de gebruiker van het systeem
• Passend menselijk toezicht
• Een hoog niveau van robuustheid, cyberbeveiliging en nauwkeurigheid

Beperkt risico: transparantie

Bij deze categorie draait het om openheid. Gebruik je bijvoorbeeld een chatbot, dan moet voor mensen duidelijk zijn dat ze met een machine praten. Aanbieders van generatieve AI moeten er bovendien voor zorgen dat AI-gegenereerde content herkenbaar is, en bepaalde content zoals deepfakes en AI-gegenereerde teksten over zaken van algemeen belang moet zelfs duidelijk gelabeld worden.

Deze transparantieregels treden in werking vanaf augustus 2026.

Minimaal of geen risico: vrijwel geen regels

De AI Act definieert dit als de ‘restcategorie’: alle AI-toepassingen die niet expliciet als onaanvaardbaar, hoog of beperkt risico zijn aangemerkt, kennen geen extra regels.

De overgrote meerderheid van AI-toepassingen in de EU valt in deze categorie, denk aan AI in videogames of spamfilters. Hiervoor legt de AI Act geen extra verplichtingen op.

Aparte regels voor general-purpose AI-modellen

Naast de vier risiconiveau’s kent de AI Act een specifieke set regels voor general-purpose AI-modellen (GPAI): brede AI-modellen die de basis vormen voor talloze toepassingen, zoals de large language models achter chatbots. Sommige van deze modellen kunnen systeemrisico’s met zich meebrengen als ze bijzonder krachtig of wijdverspreid zijn.

Voor GPAI-aanbieders gelden onder meer transparantieverplichtingen en regels rond auteursrecht, waaronder het publiceren van een samenvatting van het trainingsmateriaal. Aanbieders van modellen met systeemrisico’s moeten deze risico’s bovendien actief beoordelen en beperken. Deze regels gelden sinds augustus 2025.

Ter ondersteuning publiceert de Europese Commissie in juli 2025 onder meer een vrijwillige General-Purpose AI Code of Practice, opgesteld door onafhankelijke experts, die aanbieders praktische handvatten geeft om aan de verplichtingen rond transparantie, auteursrecht en veiligheid te voldoen.

De tijdlijn: wanneer geldt wat?

De AI Act trad op 1 augustus 2024 in werking, maar de verplichtingen gelden gefaseerd:

• 2 februari 2025: de verboden praktijken en de verplichting tot AI-geletterdheid gaan gelden.
• 2 augustus 2025: de governance-regels en de verplichtingen voor GPAI-modellen worden van toepassing.
• 2 augustus 2026: de verordening is in principe volledig van toepassing, inclusief de transparantieregels.
• 2 december 2027: de regels voor hoogrisicosystemen in specifieke domeinen (biometrie, kritieke infrastructuur, onderwijs, werk, migratie, asiel en grensbewaking) gaan gelden.
• 2 augustus 2028: de regels voor AI die is ingebouwd in gereguleerde producten, zoals liften of speelgoed, worden van kracht.

Deze laatste twee, latere data zijn het resultaat van een politiek akkoord over de zogeheten AI omnibus, een voorstel om de uitvoering van de AI Act te vereenvoudigen.

Toezicht en handhaving

De uitvoering en handhaving van de AI Act ligt bij het Europese AI-bureau (AI Office) en de bevoegde toezichthouders in elke lidstaat.

Zij houden markttoezicht, terwijl aanbieders zelf een systeem voor monitoring na het op de markt brengen moeten inrichten en ernstige incidenten of storingen moeten melden. Een AI Board, een wetenschappelijk panel en een adviesforum ondersteunen en sturen dit governancesysteem.

De AI omnibus: vereenvoudiging onderweg

Sinds de AI Act van kracht werd, klonk er ook kritiek: de regels zouden voor bedrijven te complex en te snel ingevoerd zijn.

Daarom stelde de Commissie een pakket vereenvoudigingen voor, aangenomen op 19 november 2025, met een politiek akkoord op 7 mei 2026. Naast het uitstellen van bepaalde hoogrisico-verplichtingen (zie de tijdlijn hierboven) omvat dit pakket onder meer:

• Een verbod op AI-systemen die zonder toestemming seksueel expliciete content of materiaal van seksueel kindermisbruik genereren, zoals zogeheten ‘nudification-apps’.
• Meer bevoegdheden voor het AI Office, om versnippering in het toezicht op general-purpose AI-modellen te verminderen.
• Uitbreiding van vereenvoudigde eisen, zoals lichtere technische documentatie, naar kleine middenkapitaalbedrijven naast het mkb.
• Betere toegang tot regelgevingssandboxes, inclusief een sandbox op EU-niveau, om AI-oplossingen in de praktijk te testen.
• Verduidelijking van de samenhang tussen de AI Act en andere Europese productveiligheidsregels, zoals de Machineverordening.

Wat betekent dit voor jou?

Of je nu een AI-tool bouwt, een chatbot inzet voor klantenservice, of gewoon AI gebruikt om content te maken: de AI Act raakt in de praktijk bijna iedereen die met AI werkt binnen de EU. Een paar praktische aandachtspunten:

1. Breng je AI-gebruik in kaart. Val je onder een verboden praktijk, een hoogrisicotoepassing, of gewoon onder de transparantieregels?
2. Wees open over AI-gebruik, zeker richting augustus 2026, wanneer de transparantieverplichtingen volledig ingaan.
3. Volg de ontwikkelingen rond de AI omnibus, want de exacte deadlines voor hoogrisicosystemen kunnen nog verschuiven.
4. Raadpleeg bij twijfel de officiële informatiebronnen, zoals het AI Act Single Information Platform van de Commissie, of vraag juridisch advies.

Tot slot

De AI Act is een van de meest ambitieuze pogingen ter wereld om kunstmatige intelligentie in goede banen te leiden, zonder innovatie de nek om te draaien.

 De regels worden de komende jaren stap voor stap van kracht, en de details worden nog verder aangescherpt via de AI omnibus en aanvullende richtsnoeren. Wie nu al de basis op orde brengt, voorkomt straks kopzorgen.