AI-compliance en de AI-verordening: eisen en termijnen

Gepubliceerd op 11 oktober 2025 · Laatst bijgewerkt op 9 oktober 2026

Gebruikt of ontwikkelt uw organisatie AI, dan geldt de Europese AI-verordening (de EU AI Act, Verordening (EU) 2024/1689) al voor u. De verordening is op 1 augustus 2024 in werking getreden en wordt in fases van toepassing; de zware eisen voor hoog-risico AI gelden pas vanaf 2 december 2027 of 2 augustus 2028.Sinds 2 februari 2025 zijn bepaalde AI-toepassingen verboden en moet u zorgen voor AI-geletterdheid bij uw personeel. Wie een verboden toepassing gebruikt, riskeert volgens artikel 99 van de verordening een boete tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, als dat bedrag hoger is.De verordening werkt met risiconiveaus. Hoe groter het risico van een toepassing voor mensen, hoe strenger de regels. Welke compliance-vereisten voor u gelden, hangt dus af van wat uw AI doet en welke rol u heeft: bouwt u het systeem (aanbieder) of zet u het in (gebruiksverantwoordelijke).Veel organisaties gebruiken vooral AI met een laag risico, zoals spamfilters of vertaalsoftware. Daarvoor gelden weinig of geen extra verplichtingen. Het is wel belangrijk dat u dat per toepassing vaststelt en vastlegt.In dit artikel leggen wij uit welke regels nu al gelden, wat er nog komt en hoe u de juridische eisen vertaalt naar concrete maatregelen in uw organisatie.

Inhoudsopgave

Wat verandert er door de AI-verordening?

Een groep zakelijke professionals bespreekt AI-naleving rond een tafel in een moderne kantoorruimte met een digitaal scherm op de achtergrond.

AI-gebruik is niet langer alleen een ethische of technische keuze. Het is een onderwerp met wettelijke plichten, toezicht en boetes. Dat merkt u in uw inkoop, uw contracten en uw interne processen.

Geldt de verordening ook voor ingekochte AI?

Ja. De verordening geldt voor AI-systemen die u zelf ontwikkelt en voor systemen die u inkoopt en gebruikt. Als gebruiksverantwoordelijke heeft u eigen plichten, bijvoorbeeld bij hoog-risico systemen volgens artikel 26 van de verordening.De verordening deelt AI-systemen in naar risiconiveau:

Minimaal risico
Beperkt risico (transparantieplicht)
Hoog risico
Onaanvaardbaar risico (verboden)

Daarnaast gelden aparte regels voor AI-modellen voor algemene doeleinden, zoals grote taalmodellen. Die regels richten zich vooral op de aanbieders van die modellen.Zonder juridische toets AI in gebruik nemen is dus niet meer verstandig. Compliance is voor elke organisatie die AI gebruikt een vast onderdeel van het werk geworden.

Wat moet u als organisatie regelen?

U moet weten welke AI u gebruikt, in welke risicoklasse die valt en welke plichten daarbij horen. Daarna richt u uw processen zo in dat u die plichten aantoonbaar nakomt.Onderwerpen die vrijwel altijd aan bod komen:

Transparantie over het gebruik van AI richting klanten en medewerkers
Documentatie van de systemen die u gebruikt
Risicobeoordeling van elke AI-toepassing
Controle op hoe de systemen in de praktijk presteren
AI-geletterdheid van uw personeel (artikel 4)

De invoering gaat in stappen. Belangrijke data liggen in 2025, 2026, 2027 en 2028. Voor sommige systemen van overheidsorganisaties loopt een overgangstermijn tot 2030.Stem uw bedrijfsprocessen af op deze tijdlijn. Dat vraagt tijd en budget voor inventarisatie, beleid en training van personeel.De meeste organisaties gebruiken AI in de lagere risicoklassen. Met een goede voorbereiding kunt u dan aan de regels voldoen zonder uw innovatie stil te leggen.Goede naleving levert ook iets op. Klanten en opdrachtgevers vragen steeds vaker om zekerheid over AI-gebruik. Wie dat kan aantonen, heeft een voorsprong bij aanbestedingen en contractonderhandelingen.

