GIDS / AI-INTEGRATIES
De AI Act uitgelegd: wat betekent hij voor jouw software?
De AI Act, officieel de Europese AI-verordening, regelt AI naar risico: hoe groter de kans op schade voor mensen, hoe zwaarder de eisen. Een paar toepassingen zijn verboden, toepassingen in onder meer werving, personeel en krediet zijn hoog risico, chatbots en gegenereerde content hebben een transparantieplicht, en voor de meeste bedrijfstoepassingen geldt weinig extra. Hieronder hoe de wet werkt, wat wanneer geldt, wie bij maatwerk welke rol heeft, en welke keuzes wij in de software maken om er vanaf het begin op ingericht te zijn. Dit is uitleg, geen juridisch advies.
Raffael, Software-architect · Bijgewerkt op
In het kort
Wat is de AI Act?
De AI Act is een Europese verordening en geldt dus direct in alle EU-landen, zonder Nederlandse wet ertussen. Hij gaat niet over AI als techniek, maar over toepassingen: dezelfde technologie kan in de ene toepassing vrijwel vrij zijn en in de andere streng gereguleerd.
De wet kent rollen. De aanbieder ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam in gebruik. De gebruiksverantwoordelijke zet het in binnen zijn bedrijf. Elke rol heeft eigen plichten, en die verschillen per risiconiveau.
Welke risiconiveaus zijn er?
De wet deelt toepassingen in vier niveaus in. Waar jouw toepassing valt, bepaalt wat je moet doen:
| Niveau | Wat valt eronder | Wat het betekent |
|---|---|---|
| Verboden | Onder meer social scoring, manipulatie die mensen schaadt en emotieherkenning op de werkvloer | Mag niet, sinds februari 2025 |
| Hoog risico | Onder meer werving en selectie, taken toewijzen of prestaties beoordelen van werknemers, kredietwaardigheid, onderwijs | Risicobeheer, documentatie, logging, menselijk toezicht en een conformiteitsbeoordeling |
| Transparantie | Chatbots, en tekst, beeld of geluid die door AI is gemaakt | Mensen moeten weten dat ze met AI te maken hebben |
| Minimaal | Bijvoorbeeld gegevens uit een mail halen, een spamfilter, een samenvatting voor intern gebruik | Geen extra eisen uit de AI Act, wel AI-geletterdheid en gewoon de AVG |
Wat is de tijdlijn van de AI Act?
De AI Act geldt in stappen. Met een aanvullend Europees pakket, de AI Omnibus, zijn de eisen voor hoog-risicotoepassingen later gelegd dan oorspronkelijk gepland. Volgens de Europese Commissie ziet de tijdlijn er nu zo uit:
2 februari 2025
Verboden toepassingen niet meer toegestaan. De plicht rond AI-geletterdheid van medewerkers gaat in.
2 augustus 2025
Regels voor AI-modellen voor algemene doeleinden, zoals de grote taalmodellen.
Augustus 2026
De wet is grotendeels van toepassing, inclusief de transparantieregels.
2 december 2027
Eisen voor hoog-risicotoepassingen uit bijlage III, zoals werving, personeel en krediet.
2 augustus 2028
Eisen voor AI in gereguleerde producten, zoals machines en medische hulpmiddelen.
Wie is aanbieder als je software op maat laat bouwen?
Dit is de vraag die bij maatwerk het vaakst over het hoofd wordt gezien. Volgens de definitie in de wet is ook een bedrijf dat een AI-systeem laat ontwikkelen en het onder eigen naam in gebruik neemt, aanbieder. Laat je een systeem voor je eigen bedrijf bouwen, dan kun jij als opdrachtgever dus aanbieder zijn, ook al schrijft iemand anders de code.
Voor de meeste toepassingen met minimaal risico maakt dat weinig uit. Bij hoog risico wel, want dan rusten de zwaarste plichten op de aanbieder. Daarom leggen we aan het begin van een project samen vast welke rol wie heeft, en wat dat betekent voor documentatie en toezicht.
Wat betekent dit voor de meeste mkb-bedrijven?
Minder dan je zou denken. De meeste AI-toepassingen in het mkb lezen tekst, vullen gegevens in, vatten samen of zetten een concept klaar. Dat valt onder minimaal risico, of onder transparantie als klanten direct met de AI praten.
