De EU AI Act is de eerste uitgebreide wetgeving ter wereld die kunstmatige intelligentie reguleert. Welke verplichtingen voor jouw organisatie gelden, hangt af van twee vragen: in welke risicocategorie valt het AI-systeem en welke rol heeft jouw organisatie? Ben je aanbieder van een AI-oplossing of gebruik je AI van een andere partij? De eerste onderdelen van de AI Act zijn sinds 2025 van kracht, terwijl aanvullende verplichtingen gefaseerd worden ingevoerd tot 2027. Voor bestuurders is dit daarom geen toekomstmuziek meer, maar een actuele bestuursverantwoordelijkheid.
Opvallend genoeg zie ik na presentaties over AI vrijwel nooit discussie ontstaan over de wet zelf. De discussie gaat bijna altijd over een andere vraag: “Hoe zorgen we ervoor dat we straks niet hoeven repareren wat we vandaag verkeerd ontwerpen?”
Wat regelt de EU AI Act precies?
De EU AI Act is een Europese verordening die regels stelt aan het ontwikkelen, verkopen en gebruiken van AI-systemen.
Het doel is niet om innovatie af te remmen, maar om ervoor te zorgen dat AI veilig, transparant en verantwoord wordt ingezet.
De wet kijkt daarbij niet naar de technologie zelf, maar naar de mogelijke risico’s voor mensen, organisaties en de samenleving.
Dat betekent dat een AI-toepassing die sollicitaties beoordeelt veel strengere eisen krijgt dan een systeem dat automatisch e-mails samenvat.
Voor bestuurders betekent dit dat zij niet ieder AI-project op dezelfde manier kunnen behandelen.
Welke risicocategorieën kent de AI Act?
De AI Act werkt met vier risiconiveaus.
Onaanvaardbaar risico
Sommige toepassingen zijn volledig verboden, bijvoorbeeld AI die mensen manipuleert of systemen voor bepaalde vormen van sociale scoring.
Hoog risico
Hieronder vallen onder andere AI-systemen die worden gebruikt bij sollicitaties, onderwijs, kritieke infrastructuur, medische toepassingen en bepaalde financiële processen.
Voor deze systemen gelden uitgebreide verplichtingen rondom documentatie, risicobeheer, menselijk toezicht en kwaliteitscontrole.
Beperkt risico
Bij toepassingen zoals chatbots of AI die content genereert gelden vooral transparantieverplichtingen. Gebruikers moeten weten dat zij met AI communiceren.
Minimaal risico
De meeste dagelijkse AI-toepassingen vallen in deze categorie. Hiervoor gelden nauwelijks aanvullende verplichtingen.
Juist daarom is de eerste vraag voor iedere organisatie: in welke categorie vallen onze AI-toepassingen eigenlijk?
Ben je aanbieder of gebruiksverantwoordelijke, en waarom maakt dat verschil?
Niet iedere organisatie heeft dezelfde verantwoordelijkheid.
Ontwikkel je zelf een AI-systeem of breng je het op de markt, dan ben je aanbieder.
Gebruik je een AI-oplossing van een andere leverancier, dan ben je meestal gebruiksverantwoordelijke.
Dat verschil is belangrijk.
Aanbieders moeten onder meer voldoen aan uitgebreide eisen rondom documentatie, testen, kwaliteitsmanagement en conformiteitsbeoordelingen.
Gebruikers hebben vooral verantwoordelijkheden rondom verantwoord gebruik, toezicht, instructies en risicobeheer.
Veel organisaties gebruiken tientallen AI-oplossingen van externe leveranciers. Ook dan blijft de directie verantwoordelijk voor verantwoord gebruik binnen de eigen organisatie.
Welke deadlines gelden er en wat is er al van kracht?
De AI Act wordt stapsgewijs ingevoerd.
Dat geeft organisaties tijd om processen aan te passen.
De eerste bepalingen zijn inmiddels van kracht. Daarna volgen gefaseerd aanvullende verplichtingen voor onder meer general purpose AI-modellen, hoogrisicosystemen en verschillende marktdeelnemers.
Voor bestuurders is vooral belangrijk dat voorbereiding veel eerder begint dan de formele deadline.
Governance, documentatie en eigenaarschap bouw je niet in een paar weken op.
Controleer vóór publicatie altijd de actuele planning via de Europese Commissie en EUR-Lex, omdat implementatiedata verder worden uitgewerkt.
Wat betekent de eis van AI-geletterdheid voor je personeel?
Een van de opvallendste onderdelen van de AI Act is de aandacht voor AI-geletterdheid.
Dat betekent niet dat iedere medewerker programmeur moet worden.
Wel moeten organisaties ervoor zorgen dat medewerkers voldoende kennis hebben om AI verantwoord te gebruiken binnen hun functie.