Hoe werkt de AI-verordening?

Een groep diverse professionals bespreekt AI-compliance in een modern kantoor met laptops en digitale schermen die AI-technologie en regelgeving tonen.

De AI-verordening is de eerste brede Europese wet over kunstmatige intelligentie. Zij kijkt niet naar de techniek, maar naar het gebruik en de gevolgen daarvan voor mensen.

Welke risicoklassen zijn er?

De verordening kent vier risiconiveaus. Het niveau bepaalt welke regels voor u gelden.

Onaanvaardbaar risico: deze toepassingen zijn verboden (artikel 5)
Hoog risico: strenge eisen aan risicobeheer, data, documentatie en menselijk toezicht
Beperkt risico: u moet mensen informeren dat zij met AI te maken hebben (artikel 50)
Minimaal risico: geen specifieke verplichtingen uit de verordening

Hoog-risico AI-systemen krijgen de zwaarste regels. Het gaat onder meer om systemen voor kritieke infrastructuur, onderwijs, werving en personeelsbeheer, kredietbeoordeling en rechtshandhaving.Aanbieders van deze systemen moeten een risicobeheersysteem en een kwaliteitsmanagementsysteem inrichten. Zij houden technische documentatie bij en zorgen dat het systeem gebeurtenissen automatisch registreert.

Wanneer gaan de regels gelden?

De verordening wordt stapsgewijs van toepassing. De eerste regels gelden sinds 2 februari 2025. Met Verordening (EU) 2026/1744, de zogenoemde Digitale Omnibus voor AI, zijn de termijnen voor hoog-risico AI uitgesteld. Die wijziging is op 24 juli 2026 gepubliceerd en op 27 juli 2026 in werking getreden.De belangrijkste data:

Datum	Wat gaat gelden
1 augustus 2024	Inwerkingtreding van de verordening
2 februari 2025	Verboden AI-praktijken en AI-geletterdheid
2 augustus 2025	Regels voor AI-modellen voor algemene doeleinden, toezichtstructuur en boetes
2 augustus 2026	Transparantieplichten (artikel 50) en de meeste overige bepalingen
2 december 2027	Hoog-risico systemen uit bijlage III (bijvoorbeeld werving, onderwijs, krediet)
2 augustus 2028	Hoog-risico AI in producten die onder Europese productwetgeving vallen (bijlage I)

U heeft dus nog tijd om u voor te bereiden op de hoog-risico regels. Wacht daar niet mee: een inventarisatie en een goede documentatie kosten in de praktijk maanden.Begin nu met het in kaart brengen van uw AI-systemen en het beoordelen van de risico’s. Controleer ook of uw contracten met leveranciers al afspraken over de AI-verordening bevatten.

Wat betekent dit voor de Europese markt?

De verordening verandert de Europese AI-markt. Wie AI-systemen ontwikkelt of gebruikt, moet aantoonbaar aan dezelfde regels voldoen, waar het bedrijf ook is gevestigd. Ook aanbieders van buiten de EU vallen eronder als hun systeem in de EU wordt gebruikt.Voor ontwikkelaars van AI betekent dit hogere kosten voor naleving. U investeert in risicobeheer, documentatie en testen. Voor kleinere bedrijven kan dat zwaar zijn. De verordening houdt daar rekening mee, onder meer met lagere boetemaxima voor het mkb en met testomgevingen van toezichthouders (regulatory sandboxes).Gebruikers van AI krijgen meer zekerheid. Zij mogen verwachten dat systemen die op de Europese markt komen aan de Europese eisen voldoen.De regels kunnen innovatie beïnvloeden. Sommige bedrijven worden voorzichtiger met nieuwe toepassingen. Anderen zien juist kansen in betrouwbare en controleerbare AI.De Europese Unie wil met deze wet een standaard zetten voor verantwoorde AI. Of dat de concurrentiepositie van Europese bedrijven versterkt, zal de praktijk moeten uitwijzen.