Wat wel voor iedereen geldt: zorg dat medewerkers die met AI werken weten wat het kan en waar het fout gaat, wees open als klanten met een chatbot of AI-tekst te maken hebben, en houd je aan de AVG. Die laatste blijft volledig van kracht, en is bij AI met klant- of personeelsgegevens vaak de strengste van de twee.
Hoe richten wij software in op de AI Act?
Een label 'compliant' zegt weinig, want of een systeem aan de wet voldoet, hangt af van hoe en waarvoor het gebruikt wordt. Wat we wel doen, is het systeem zo bouwen dat het bij elke stap aansluit op wat de wet vraagt. Zo lopen we dat in een project door:
Toepassing indelenMens
Per AI-functie bepalen we het risiconiveau en leggen we dat vast. Bij twijfel richting hoog risico betrekken we een jurist.
Rollen vastleggenMens
Wie is aanbieder, wie gebruiksverantwoordelijke, en wie doet wat aan documentatie en toezicht.
AI stelt voor, een mens beslistRegels
Elke actie van de AI wacht op goedkeuring. Bedragen, uren en rangschikkingen komen uit geteste code.
Alles wordt gelogdSysteem
Welk voorstel de AI deed, wie het goedkeurde of aanpaste, en wanneer.
Gegevens beperkt en in de EUSysteem
Alleen de tekst die nodig is gaat naar het model, standaard een Europees model met EU-hosting.
Transparant naar gebruikersSysteem
AI-voorstellen zijn herkenbaar als AI, en een chatbot zegt dat hij een chatbot is.
Documentatie bij opleveringMens
Wat het systeem doet, welk model, de bekende beperkingen en hoe het toezicht werkt.
Wat bouwen we bewust niet?
Sommige dingen laten we weg, ook als het technisch kan. Geen emotieherkenning bij medewerkers, want die is op de werkvloer verboden. Geen systemen die medewerkers rangschikken op gedrag of prestaties en daar zelf taken of beslissingen aan koppelen. En geen AI die zonder menselijke goedkeuring berichten verstuurt, betalingen doet of gegevens wijzigt.
Wil je een toepassing die wel in de categorie hoog risico valt, dan kan dat, maar dan als bewuste keuze met de bijbehorende eisen, niet als bijvangst van een handige functie.
Zelf aan de slag?
AI-integraties
Wil je dit toegepast zien in je eigen systeem? Bekijk hoe we AI-integraties bouwen.
Bekijk AI-integraties →Veelgestelde vragen
Wat je waarschijnlijk wilt weten.
Wat gebeurt er als je je niet aan de AI Act houdt?+
Er staan boetes op die kunnen oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor verboden toepassingen, en tot 15 miljoen of 3 procent voor andere overtredingen. Voor mkb-bedrijven geldt het laagste van die twee bedragen.
Is AI-geletterdheid verplicht?+
Ja. Sinds 2 februari 2025 vraagt de AI Act van bedrijven die AI inzetten dat medewerkers die ermee werken genoeg weten van wat het kan, waar het fout gaat en welke risico's erbij horen. Er is geen vast certificaat voorgeschreven. Voor de meeste mkb-bedrijven komt het neer op uitleg en duidelijke afspraken over hoe je AI gebruikt.
Valt ChatGPT gebruiken op kantoor ook onder de AI Act?+
Ja, als gebruiksverantwoordelijke. Voor gewoon gebruik betekent dat vooral: zorg dat je mensen weten wat het kan en niet kan. Daarnaast speelt de AVG zodra je klant- of personeelsgegevens invoert.
Mag je klantgegevens in ChatGPT zetten? →Is een planningssysteem met AI hoog risico?+
Dat hangt af van waarop het plant. Planning op beschikbaarheid, certificaten, locatie en werktijden is iets anders dan taken toewijzen op basis van gedrag of persoonlijke kenmerken van medewerkers. Dat laatste valt onder hoog risico.
AI-planning: wat kan het wel en niet? →Zijn jullie systemen AI Act compliant?+
We bouwen met de AVG en de AI Act als uitgangspunt: menselijke goedkeuring, logging, dataminimalisatie, EU-hosting en documentatie. Of een systeem aan de wet voldoet, hangt ook af van hoe jij het inzet, dus dat beoordelen we samen per toepassing, en niet met een los label.
Even bellen?
Liever eerst even bellen?
Contact
Aan de slag met AI-integraties?
Plan een vrijblijvende intake. We kijken naar jouw proces en wat het oplevert. Reactie binnen 1 werkdag.
Of mail ons op info@codesmid.nl