Voor sommige medewerkers betekent dat basiskennis.
Voor managers gaat het vooral om risico’s, toezicht en besluitvorming.
Voor specialisten kan juist diepgaande technische kennis noodzakelijk zijn.
AI-geletterdheid wordt daarmee geen HR-project, maar een organisatiebrede verantwoordelijkheid.
Welke boetes staan er op overtreding?
De AI Act kent stevige sancties.
De hoogte van een boete hangt af van de aard van de overtreding en de rol van de organisatie.
Voor de zwaarste overtredingen kunnen de maximale boetes oplopen tot tientallen miljoenen euro’s of een percentage van de wereldwijde jaaromzet.
Juist daarom behandelen veel organisaties de AI Act inmiddels op bestuursniveau.
Controleer de exacte boetebedragen altijd vlak vóór publicatie via de officiële tekst van de verordening, omdat interpretaties en uitvoeringsregels kunnen wijzigen.
Wie houdt in Nederland toezicht op de AI Act?
Binnen Nederland wordt het toezicht verdeeld over meerdere toezichthouders.
De Autoriteit Persoonsgegevens (AP) heeft een coördinerende rol gekregen binnen het nationale toezicht op de AI Act.
Daarnaast speelt de Rijksinspectie Digitale Infrastructuur (RDI) een belangrijke rol bij het toezicht op verschillende AI-toepassingen.
Afhankelijk van de sector kunnen ook andere toezichthouders betrokken zijn.
Voor bestuurders betekent dit dat AI niet alleen een IT-vraagstuk is, maar steeds vaker onderdeel wordt van regulier toezicht en governance.
Welke vijf dingen leg je als bestuur nu vast?
Veel organisaties wachten nog op volledige duidelijkheid.
Dat is begrijpelijk, maar niet verstandig.
Er zijn vijf zaken die vrijwel iedere directie nu al kan vastleggen.
Breng eerst in kaart welke AI-systemen binnen de organisatie worden gebruikt.
Bepaal vervolgens wie bestuurlijk eigenaar is van AI.
Leg vast hoe nieuwe AI-toepassingen worden beoordeeld voordat zij in productie gaan.
Ontwikkel een programma voor AI-geletterdheid zodat medewerkers verantwoord met AI kunnen werken.
Zorg ten slotte voor een vaste rapportage aan directie en raad van commissarissen over AI-risico’s, regelgeving en nieuwe toepassingen.
Deze stappen zijn onafhankelijk van de uiteindelijke risicocategorie en vormen een solide basis voor AI-governance.
Waarom zien sommige organisaties de AI Act als kans?
Na presentaties spreek ik regelmatig bestuurders die de AI Act vooral zien als een nieuwe complianceverplichting.
Andere organisaties reageren heel anders.
Zij gebruiken de AI Act juist als aanleiding om opnieuw na te denken over hoe AI-projecten worden ontworpen.
Dat verschil blijkt opvallend groot.
Organisaties die uitsluitend focussen op compliance vragen vooral: “Wat moeten we minimaal doen?”
Organisaties die AI strategisch inzetten stellen een andere vraag: “Hoe ontwerpen we AI vanaf het begin verantwoord?”
Juist die tweede groep blijkt AI vaak sneller én succesvoller op te schalen.
De AI Act is daarmee niet alleen een juridische ontwikkeling, maar ook een ontwerpfilosofie.
Veelgestelde vragen
Geldt de AI Act ook voor kleinere organisaties?
Ja. De omvang van een organisatie bepaalt niet of de AI Act geldt. De aard van de AI-toepassing en de rol van de organisatie zijn bepalend.
Moeten alle AI-systemen worden geregistreerd?
Nee. Dat hangt af van de risicocategorie en de verplichtingen die daarbij horen.
Is ChatGPT automatisch een hoogrisicosysteem?
Nee. Dat hangt af van hoe een organisatie het systeem gebruikt en binnen welk proces het wordt ingezet.
Wanneer moet een organisatie beginnen met voorbereiden?
Nu. Ook wanneer bepaalde verplichtingen pas later ingaan, kosten governance, documentatie en AI-geletterdheid tijd om goed in te richten.
Conclusie
De EU AI Act gaat niet over het afremmen van kunstmatige intelligentie.
De wet dwingt organisaties om bewuster na te denken over verantwoordelijkheid, transparantie en risico.
Voor bestuurders is dat uiteindelijk de belangrijkste boodschap. Niet iedere organisatie hoeft dezelfde AI-toepassingen te gebruiken, maar iedere organisatie moet kunnen uitleggen waarom zij bepaalde keuzes maakt.
De directies die daar vandaag al structuur in aanbrengen, zullen de komende jaren veel minder moeite hebben om nieuwe AI-toepassingen verantwoord op te schalen.