AI-verordening (EU AI Act): wat het is en hoe het werkt

De AI-verordening (EU AI Act) is de eerste brede Europese wet die kunstmatige intelligentie reguleert. Ze deelt AI-systemen in vier risiconiveaus in en koppelt daar verplichtingen aan: hoe hoger het risico, hoe strenger de regels. De verordening is op 1 augustus 2024 in werking getreden en wordt gefaseerd toegepast. Dit is algemene informatie, geen juridisch advies.

Wat is de AI-verordening (EU AI Act)?

De AI-verordening is formeel Verordening (EU) 2024/1689. Als verordening werkt ze rechtstreeks in alle EU-lidstaten, zonder dat nationale omzetting nodig is. Het doel is tweeledig: betrouwbare, mensgerichte AI bevorderen en tegelijk gezondheid, veiligheid en grondrechten beschermen.

De kern is een risicogebaseerde aanpak. De wet kijkt niet naar de technologie op zich, maar naar het gebruik en de mogelijke impact ervan. Eenzelfde model kan in de ene toepassing minimaal risico vormen en in een andere als hoog risico gelden. Voor aanbieders en gebruiksverantwoordelijken bepaalt die classificatie welke verplichtingen van toepassing zijn.

De vier risiconiveaus

De AI Act onderscheidt vier categorieen. Het bepalen van de juiste categorie is de eerste stap in elk compliance-traject.

Welke AI is verboden (onaanvaardbaar risico)?

Een beperkte groep toepassingen vormt een onaanvaardbaar risico en is verboden. Voorbeelden zijn social scoring door overheden, manipulatieve systemen die gedrag wezenlijk verstoren, het ongericht schrapen van gezichtsbeelden voor gezichtsherkenningsdatabases en bepaalde vormen van emotieherkenning op de werkplek en in het onderwijs. Deze verbodsbepalingen gelden sinds 2 februari 2025.

Wat valt onder hoog risico?

Hoog-risico-AI mag op de markt, maar onder strikte voorwaarden. Het gaat onder meer om AI in kritieke infrastructuur, werving en personeelsbeoordeling, toegang tot onderwijs, kredietverlening, bepaalde medische hulpmiddelen en rechtshandhaving. Aanbieders moeten een risicobeheersysteem, datagovernance, technische documentatie, logging, menselijk toezicht en een conformiteitsbeoordeling regelen.

Wat is beperkt risico (transparantie)?

Bij beperkt risico gelden vooral transparantieverplichtingen. Gebruikers moeten weten dat ze met een AI-systeem te maken hebben, bijvoorbeeld bij een chatbot. AI-gegenereerde of gemanipuleerde content, zoals deepfakes, moet als zodanig herkenbaar zijn.

Wat is minimaal risico?

De meeste AI-toepassingen, zoals spamfilters of AI in games, vallen onder minimaal risico. Hiervoor gelden geen specifieke verplichtingen uit de AI Act; vrijwillige gedragscodes worden aangemoedigd.

Voor wie geldt de EU AI Act?

De verordening richt zich vooral op twee rollen. Aanbieders ontwikkelen een AI-systeem of laten het ontwikkelen en brengen het onder eigen naam op de markt. Gebruiksverantwoordelijken zetten een AI-systeem in onder eigen verantwoordelijkheid in een professionele context. Ook importeurs en distributeurs hebben verplichtingen. Welke rol u heeft, bepaalt grotendeels wat u moet doen.

Geldt de AI Act ook buiten de EU?

Ja. De verordening heeft een extraterritoriale reikwijdte. Ze geldt ook voor aanbieders en gebruiksverantwoordelijken buiten de EU wanneer de output van het AI-systeem in de Unie wordt gebruikt, of wanneer zij een systeem op de EU-markt richten. Een bedrijf in de VS, het VK of Azie dat AI-diensten aan Europese klanten levert, valt dus binnen het bereik. Dit is vergelijkbaar met de bekende reikwijdte van de AVG.

De gefaseerde tijdlijn

De AI Act wordt stap voor stap van toepassing. De belangrijkste mijlpalen zijn:

• 1 augustus 2024: de verordening treedt in werking.
• 2 februari 2025: de verboden op onaanvaardbare AI en de plicht tot AI-geletterdheid gaan in.
• 2 augustus 2025: de regels voor general-purpose AI (GPAI) en het governancekader worden van toepassing.
• 2 augustus 2026: de transparantieverplichtingen worden van toepassing en de handhavingsbevoegdheden voor GPAI gaan in.

Belangrijk: in 2025 en 2026 werkt de EU aan een vereenvoudigingspakket, de zogeheten Digital Omnibus. Op 7 mei 2026 is hierover een voorlopig politiek akkoord bereikt; formele aanname en publicatie in het Publicatieblad worden verwacht voor 2 augustus 2026. Volgens dit akkoord schuiven de verplichtingen voor veel hoog-risico-systemen (Annex III) op naar 2 december 2027 en die voor AI in gereguleerde producten (Annex I) naar 2 augustus 2028. Omdat dit nog niet definitief is vastgesteld, presenteren wij geen vaste hoog-risicodatum als zekerheid; controleer de actuele stand bij de officiele bronnen.

