De AI Act is van toepassing op jouw organisatie als je AI-systemen ontwikkelt, inzet of gebruikt die binnen de Europese Unie beschikbaar zijn. Dat geldt voor vrijwel elke organisatie die vandaag AI inzet, van geautomatiseerde besluitvorming tot intelligente assistenten. De verordening stelt concrete eisen aan transparantie, logging en menselijk toezicht, afhankelijk van het risiconiveau van het systeem. Dit artikel beantwoordt de meest gestelde vragen over de AI Act en wat die concreet betekenen voor jouw organisatie.
Welke organisaties vallen onder de AI Act?
De AI Act is van toepassing op elke organisatie die AI-systemen aanbiedt of gebruikt binnen de EU, ongeacht waar het bedrijf zelf gevestigd is. Dat betekent dat ook Nederlandse MKB-bedrijven en midcap-organisaties die AI inzetten voor interne processen, klantenservice of besluitvorming direct onder de verordening vallen. De wet maakt onderscheid tussen aanbieders (die AI-systemen ontwikkelen of op de markt brengen) en gebruikers, ook wel deployers genoemd.
Als IT-manager of operationeel directeur ben je in de meeste gevallen een deployer: je koopt of licentieert een AI-systeem van een leverancier en zet het in binnen jouw organisatie. Dat klinkt alsof de verantwoordelijkheid bij de leverancier ligt, maar dat is slechts gedeeltelijk zo. De AI Act legt ook deployers concrete verplichtingen op, met name wanneer het systeem in een hoog-risicocategorie valt. Denk aan systemen die invloed hebben op personeelsbeslissingen, kredietwaardigheid of toegang tot diensten.
Kleine organisaties zijn niet automatisch vrijgesteld. Wel zijn er beperkte uitzonderingen voor zeer kleinschalige aanbieders, maar als deployer van een hoog-risicosysteem gelden de verplichtingen onverkort. Het is daarom verstandig om nu al in kaart te brengen welke AI-systemen je gebruikt en welke rol jouw organisatie daarin speelt.
Hoe werkt de risicoklasse-indeling van de AI Act?
De AI Act deelt AI-systemen in vier risicoklassen in: onaanvaardbaar risico, hoog risico, beperkt risico en minimaal risico. Hoe hoger het risico, hoe strenger de eisen. Systemen met onaanvaardbaar risico, zoals sociale scoring door overheden, zijn volledig verboden. De meeste organisaties werken met systemen in de lagere categorieën, maar hoog-risicotoepassingen komen vaker voor dan je zou verwachten.
Wat valt onder hoog-risico AI?
Hoog-risico AI omvat systemen die worden ingezet in sectoren of toepassingen met een grote impact op mensen. Bijlage III van de verordening noemt onder andere: AI in werving en selectie van personeel, systemen die creditscores of verzekeringsrisico’s beoordelen, en AI die invloed heeft op toegang tot onderwijs of overheidsdiensten. Ook AI-systemen die kritieke infrastructuur aansturen of veiligheidscomponenten vormen in producten vallen hieronder.
Wat valt onder beperkt en minimaal risico?
Chatbots en AI-gegenereerde content vallen doorgaans onder beperkt risico. Hier geldt primair een transparantieverplichting: gebruikers moeten weten dat ze met een AI-systeem communiceren. Systemen met minimaal risico, zoals spamfilters of aanbevelingsalgoritmen voor interne productiviteit, kennen nauwelijks aanvullende verplichtingen. Toch is het verstandig om ook deze systemen te documenteren, zodat je altijd kunt aantonen in welke categorie ze vallen.
Welke verplichtingen gelden voor hoog-risico AI-systemen?
Voor hoog-risico AI-systemen gelden de zwaarste verplichtingen uit de AI Act. Als deployer moet je een risicomanagementsysteem opzetten, menselijk toezicht waarborgen, de kwaliteit van inputdata bewaken en een systeem voor technische documentatie bijhouden. Artikel 12 van Verordening 2024/1689 voegt daar een concrete logging-verplichting aan toe: automatische registratie van alle relevante gebeurtenissen gedurende de volledige levensduur van het systeem.
Die logging-verplichting is niet alleen een technische kwestie. Ze raakt direct aan governance AI: je moet kunnen aantonen welke beslissingen het systeem heeft genomen, op basis van welke data, en wanneer een mens in het proces betrokken was. Een AI-agent die namens een medewerker handelt en daarbij toegang heeft tot systemen buiten zijn bevoegdheidsgebied, vormt een governance-gat dat de AI Act zichtbaar maakt en sanctioneerbaar stelt.
Concrete verplichtingen voor deployers van hoog-risico AI zijn onder andere:
- Uitvoeren van een conformiteitsbeoordeling voordat het systeem in gebruik wordt genomen
- Registratie van het systeem in de EU-database voor hoog-risico AI
- Vastleggen van menselijke toezichtsmechanismen en escalatieprocedures
- Zorgdragen voor automatische logging van systeemacties en beslissingen
- Informeren van betrokkenen wanneer AI een rol speelt in beslissingen die hen raken
Wat zijn de deadlines en wanneer moet je actie ondernemen?
