De Europese AI-verordening: een praktisch overzicht

Het juridisch kader

Verordening (EU) 2024/1689, de AI-verordening (AI Act), is op 1 augustus 2024 in werking getreden en wordt stap voor stap van toepassing. Het is de eerste horizontale regeling van AI in de EU en ze kiest voor een risicogebaseerde aanpak: hoe groter het risico van een AI-systeem voor gezondheid, veiligheid of grondrechten, hoe strenger de regels.

Een AI-systeem wordt in artikel 3, 1) omschreven als een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en dat, voor expliciete of impliciete doelstellingen, uit de input die het ontvangt afleidt hoe het outputs genereert, zoals voorspellingen, inhoud, aanbevelingen of beslissingen die fysieke of virtuele omgevingen kunnen beïnvloeden. Software met vaste regels die niets afleidt, valt buiten die definitie.

De verordening geldt voor aanbieders die AI-systemen of AI-modellen voor algemene doeleinden in de EU in de handel brengen, voor gebruiksverantwoordelijken die in de EU zijn gevestigd of zich er bevinden en, volgens artikel 2, voor aanbieders en gebruiksverantwoordelijken in derde landen als hun output in de EU wordt gebruikt. Ze geldt niet voor systemen die uitsluitend voor militaire doeleinden of nationale veiligheid worden gebruikt, niet voor wetenschappelijk onderzoek en ontwikkeling voordat een systeem in de handel komt, en niet voor louter persoonlijk, niet-professioneel gebruik.

De verordening kent vier niveaus:

• Verboden praktijken (artikel 5), zoals social scoring, manipulatieve technieken die aanzienlijke schade veroorzaken, het ongericht scrapen van gezichtsafbeeldingen en emotieherkenning op de werkplek en in het onderwijs. Die gelden sinds 2 februari 2025.
• Hoogrisicosystemen (artikel 6 en bijlagen I en III), bijvoorbeeld AI bij werving, onderwijs, kredietscoring of als veiligheidscomponent van gereguleerde producten. Ze moeten voldoen aan eisen voor risicobeheer, datakwaliteit, documentatie, logging, menselijk toezicht, nauwkeurigheid en robuustheid.
• Transparantieverplichtingen (artikel 50), voor chatbots, synthetische inhoud zoals deepfakes en emotieherkenning of biometrische categorisering. Die gelden vanaf 2 augustus 2026.
• Alle andere systemen, waarvoor geen specifieke verplichtingen gelden, al geldt artikel 4 over AI-geletterdheid voor elke aanbieder en gebruiksverantwoordelijke.

AI-modellen voor algemene doeleinden hebben een eigen hoofdstuk. Aanbieders moeten technische documentatie bijhouden, informatie geven aan downstreamaanbieders, het Europese auteursrecht naleven en een samenvatting van de trainingsinhoud publiceren. Modellen met systeemrisico hebben extra plichten. Die verplichtingen gelden sinds 2 augustus 2025.

De boetes onder artikel 99 bedragen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor verboden praktijken, 15 miljoen euro of 3% voor de meeste andere inbreuken en 7,5 miljoen euro of 1% voor het geven van onjuiste informatie aan autoriteiten. Voor kmo's geldt het laagste van de twee bedragen.

Het uitstel van 2026

In november 2025 stelde de Commissie een "Digitale Omnibus" voor om de hoogrisicoregels uit te stellen. Die is aangenomen als Verordening (EU) 2026/1744 en geldt sinds 27 juli 2026. De hoogrisicoverplichtingen voor systemen uit bijlage III gelden nu vanaf 2 december 2027, en voor systemen die een veiligheidscomponent zijn van producten uit bijlage I vanaf 2 augustus 2028. De transparantieverplichtingen van artikel 50 zijn niet uitgesteld. De tijdlijn legt de details uit.

In de praktijk

Een Gents softwarebedrijf verkoopt een HR-platform dat sollicitanten rangschikt en ook een chatbot gebruikt om vragen van klanten te beantwoorden. De rangschikking wordt gebruikt voor werving, een hoogrisicodomein in bijlage III. Als aanbieder moet het bedrijf dus aan de hoogrisico-eisen voldoen zodra die gelden. De chatbot is geen hoogrisico, maar moet gebruikers melden dat ze met een AI-systeem praten, tenzij dat duidelijk is.

De klanten van het bedrijf, bijvoorbeeld een Belgische retailer, zijn gebruiksverantwoordelijken. Zij moeten het systeem gebruiken volgens de instructies, zorgen voor menselijk toezicht en kandidaten en werknemersvertegenwoordigers informeren. Zie aanbieder of gebruiksverantwoordelijke.

De eerste stap is voor beide partijen dezelfde: de systemen op een rij zetten, classificeren en de rol noteren. Ons register is daarvoor gebouwd, en het verwerkingsregister dekt de betrokken persoonsgegevens.

Veelgestelde vragen

Geldt de AI-verordening voor een bedrijf dat alleen ChatGPT of vergelijkbare tools gebruikt?

Ja, als gebruiksverantwoordelijke. De verplichtingen zijn beperkt bij gewoon kantoorgebruik, maar artikel 4 over AI-geletterdheid geldt, en afhankelijk van het gebruik kunnen transparantie- of hoogrisicoplichten ontstaan.

Vervangt de AI-verordening de GDPR?

Nee. Beide gelden als een AI-systeem persoonsgegevens verwerkt. Zie AI Act en GDPR.

Zijn kmo's vrijgesteld?

Nee. Kmo's krijgen lagere maximumboetes en een paar vereenvoudigingen, maar de inhoudelijke plichten voor hoogrisicosystemen gelden ongeacht de omvang.

Wie ziet toe op de naleving?

Nationale markttoezichtautoriteiten houden toezicht op de meeste systemen; het AI-bureau van de Commissie op AI-modellen voor algemene doeleinden. Welke Belgische autoriteiten bevoegd zijn, bevestig je bij een concreet dossier.

Hoe dit samenhangt

Onze dienstverlening AI Act-compliance vertaalt dit kader naar een inventaris, een classificatie en een plan. De artikelen over risicoclassificatie en conformiteitsbeoordelingen gaan dieper in op de twee stappen die het meest tellen.