Aparte regels voor general-purpose AI (GPAI)

Naast de risiconiveaus kent de AI Act een apart spoor voor general-purpose AI: modellen voor algemene doeleinden, zoals grote taalmodellen die in veel toepassingen worden hergebruikt. Aanbieders van GPAI-modellen moeten technische documentatie bijhouden, informatie verstrekken aan downstream-ontwikkelaars, een samenvatting van de trainingsdata publiceren en het EU-auteursrecht respecteren.

Voor GPAI-modellen met een systeemrisico gelden extra eisen, zoals modelevaluaties, het beoordelen en beperken van systeemrisico's en het melden van ernstige incidenten. Deze GPAI-verplichtingen gelden sinds 2 augustus 2025; de handhaving start vanaf 2 augustus 2026. Een vrijwillige praktijkcode helpt aanbieders aan te tonen dat ze aan de GPAI-regels voldoen.

Toezicht, handhaving en boetes

De handhaving is verdeeld over Europees en nationaal niveau. Op EU-niveau coordineert het AI Office binnen de Europese Commissie het toezicht op general-purpose AI en bewaakt het een consistente toepassing van de regels. Op nationaal niveau wijst elke lidstaat een of meer markttoezichtautoriteiten aan die toezien op AI-systemen, klachten behandelen en sancties kunnen opleggen. Daarnaast adviseert een Europese AI-board over de uniforme uitvoering. Voor bedrijven betekent dit dat zij met meerdere toezichthouders te maken kunnen krijgen; leg daarom vroeg vast wie binnen uw organisatie het aanspreekpunt is en hoe u incidenten en informatieverzoeken afhandelt.

De boetes hebben tanden. De zwaarste categorie, overtreding van de verbodsbepalingen, kan leiden tot een boete tot 35 miljoen euro of 7% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor de meeste andere overtredingen geldt een maximum van 15 miljoen euro of 3% van de omzet, en voor het verstrekken van onjuiste informatie 7,5 miljoen euro of 1%. Deze boetestructuur is stabiel en niet gewijzigd door de Digital Omnibus.

Relatie met de AVG

De AI Act en de AVG (Algemene Verordening Gegevensbescherming) vullen elkaar aan. De AVG regelt de verwerking van persoonsgegevens: rechtsgrond, transparantie, rechten van betrokkenen en beveiliging. De AI Act regelt de AI-systemen zelf: productveiligheid, risicobeheer, documentatie en toezicht. Een hoog-risico-AI-systeem dat persoonsgegevens verwerkt, moet aan beide voldoen. Een goede AVG-basis, zoals een register van verwerkingen en gegevensbeschermingseffectbeoordelingen, is vaak een nuttige startpositie voor AI-compliance, maar dekt niet alle AI-Act-eisen.

Veelgestelde vragen

Wanneer geldt de AI-verordening?

De verordening is in werking sinds 1 augustus 2024 en wordt gefaseerd toegepast. Verboden gelden sinds februari 2025, GPAI-regels sinds augustus 2025 en transparantieverplichtingen vanaf augustus 2026. Voor veel hoog-risico-systemen is in 2026 een uitstel naar 2 december 2027 afgesproken, dat nog formeel moet worden vastgesteld.

Geldt de EU AI Act voor mijn bedrijf buiten de EU?

Mogelijk wel. Door de extraterritoriale reikwijdte geldt de AI Act ook voor niet-EU-bedrijven die AI op de EU-markt aanbieden of waarvan de AI-output in de EU wordt gebruikt. Uw vestigingsland is dus niet doorslaggevend.

Wat is het verschil tussen de EU AI Act en de AVG?

De AVG beschermt persoonsgegevens; de AI Act reguleert AI-systemen op basis van risico. Ze overlappen waar AI persoonsgegevens gebruikt, maar het zijn aparte kaders met eigen verplichtingen. Vaak moet u aan beide tegelijk voldoen.

Hoe hoog zijn de boetes?

De maximale boete bedraagt 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken. Voor andere overtredingen liggen de maxima lager (3% en 1% van de omzet).

Hoe Opsio helpt

Wilt u in kaart brengen welke verplichtingen voor uw organisatie gelden? Begin met onze EU AI Act compliance-checklist. Voor de praktische uitvoering helpt Opsio, als ISO 27001-gecertificeerd cloud- en AI-bedrijf, met managed AI-support en AI-consultancy om uw AI verantwoord en compliant in te zetten.

Dit artikel biedt algemene informatie en is geen juridisch advies. Raadpleeg voor uw specifieke situatie een gekwalificeerd juridisch adviseur en de officiele bronnen van de EU.