In augustus 2024 is de Europese AI-verordening, beter bekend als de AI Act, in werking getreden. Het doel van deze wet is het garanderen van veilige en betrouwbare AI-systemen, het beschermen van de rechten van burgers en het stimuleren van innovatie in de EU. Voor bedrijven en organisaties betekent dit dat het gebruik van AI niet langer vrijblijvend is. Er gelden inmiddels verplichtingen voor het gebruiken van AI-systemen.
Wat is een AI-systeem volgens de wet?
Uit de wet kan (samengevat) worden afgeleid dat een AI-systeem een op een machine gebaseerd systeem is, dat taken kan uitvoeren waarvoor normaal gesproken menselijke intelligentie nodig is. Dit kan bijvoorbeeld betrekking hebben op het doen van voorspellingen of analyses, het geven van aanbevelingen, of het genereren van inhoud.
Het is belangrijk dat het systeem actieve invloed uitoefent op de omgeving, zowel fysiek als digitaal, en dat het adaptief kan zijn. Dat betekent dat het systeem zich kan aanpassen op basis van input of ervaringen. Simpele softwareprogramma’s of statistische modellen vallen hier meestal niet onder.
De gefaseerde inwerkingtreding van de AI Act
De AI Act is formeel op 1 augustus 2024 in werking getreden. De wet wordt in fases van toepassing:
- Februari 2025: bepalingen voor verboden AI-systemen.
- Augustus 2025: eisen voor AI voor algemeen gebruik (bijvoorbeeld ChatGPT).
- Augustus 2026: strengere eisen voor hoog-risico AI-toepassingen en extra transparantieverplichtingen.
- Augustus 2027: volledige toepassing van de AI-verordening voor hoog-risico AI-producten.
- Augustus 2030: nalevingseisen voor hoog-risico AI-systemen bij overheidsorganisaties die voor augustus 2026 op de markt zijn gebracht.
Risicocategorieën van AI
De AI Act werkt met een risico gebaseerde aanpak. Dat wil zeggen dat een onderscheid wordt gemaakt tussen verschillende AI-systemen. Het gaat dan om het volgende onderscheid:
- Verboden AI-Systemen
- social scoring: AI-systemen die mensen beoordelen op basis van sociaal gedrag zijn verboden vanwege privacy- en vrijheidsrisico’s.
- real-time gezichtsherkenning: gezichtsherkenningstechnologie in openbare ruimtes is verboden om de privacy te waarborgen.
- manipulatie/misleiding van kwetsbare groepen: AI die wordt gebruikt om kwetsbare groepen te manipuleren, bijvoorbeeld door misleidende advertenties.
- Hoogrisico-AI
- medische AI: AI die wordt gebruikt voor medische diagnoses, zoals het analyseren van röntgenfoto’s of MRI-scans.
- AI in recruitment: sollicitaties die door AI worden gescreend kan een probleem opleveren indien deze bevooroordeeld of discriminerend is.
- AI voor algemeen gebruik: het gaat dan met name om AI-systemen zoals Chat GPT.
- Laag of minimaal risico-AI: het gaat dan om AI-systemen zoals eenvoudige (klantenservice) chatbots.
Voor iedere categorie gelden afzonderlijke verplichtingen. Voor hoogrisico-AI zijn deze verplichtingen aanzienlijk strenger dan bij AI met een laag of minimaal risico. Zo geldt bij hoogrisico-AI dat alles goed gedocumenteerd moet worden, een risicobeoordeling aanwezig moet zijn en dat er transparantie en uitleg wordt gegeven over de beslissingen die AI neemt. De AI voor algemeen gebruik kent minder strenge verplichtingen. Zo geldt er transparantie over het gebruik, dient te worden aangegeven dat de content AI-gegenereerd is en dient er zorgvuldig omgegaan te worden met auteursrechtelijk beschermde data. AI met een laag of minimaal risico kent vooral transparantieverplichtingen.
AI-geletterdheid: een nieuwe verplichting
Sinds februari 2025 bestaat de verplichting voor organisaties die met AI werken, dat zij ervoor zorgen dat hun medewerkers ‘AI-geletterd’ zijn. Dat wil zeggen dat de medewerkers begrijpen wat AI is en hoe het werkt, bewust zijn van de risico’s en de kansen, kennis hebben van eventuele ethische en juridische aspecten van AI en verantwoordelijk omgaan met het gebruiken van AI-systemen.
Voor het realiseren van deze AI-geletterdheid heeft de Autoriteit Persoonsgegevens (AP) een vierstappenaanpak geadviseerd:
- Identificeren: documenteer betrokken personen en rollen binnen de organisatie en verzamel de benodigde informatie.
- Doel bepalen: bepaal doelen en prioriteiten voor AI-geletterdheid op basis van het risiconiveau.
- Uitvoeren: na het stellen van doelen, volgt het bepalen van strategieën en acties.
- Evalueren: analyseer regelmatig of de doelstellingen worden gehaald.
Wat kunt u nu doen?
- Inventarisatie: breng in kaart welke AI-systemen u gebruikt.
- Classificatie: bepaal de risicocategorie van elk AI-systeem dat u gebruikt.
- AI-geletterdheid: train medewerkers en stel interne richtlijnen op.
- Compliance check: controleer uw systemen op transparantie en documentatie.
- Voorbereiding op de toekomst: zorg dat u klaar bent voor de strengere eisen in 2026, 2027 en 2030.
Conclusie
De AI Act biedt niet alleen wettelijke verplichtingen, maar ook kansen om het vertrouwen en (digitale) veiligheid in uw organisatie te versterken. Wie nu proactief handelt, is beter voorbereid op de volledige implementatie van de AI Act en minimaliseert risico’s in de toekomst.
Wilt u weten welke gevolgen de AI Act heeft voor uw organisatie of wilt u nagaan of uw onderneming AI compliant is? Neem dan contact op met ons kantoor via 0495 – 536 138 of info@abenslag.nl.