Welke eisen gelden per risicoklasse?

De indeling in risicoklassen is de kern van de verordening. Hoog-risico AI krijgt de strengste eisen en een aantal toepassingen is helemaal verboden.

Hoe bepaalt u de risicoklasse?

U kijkt naar het doel waarvoor het systeem wordt gebruikt. De verordening noemt per klasse welke toepassingen eronder vallen.Minimaal risico gaat om gewone toepassingen, zoals spamfilters, vertaalsoftware of AI in computerspellen. Hiervoor gelden geen specifieke plichten uit de verordening. Wel blijft de AVG gelden als u persoonsgegevens verwerkt.Beperkt risico gaat om AI die met mensen communiceert of inhoud maakt, zoals chatbots en deepfakes. Volgens artikel 50 moet u mensen dan laten weten dat zij met AI te maken hebben, of dat beeld, geluid of tekst kunstmatig is gemaakt of bewerkt.Hoog risico gaat om AI met grote gevolgen voor veiligheid of grondrechten. Bijlage III van de verordening noemt acht gebieden: biometrie, kritieke infrastructuur, onderwijs, werk en personeelsbeheer, toegang tot essentiële diensten (zoals krediet en verzekeringen), rechtshandhaving, migratie en grenscontrole, en rechtspraak en democratische processen. Ook AI als veiligheidsonderdeel van producten zoals machines of medische hulpmiddelen kan hoog risico zijn.Onaanvaardbaar risico betekent een verbod. Deze systemen mogen in de EU niet op de markt worden gebracht of worden gebruikt.Twijfelt u over de klasse? Leg dan vast waarom u tot uw oordeel komt. Een aanbieder die meent dat een systeem uit bijlage III toch geen hoog risico vormt, moet die beoordeling volgens artikel 6 lid 4 documenteren.

Welke eisen gelden voor hoog-risico AI?

Hoog-risico AI moet voldoen aan een reeks technische en organisatorische eisen uit de artikelen 9 tot en met 15 van de verordening. De aanbieder draagt daarvoor de hoofdverantwoordelijkheid.Risicobeheer vormt de basis (artikel 9). U herkent, beoordeelt en beperkt risico’s gedurende de hele levensduur van het systeem.Data en datagovernance gaan over de kwaliteit van de datasets (artikel 10). Trainings-, validatie- en testdata moeten relevant en zo representatief mogelijk zijn. U onderzoekt mogelijke vertekening (bias) en legt de herkomst van de data vast.Documentatie en transparantie zijn verplicht (artikelen 11 tot en met 13). De aanbieder stelt technische documentatie op, zorgt dat het systeem gebeurtenissen registreert en geeft gebruikers een duidelijke gebruiksaanwijzing.Menselijk toezicht moet echt mogelijk zijn (artikel 14). Het systeem moet zo zijn ontworpen dat een mens de uitkomsten kan begrijpen, kan ingrijpen en het systeem zo nodig kan stoppen.Nauwkeurigheid, robuustheid en cyberbeveiliging moeten zijn getest (artikel 15). Het systeem moet betrouwbaar blijven werken, ook als omstandigheden veranderen of iemand het probeert te misbruiken.Voor systemen uit bijlage III gelden deze eisen vanaf 2 december 2027. Voor hoog-risico AI in producten onder bijlage I is dat 2 augustus 2028.

Welke toepassingen zijn verboden?