De AI Act is op 1 augustus 2024 in werking getreden, maar de verplichtingen worden gefaseerd van kracht. De meest relevante deadline voor organisaties die hoog-risico AI inzetten is 2 augustus 2026: vanaf die datum zijn de volledige verplichtingen voor hoog-risicosystemen, inclusief de automatische logging uit Artikel 12, volledig van toepassing. Dat betekent dat je in 2026 al compliant moet zijn, niet nog bezig met voorbereiding.
De tijdlijn op hoofdlijnen:
- Februari 2025: Verbod op onaanvaardbare-risicosystemen van kracht
- Augustus 2025: Verplichtingen voor general-purpose AI-modellen (GPAI) van kracht
- Augustus 2026: Volledige verplichtingen voor hoog-risico AI-systemen van kracht
- Augustus 2027: Aanvullende regels voor bepaalde bestaande hoog-risicosystemen
Wie nu nog wacht met een inventarisatie van zijn AI-systemen, loopt het risico onvoldoende tijd te hebben om governance-structuren, logging-oplossingen en documentatieprocessen op orde te krijgen voor de deadline van augustus 2026.
Hoe bereid je jouw organisatie voor op AI Act-compliance?
Voorbereiding op AI Act-compliance begint met een gestructureerde inventarisatie van alle AI-systemen die je organisatie gebruikt of van plan is te gebruiken. Vervolgens bepaal je per systeem de risicoklasse, de rol van jouw organisatie (aanbieder of deployer) en welke verplichtingen daaruit volgen. Daarna richt je de benodigde governance-structuren in.
Een werkbare aanpak volgt deze stappen:
- AI-inventaris opstellen: Breng alle systemen in kaart, inclusief ingebedde AI in bestaande software en SaaS-tools.
- Risicoklasse bepalen: Toets elk systeem aan de criteria uit de AI Act en categoriseer het.
- Rolverdeling vastleggen: Bepaal per systeem wie aanbieder is, wie deployer, en welke contractuele afspraken nodig zijn met leveranciers.
- Governance inrichten: Wijs verantwoordelijken aan, denk aan een Data Governance Lead, Privacy Officer en Compliance Officer, en leg bevoegdheden vast.
- Logging en documentatie activeren: Zorg dat hoog-risicosystemen automatisch de vereiste gebeurtenissen registreren en dat dit controleerbaar is.
- Human-in-the-loop vastleggen: Documenteer per type beslissing wat autonoom mag, wat menselijke goedkeuring vereist en wat altijd door een mens wordt afgehandeld.
Governance AI is hierbij geen eenmalig project. Het vraagt om een structurele aanpak waarbij techniek, processen en mensen samen optrekken. Organisaties die een passende AI compliance-oplossing zoeken voor bestaande processen zonder de onderliggende workflows te herontwerpen, lopen niet alleen compliance-risico, maar missen ook de operationele voordelen die AI kan bieden.
Wat zijn de gevolgen van niet-naleving van de AI Act?
Niet-naleving van de AI Act kan leiden tot aanzienlijke boetes. Voor de zwaarste overtredingen, zoals het inzetten van verboden AI-systemen, kunnen toezichthouders boetes opleggen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet. Voor schendingen van verplichtingen voor hoog-risicosystemen geldt een maximum van 15 miljoen euro of 3% van de omzet. Voor het verstrekken van onjuiste informatie aan toezichthouders geldt een maximum van 7,5 miljoen euro of 1,5% van de omzet.
Naast financiële sancties zijn er reputatierisico’s. Wanneer blijkt dat een organisatie AI heeft ingezet voor personeelsbeslissingen of kredietbeoordelingen zonder de vereiste transparantie en logging, raakt dat het vertrouwen van klanten, medewerkers en partners. Toezichthouders kunnen ook tijdelijke of definitieve verboden opleggen op het gebruik van specifieke systemen.
Voor organisaties in sectoren met aanvullende sectorale regelgeving, zoals financiële dienstverlening of zorg, stapelen verplichtingen zich op. De AI Act werkt naast bestaande wetgeving zoals de AVG, niet in plaats daarvan. Een compliance-aanpak die beide kaders integreert, is daarmee niet alleen verstandig maar noodzakelijk.
Hoe wij helpen met AI Act-compliance
De AI Act stelt concrete eisen aan governance, logging, documentatie en menselijk toezicht. Dat vraagt om specialisten die zowel de technische als juridische kant begrijpen en die samen met jouw team de juiste structuren kunnen inrichten. Precies dat is wat we bij GroupConnected faciliteren.
Via ons netwerk van specialty partners verbinden we jouw organisatie met bewezen professionals op het snijvlak van AI, compliance en security, waaronder:
- Compliance Officers die de AI Act en sectorregels vertalen naar concrete controls
- Privacy Officers en DPO’s die AVG en AI Act-verplichtingen integreren
- Data Governance Leads die logging, toegangsbeheer en documentatieprocessen inrichten
- IAM-specialisten die role-based access control en audit logging implementeren
- SecurityConnected-partners die AI-systemen weerbaar maken en incidentrespons borgen via het AI Foundationsmodel voor structurele compliance
Wil je weten welk probleem we voor jouw organisatie kunnen oplossen, wie daarvoor de juiste match is, en hoe succes eruitziet? Neem contact met ons op en we bespreken samen de eerste stap.