De juridische kaders voor AI-automatisering in Nederland worden bepaald door een combinatie van Europese en nationale regelgeving. De EU AI Act vormt de centrale wetgeving, aangevuld door de AVG, sectorspecifieke normen en aansprakelijkheidsregels uit het burgerlijk recht. Voor IT-managers en operationeel directeuren die AI-automatisering invoeren, is het vertrekpunt voor verantwoorde implementatie dat je begrijpt welke verplichtingen concreet op jouw organisatie van toepassing zijn. De vragen hieronder geven per thema een direct antwoord.
Welke verplichtingen legt de EU AI Act op aan Nederlandse bedrijven?
De EU AI Act verplicht Nederlandse bedrijven die AI-systemen ontwikkelen, inzetten of distribueren tot risicogebaseerde naleving. Hoe hoger het risico dat een systeem oplevert voor grondrechten of veiligheid, hoe zwaarder de verplichtingen. Voor de meeste MKB+ en midcap-organisaties zijn het de hoog-risico-categorieën die directe actie vereisen.
De wet onderscheidt vier risiconiveaus: onaanvaardbaar risico (verboden), hoog risico, beperkt risico en minimaal risico. Systemen in de hoog-risico-categorie omvatten onder meer AI die wordt gebruikt bij personeelsselectie, kredietbeoordeling, toegang tot essentiële diensten of veiligheidscomponenten in kritieke infrastructuur. Voor deze systemen gelden verplichtingen op het gebied van technische documentatie, risicomanagementsystemen, datakwaliteit, menselijk toezicht en registratie in een Europese database.
Organisaties die AI-systemen niet zelf bouwen maar als gebruiker inzetten, vallen onder de categorie “deployers”. Ook deployers hebben verplichtingen: je moet controleren of het systeem waarvoor je kiest voldoet aan de eisen, je moet het gebruiken conform de bestemming van de aanbieder, en je moet zorgen voor menselijk toezicht waar dat verplicht is. De AI Act is in 2024 in werking getreden en de verplichtingen voor hoog-risico-systemen gelden volledig vanaf augustus 2026.
Hoe verhoudt de AI Act zich tot de AVG bij geautomatiseerde besluitvorming?
De AI Act en de AVG overlappen elkaar bij geautomatiseerde besluitvorming, maar vullen elkaar aan vanuit een andere invalshoek. De AVG regelt de rechten van betrokkenen en de verwerking van persoonsgegevens; de AI Act regelt de eigenschappen en het toezicht op het AI-systeem zelf. Beide wetten zijn tegelijk van toepassing zodra een AI-systeem persoonsgegevens verwerkt om een beslissing te nemen.
Artikel 22 van de AVG geeft individuen het recht om niet onderworpen te worden aan volledig geautomatiseerde beslissingen met rechtsgevolgen of vergelijkbare gevolgen, tenzij er een wettelijke grondslag is, uitdrukkelijke toestemming bestaat, of het noodzakelijk is voor de uitvoering van een overeenkomst. In die gevallen moet je altijd menselijke tussenkomst mogelijk maken, bezwaar kunnen aantekenen en uitleg kunnen geven over de beslissing.
De AI Act voegt daar bovenop toe dat hoog-risico-systemen structureel menselijk toezicht moeten borgen, ongeacht of er al een AVG-grondslag is. Dat betekent dat je niet kunt volstaan met een toestemmingsclausule in de algemene voorwaarden. Je moet aantoonbaar maken dat een mens op het juiste moment in de beslissingsketen zit, dat hij de output begrijpt en dat hij de bevoegdheid heeft om in te grijpen. Dit raakt direct aan wat in het vakgebied “human-in-the-loop” wordt genoemd: heldere escalatiepaden die vastleggen wanneer een mens beslist, wanneer een mens controleert en wanneer een systeem zelfstandig handelt.
Raadpleeg voor de juridische duiding van jouw specifieke situatie altijd een eigen juridisch adviseur. De samenloop van AVG en AI Act vraagt om maatwerk per toepassing.