Artikel 5 verbiedt een aantal toepassingen omdat de risico’s voor mensen te groot zijn. Deze verboden gelden sinds 2 februari 2025.Biometrische categorisering om gevoelige kenmerken af te leiden, zoals ras, politieke overtuiging of seksuele geaardheid, is verboden. Ook emotieherkenning op de werkplek en in het onderwijs mag niet, behalve om medische of veiligheidsredenen.Sociale scoring is verboden. Het gaat om systemen die mensen een score geven op basis van hun gedrag of persoonlijke kenmerken, als dat leidt tot nadelige behandeling in een andere context of een onevenredige behandeling. Dit verbod geldt voor overheden én voor bedrijven.Manipulatieve technieken zijn niet toegestaan. AI mag geen subliminale of misleidende technieken gebruiken die gedrag zo sturen dat iemand schade lijdt. Ook het uitbuiten van kwetsbaarheden door leeftijd, beperking of sociale of economische situatie is verboden.Realtime biometrische identificatie op afstand in openbare ruimten door politie en justitie is in beginsel verboden. De uitzonderingen zijn smal: het gericht zoeken naar slachtoffers van bijvoorbeeld ontvoering of mensenhandel, het voorkomen van een concrete dreiging zoals een terroristische aanslag, en het opsporen van verdachten van bepaalde ernstige misdrijven.Verder verboden zijn onder meer het ongericht verzamelen van gezichtsbeelden van internet of camerabeelden voor gezichtsherkenningsdatabanken, en het voorspellen van strafbaar gedrag alleen op basis van profilering. Met de Digitale Omnibus zijn daar verboden bijgekomen op AI die seksueel misbruikmateriaal van kinderen of niet-consensuele intieme deepfakes maakt.Gebruikt u een verboden AI-systeem? Dan riskeert u een boete tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, als dat hoger is. Voor overtreding van de meeste andere plichten is het maximum 15 miljoen euro of 3%.

Hoe richt u AI-compliance in uw organisatie in?

Werk in vaste stappen. U begint met een overzicht van alle AI-toepassingen en eindigt bij concrete technische en organisatorische maatregelen.

Stap 1: breng uw AI-gebruik in kaart

Maak eerst een volledig overzicht van alle AI in uw organisatie. Veel organisaties gebruiken AI zonder dat zij dat weten, bijvoorbeeld via functies in bestaande software.Voorbeelden van AI-toepassingen:

Chatbots en klantenservicesoftware
Automatische verwerking van documenten
Voorspellende analyses in verkoop
Werving- en HR-systemen
Software voor fraudedetectie

Loop elke afdeling na. Marketing gebruikt AI misschien voor personalisatie, finance voor risicoanalyse en HR voor het selecteren van sollicitanten.Voorbeeld van een risico-indeling per toepassing:

Risiconiveau	Voorbeelden	Belangrijkste plichten
Hoog risico	Cv-screening, kredietbeoordeling van personen	Eisen uit de artikelen 9-15, menselijk toezicht, plichten gebruiksverantwoordelijke (artikel 26)
Beperkt risico	Chatbots, door AI gemaakte beelden of teksten	Transparantie richting gebruikers (artikel 50)
Minimaal risico	Spamfilters, vertaalsoftware	Geen specifieke plichten uit de verordening

Leg per toepassing vast welke gegevens het systeem gebruikt. Kijk ook naar de gevolgen voor klanten en medewerkers. Die informatie heeft u later nodig voor de AVG en voor eventuele vragen van een toezichthouder.

Stap 2: stel AI-beleid en een verantwoordelijk team vast

Een team met verschillende disciplines is de basis voor goed bestuur van AI. Dit team stelt beleid op en controleert of dat wordt nageleefd.Wie hoort in het AI-team:

Een IT-verantwoordelijke voor de techniek
Een jurist of compliance officer voor de regelgeving
De privacyfunctionaris (FG) voor gegevensbescherming
Vertegenwoordigers van de afdelingen die AI gebruiken

Het team stelt duidelijke regels op voor het gebruik van AI. Die regels moeten concreet en werkbaar zijn voor medewerkers.Onderdelen van een AI-beleid:

Een goedkeuringsprocedure voor nieuwe AI-toepassingen
Eisen aan de kwaliteit en herkomst van data
Afspraken over transparantie richting klanten
Procedures voor menselijk ingrijpen
Een procedure voor fouten en incidenten met AI

Zorg voor regelmatige training. Sinds 2 februari 2025 vraagt artikel 4 van de verordening dat u werkt aan voldoende AI-geletterdheid bij personeel dat met AI werkt. De Digitale Omnibus heeft die plicht wat verzacht, maar de verwachting blijft dat u er aantoonbaar aandacht aan besteedt.Houd het beleid actueel. Een vaste evaluatie, bijvoorbeeld elk kwartaal, helpt om procedures bij te stellen als uw AI-gebruik of de regels veranderen.

Stap 3: vertaal het beleid naar technische maatregelen

Beleid werkt pas als het in uw systemen terugkomt. U heeft maatregelen nodig die problemen voorkomen en maatregelen om snel te reageren als het toch misgaat.Voorbeelden van technische maatregelen:

Registratie (logging) van beslissingen van AI-systemen
Controle van uitkomsten op vertekening (bias)
Automatische controles op naleving
Vastleggen van de herkomst van data
Versiebeheer van AI-modellen

Met een monitoringsysteem ziet u tijdig wanneer een systeem afwijkend gedrag vertoont of wanneer nieuwe risico’s ontstaan.Stappen bij de invoering:

Kies en installeer monitoringsoftware
Stel meldingen in voor afwijkingen
Train het technische personeel
Test de procedures voor opschaling bij incidenten
Documenteer alle processen

Laat de technische maatregelen aansluiten op uw bestaande processen. Zo blijven zij werkbaar voor medewerkers.Controleer regelmatig, bijvoorbeeld met een interne audit, of de maatregelen nog voldoen. Na een update of vervanging van een AI-systeem is een nieuwe toets nodig.

Welke kernprincipes gelden: transparantie, verantwoording en ethiek?

AI-compliance rust op drie pijlers. U moet kunnen uitleggen hoe uw systemen werken, u moet verantwoording kunnen afleggen en u moet discriminatie voorkomen.

Wat moet u documenteren?

U moet uw AI-systemen kunnen uitleggen aan toezichthouders en aan de mensen over wie het systeem beslist. Daarvoor legt u vast hoe het systeem werkt en welke data het gebruikt.Documentatie omvat onder meer:

Trainingsdata en databronnen
De opbouw van het model en de belangrijkste instellingen
De logica achter beslissingen
Testresultaten en de gebruikte testmethoden

U moet kunnen uitleggen waarom een systeem tot een bepaalde uitkomst kwam. Bij hoog-risico toepassingen zoals kredietbeoordeling of personeelsselectie is dat essentieel. Artikel 86 van de verordening geeft betrokkenen bij bepaalde beslissingen op basis van hoog-risico AI zelfs een recht op uitleg.Schrijf de documentatie zo dat ook niet-technische lezers haar begrijpen. Denk aan bestuurders, de ondernemingsraad en toezichthouders.

Wie is verantwoordelijk en wie houdt toezicht?

Uw organisatie blijft verantwoordelijk voor de uitkomsten van de AI die zij gebruikt. U moet kunnen aantonen dat uw systemen veilig en betrouwbaar werken.Een goede toezichtstructuur bevat:

Periodieke audits van AI-systemen
Doorlopende monitoring van prestaties
Procedures voor opschaling bij problemen
Een duidelijke rolverdeling en eigenaar per systeem

Richt interne controles in die AI-risico’s signaleren en aanpakken. Denk aan technische validatie, maar ook aan processen die garanderen dat een mens de belangrijke beslissingen neemt.Externe toezichthouders kunnen documenten opvragen en systemen onderzoeken. In Nederland zijn de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur aangewezen als coördinerende toezichthouders; de nationale uitvoeringswet was in april 2026 in consultatie. Zorg dat u uw naleving kunt aantonen voordat er een onderzoek komt.

Hoe voorkomt u discriminatie door AI?

AI-systemen mogen geen discriminatie veroorzaken of bestaande vooroordelen versterken. Spoor vertekening actief op en haal die uit uw systemen.Vertekening kan ontstaan door:

Onvolledige of scheve trainingsdata
Aannames van het ontwikkelteam
Historische ongelijkheid in datasets
Groepen die in de data ondervertegenwoordigd zijn

Werk met diverse teams en representatieve data. Test regelmatig of het systeem bepaalde groepen benadeelt.Toets de uitkomsten van uw systemen voor verschillende groepen. Vindt u vertekening, pas het systeem dan aan of bouw extra waarborgen in, zoals een menselijke controle van elke afwijzing.Preventieve maatregelen:

Stel diverse ontwikkelteams samen
Controleer trainingsdata op vertekening
Test algoritmes per doelgroep
Vraag zo nodig een extern ethisch advies

Hoe verhouden AI, privacy en cyberbeveiliging zich?

AI-systemen verwerken vaak grote hoeveelheden persoonsgegevens. De AVG blijft dan volledig van toepassing, naast de AI-verordening. Vooral bij geautomatiseerde besluiten over mensen gelden extra waarborgen.

Hoe past u de AVG toe op AI?

De Algemene Verordening Gegevensbescherming geldt voor elk AI-systeem dat persoonsgegevens verwerkt. U volgt de beginselen uit artikel 5 AVG, zoals dataminimalisatie en doelbinding. Deze vragen liggen op het snijvlak van AI-regels en privacyrecht.Een rechtmatige grondslag uit artikel 6 AVG is nodig voor elke verwerking. U mag niet meer gegevens verzamelen alleen omdat uw AI daar beter van wordt.Het beginsel van dataminimalisatie botst soms met de wens van ontwikkelaars. Machine learning werkt vaak beter met veel data, maar de AVG vraagt dat u zich beperkt tot wat nodig is voor het doel.Transparantie is lastig bij complexe modellen. Mensen hebben recht op zinvolle informatie over de logica achter geautomatiseerde besluiten (artikel 15 lid 1 sub h AVG), ook als een model moeilijk uitlegbaar is.Bouw privacy vanaf het begin in (artikel 25 AVG). Dat vraagt technische én organisatorische maatregelen gedurende de hele levensduur van het systeem. Bij een hoog privacyrisico is een gegevensbeschermingseffectbeoordeling (DPIA) verplicht volgens artikel 35 AVG.

Welke rechten hebben betrokkenen?

Grondrechten krijgen extra aandacht bij AI. Artikel 22 AVG geeft mensen het recht om niet te worden onderworpen aan een besluit dat uitsluitend op geautomatiseerde verwerking berust en dat rechtsgevolgen heeft of hen in aanmerkelijke mate treft. Er gelden uitzonderingen, bijvoorbeeld bij uitdrukkelijke toestemming, maar dan moet u passende waarborgen bieden.Discriminatie is een reëel risico. Scheve trainingsdata leidt snel tot oneerlijke uitkomsten voor bepaalde groepen.Betrokkenen houden hun AVG-rechten, ook als AI hun gegevens verwerkt:

Recht op inzage, inclusief informatie over de logica bij geautomatiseerde besluiten (artikel 15 AVG)
Recht op rectificatie van onjuiste persoonsgegevens (artikel 16 AVG)
Recht van bezwaar, ook tegen profilering (artikel 21 AVG)
Recht op menselijke tussenkomst en om een besluit aan te vechten (artikel 22 lid 3 AVG)

Menselijke tussenkomst is dus belangrijk bij besluiten met grote gevolgen. AI mag ondersteunen, maar een mens moet in die gevallen kunnen meekijken, ingrijpen en het besluit kunnen herzien.Bijzondere persoonsgegevens, zoals gezondheidsgegevens en biometrische gegevens voor identificatie, mag u volgens artikel 9 AVG in beginsel niet verwerken. Alleen met een wettelijke uitzondering en extra waarborgen is dat toegestaan.