Wat zijn de aansprakelijkheidsrisico’s bij AI-fouten binnen een organisatie?
Bij AI-fouten kan aansprakelijkheid liggen bij de aanbieder van het systeem, bij de organisatie die het inzet, of bij beiden. Als deployer ben je aansprakelijk voor schade die ontstaat doordat je het systeem buiten het beoogde gebruik hebt ingezet, onvoldoende toezicht hebt gehouden, of de instructies van de aanbieder niet hebt gevolgd.
De EU heeft naast de AI Act ook de AI Liability Directive in voorbereiding, die de bewijslast bij AI-schade vergemakkelijkt voor benadeelden. In de huidige praktijk geldt al dat als een AI-systeem een fout maakt die leidt tot schade, de organisatie die het systeem inzet moet kunnen aantonen dat zij redelijke maatregelen heeft genomen. Ontbreekt documentatie over risicobeheersing, menselijk toezicht en systeemprestaties, dan is het moeilijk verweer te voeren.
Intern zijn er ook risico’s die buiten de directe aansprakelijkheid vallen maar minstens zo relevant zijn: reputatieschade door onjuiste geautomatiseerde beslissingen, verlies van klantvertrouwen en operationele verstoringen door onbetrouwbare output. Systemen die hallucineren of werken met verouderde of inconsistente data leveren fouten die zichtbaar worden op het moment dat het te laat is. Observability, het structureel monitoren van wat een AI-systeem in productie doet, is daarom geen luxe maar een operationele noodzaak.
Welke sectorspecifieke regelgeving geldt naast de AI Act?
Naast de AI Act gelden voor veel sectoren aanvullende wettelijke kaders die de inzet van AI-automatisering verder inkaderen. De AI Act is een horizontale wet; sectorwetgeving is verticaal en gaat op specifieke punten voor.
- Financiële sector: De EBA-richtlijnen, de Wet op het financieel toezicht en de DORA-verordening (Digital Operational Resilience Act) stellen eisen aan algoritmische besluitvorming, modellering en operationele weerbaarheid van digitale systemen.
- Zorg: De MDR (Medical Device Regulation) is van toepassing als AI-software kwalificeert als medisch hulpmiddel. Daarnaast gelden de Wet BIG en de NEN 7510-norm voor informatiebeveiliging in de zorg.
- HR en werving: AI-systemen die worden gebruikt bij selectie of beoordeling van medewerkers vallen onder de hoog-risico-categorie van de AI Act én onder de AVG. Sommige cao’s bevatten aanvullende bepalingen over geautomatiseerde beoordeling.
- Overheid en publieke sector: Naast de AI Act gelden de Wet open overheid en de Baseline Informatiebeveiliging Overheid (BIO), met specifieke eisen aan transparantie en uitlegbaarheid van geautomatiseerde beslissingen.
Voor organisaties die in meerdere sectoren actief zijn of internationale activiteiten hebben, kan de stapeling van regelgeving complex worden. Het is verstandig dit per AI-toepassing in kaart te brengen voordat je implementeert.
Wanneer is een conformiteitsbeoordeling of DPIA verplicht voor een AI-systeem?
Een conformiteitsbeoordeling is verplicht voor hoog-risico-AI-systemen onder de AI Act, voordat je het systeem in gebruik neemt. Een DPIA (Data Protection Impact Assessment) is verplicht onder de AVG wanneer een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van natuurlijke personen. In de praktijk zijn beide beoordelingen bij hoog-risico-AI-toepassingen met persoonsgegevens allebei nodig.
Wanneer is een conformiteitsbeoordeling verplicht?
De conformiteitsbeoordeling onder de AI Act is verplicht voor systemen in de hoog-risico-categorie. Dat zijn onder meer systemen voor personeelsselectie, creditscoring, toegangscontrole tot essentiële diensten en bepaalde veiligheidstoepassingen. Aanbieders moeten de beoordeling uitvoeren en vastleggen in technische documentatie. Als deployer moet je controleren of de aanbieder deze documentatie heeft opgesteld en of het systeem geregistreerd staat in de EU-database voor hoog-risico-AI.