Hoe beveiligt u AI-systemen?

AI brengt nieuwe beveiligingsrisico’s mee. Aanvallers richten zich niet alleen op de data, maar ook op het model zelf.Datavergiftiging (data poisoning) ontstaat als kwaadwillenden de trainingsdata manipuleren. Het systeem gaat zich daardoor ongemerkt anders gedragen.Misleidende invoer (adversarial attacks) brengt een model met speciaal aangepaste input tot een foute uitkomst. Een kleine, voor mensen onzichtbare wijziging in een afbeelding kan al genoeg zijn.Beveiligingsmaatregelen voor AI-systemen zijn bijvoorbeeld:

Versleuteling van trainingsdata en modelparameters
Toegangsbeheer voor ontwikkelomgevingen
Monitoring van afwijkend gedrag van het model
Back-ups van betrouwbare trainingsdata

Datagovernance wordt steeds belangrijker voor veilige AI. U moet kunnen laten zien waar uw trainingsdata vandaan komt en hoe u die beschermt tegen manipulatie. Voor hoog-risico AI verlangt artikel 15 van de verordening uitdrukkelijk maatregelen tegen deze aanvallen.Neem AI-specifieke scenario’s op in uw plan voor incidenten. Klassieke beveiligingsmaatregelen dekken niet alle AI-risico’s. Aanbieders van hoog-risico AI moeten ernstige incidenten bovendien melden bij de toezichthouder (artikel 73).

Waar let u als aanbieder van AI op?

Leg per systeem de risicoklasse vast; meent u dat een systeem uit bijlage III toch geen hoog risico vormt, documenteer die beoordeling dan (artikel 6 lid 4).
Richt een risicobeheersysteem en een kwaliteitsmanagementsysteem in voor hoog-risico AI (artikelen 9 en 17).
Houd technische documentatie en automatische logging bij (artikelen 11 en 12).
Geef gebruikers een duidelijke gebruiksaanwijzing (artikel 13).
Richt een procedure in om ernstige incidenten bij de toezichthouder te melden (artikel 73).

Waar let u als gebruiksverantwoordelijke op?

Gebruik een hoog-risicosysteem volgens de gebruiksaanwijzing van de aanbieder (artikel 26).
Wijs medewerkers aan die het menselijk toezicht uitoefenen en daarvoor zijn opgeleid.
Bewaar de logs die het systeem aanmaakt, voor zover die onder uw beheer staan.
Vertel klanten dat zij met een chatbot praten en maak deepfakes als zodanig bekend (artikel 50).
Neem in uw inkoopcontract afspraken op over documentatie, incidenten en aansprakelijkheid.

Wat kunnen wij voor u doen bij AI-compliance?

Wij helpen uw organisatie de AI-verordening te vertalen naar concrete afspraken, beleid en documenten.

Wij inventariseren met u welke AI-toepassingen u gebruikt en bepalen per toepassing de risicoklasse en uw rol.
Wij toetsen of een toepassing onder de verboden van artikel 5 valt, en leggen de onderbouwing vast.
Wij stellen een AI-beleid op, met een goedkeuringsprocedure, regels voor menselijk toezicht en een incidentenprocedure.
Wij beoordelen en onderhandelen uw contracten met AI-leveranciers.
Wij beoordelen hoe de AVG en de AI-verordening samen uitpakken, inclusief de DPIA (artikel 35 AVG).
Wij staan u bij als de Autoriteit Persoonsgegevens of een andere toezichthouder vragen stelt.