Wanneer is een DPIA verplicht?
Een DPIA is verplicht wanneer je op grote schaal bijzondere persoonsgegevens verwerkt, wanneer je systematisch en uitgebreid personen profileert op basis van geautomatiseerde verwerking, of wanneer je op grote schaal openbaar toegankelijke ruimten monitort. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is. Vrijwel elke AI-toepassing die geautomatiseerde beslissingen neemt over individuele personen valt hier onder.
Hoe bouw je intern toezicht op AI-systemen in lijn met de wet?
Intern toezicht op AI-systemen bouw je op door drie elementen te combineren: gedocumenteerde beslissingsbevoegdheden, technische monitoring van systeemgedrag en organisatorische escalatiepaden. De wet vereist aantoonbaar toezicht; dat betekent dat je niet alleen toezicht moet houden, maar ook moet kunnen laten zien dat je het doet.
Concreet vraagt dit om het volgende:
- Stel per AI-toepassing vast welke beslissingen het systeem neemt, welke het voorbereidt en welke altijd bij een mens blijven. Leg dit vast in een beslismatrix met duidelijke autonomieniveaus.
- Zorg voor technische observability: log welke data het systeem opvraagt, welke acties het uitvoert en wat de kwaliteit van de output is. Zonder dit kun je niet aantonen dat het systeem correct functioneert.
- Wijs eigenaarschap toe. Elke AI-toepassing heeft een verantwoordelijke die de output begrijpt, afwijkingen herkent en de bevoegdheid heeft om in te grijpen of het systeem stil te leggen.
- Documenteer risicobeheersing. De AI Act vereist dat je kunt aantonen welke risico’s je hebt geïdentificeerd en welke maatregelen je hebt genomen. Dit is niet eenmalig; het vraagt om periodieke herziening. Meer over hoe je dit structureel aanpakt, lees je in het AI Foundationsmodel voor verantwoorde implementatie.
- Train medewerkers die met het systeem werken. AI-literacy, begrijpen wat een systeem wel en niet kan, is een wettelijke eis bij hoog-risico-systemen en een praktische noodzaak bij elke andere toepassing.
Compliance werkt door in alle lagen van je AI-architectuur: van datakwaliteit en toegangsbeheer tot procesontwerp en strategische keuzes over welke beslissingen je wel en niet aan een systeem overlaat. Wie dat als een checklist behandelt, mist de samenhang.
Hoe wij helpen bij verantwoorde AI-automatisering
De juridische kaders voor AI-automatisering zijn helder in hun richting maar complex in hun toepassing. Het probleem dat wij dagelijks tegenkomen: organisaties die willen beginnen met AI, maar vastlopen op de vraag hoe ze dat verantwoord doen zonder de regie kwijt te raken. Dat is precies de waardehypothese achter onze aanpak: welk AI-vraagstuk wil je oplossen, voor welke processen en mensen, en hoe ziet een situatie eruit waarin je dat met vertrouwen doet?
Via onze AIConnected aanpak verbinden we je met specialisten die dagelijks werken aan de combinatie van AI-implementatie en compliance. Geen generalist die “er ook iets van weet”, maar vakspecialisten in datagovernance, security, procesontwerp en AI-toezicht die samenwerken als één team.
Wat we concreet bieden:
- Een Foundation Scan die in twee tot drie uur interviewtijd de volwassenheid van jouw organisatie op alle relevante fundamenten in kaart brengt, inclusief compliance-gereedheid
- Begeleiding bij het opstellen van beslismatrices, escalatiepaden en technische documentatie die aansluiten op de eisen van de AI Act en de AVG
- Toegang tot een netwerk van specialty partners per vakgebied via het Connect & Build programma voor AI-implementatie, zodat je nooit betaalt voor een leercurve
- Programmamanagement dat de samenhang bewaakt tussen datakwaliteit, security, procesontwerp en menselijk toezicht
Wil je weten waar jouw organisatie nu staat en wat de eerste concrete stap is? Neem contact op voor een vrijblijvend gesprek over de Foundation Scan.