Samengevat

De AI-verordening geldt sinds 1 augustus 2024; verboden praktijken en AI-geletterdheid gelden sinds 2 februari 2025.
De transparantieplichten voor onder meer chatbots en deepfakes gelden vanaf 2 augustus 2026.
Door de Digitale Omnibus gelden de hoog-risico eisen vanaf 2 december 2027 (bijlage III) en 2 augustus 2028 (bijlage I).
Boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde jaaromzet bij verboden AI.
De AVG blijft naast de AI-verordening volledig gelden; begin met een inventarisatie van al uw AI-toepassingen.

Veelgestelde vragen

Wat zijn de belangrijkste compliance-eisen voor AI-systemen?

De AI-verordening deelt AI-systemen in naar risico. Systemen met een onaanvaardbaar risico zijn sinds 2 februari 2025 verboden.

Hoog-risico systemen moeten voldoen aan eisen voor risicobeheer, datakwaliteit, documentatie, menselijk toezicht en cyberbeveiliging. Voor chatbots en deepfakes geldt vanaf 2 augustus 2026 een transparantieplicht.

De zwaarste eisen gelden onder meer voor AI in kritieke infrastructuur, werving en personeelsbeheer, kredietbeoordeling en medische hulpmiddelen.

Hoe bereidt uw organisatie zich voor op de AI-verordening?

Breng al uw AI-toepassingen in kaart en bepaal per toepassing de risicoklasse. Leg vast of u aanbieder of gebruiksverantwoordelijke bent.

Voor hoog-risico systemen uit bijlage III heeft u tot 2 december 2027. Gebruik die tijd voor risicoanalyses, documentatie en afspraken met leveranciers.

Stel een verantwoordelijk team en een AI-beleid vast. De lastigste stap is meestal het vertalen van juridische eisen naar technische maatregelen.

Hoe beïnvloedt de AVG de ontwikkeling van AI?

De AVG stelt eisen aan elke verwerking van persoonsgegevens door AI. U heeft altijd een rechtmatige grondslag nodig.

Mensen hebben recht op informatie over de logica achter geautomatiseerde besluiten. Volgens artikel 22 AVG mogen besluiten met rechtsgevolgen in beginsel niet uitsluitend geautomatiseerd worden genomen.

Dataminimalisatie en privacy by design gelden ook voor AI. Bij een hoog privacyrisico is een DPIA verplicht.

Hoe waarborgt u ethische principes bij AI-toepassingen?

Zorg dat uw AI-systemen bepaalde groepen niet benadelen. Test de uitkomsten regelmatig op vertekening.

Houd menselijke controle over belangrijke beslissingen. Een mens moet een besluit kunnen herzien.

Maak uitlegbaar hoe het systeem tot een uitkomst komt. Monitor de prestaties doorlopend en grijp in als het systeem afwijkt.

Wie houdt toezicht op AI en welke instanties zijn betrokken?

Op Europees niveau houdt het AI-bureau van de Europese Commissie toezicht op AI-modellen voor algemene doeleinden. Nationale markttoezichthouders handhaven de overige regels in hun eigen land.

In Nederland zijn de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur de coördinerende toezichthouders. Toezichthouders kunnen documenten opvragen en systemen onderzoeken.

Iedereen kan een klacht indienen bij een markttoezichthouder (artikel 85). Aanbieders van hoog-risico AI moeten ernstige incidenten melden.

Wat zijn de gevolgen als u de regels niet naleeft?

Bij verboden AI kan de boete oplopen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, als dat hoger is. Voor de meeste andere overtredingen is het maximum 15 miljoen euro of 3%. Voor het mkb geldt het laagste van de twee bedragen.

Een toezichthouder kan ook eisen dat u een systeem aanpast of uit de handel neemt.

Daarnaast loopt u het risico op reputatieschade en aansprakelijkheid. Wie schade lijdt door een AI-systeem dat niet aan de regels voldoet, kan u daarvoor aanspreken via het gewone Nederlandse aansprakelijkheidsrecht.

Meer over hoe Law & More u hierbij helpt, leest u op de pagina ICT-recht advocaat.

AI-compliance: wat de AI-verordening van uw organisatie vraagt