De EU AI Act: wat betekent deze wet voor uw bedrijf?
De EU AI Act is de Europese verordening die AI-systemen indeelt naar risico en daar eisen aan koppelt. Voor de meeste bedrijven die AI laten bouwen of inzetten, draait het nu vooral om transparantie: gebruikers moeten weten wanneer ze met AI te maken hebben. De zwaardere eisen voor hoog-risico AI zijn recent uitgesteld naar december 2027. Deze pagina legt uit wat voor u geldt en wanneer. Dit is geen juridisch advies.
Wat is de EU AI Act?
De EU AI Act is de Europese AI-verordening, formeel Verordening (EU) 2024/1689, die op 1 augustus 2024 in werking trad. Het is wereldwijd de eerste brede wet die AI-systemen reguleert op basis van het risico dat ze vormen voor de gezondheid, veiligheid en grondrechten van mensen. Hoe hoger het risico van een toepassing, hoe zwaarder de eisen die eraan worden gesteld.
De verordening is rechtstreeks werkend recht in alle EU-lidstaten. Er is dus geen Nederlandse omzettingswet nodig zoals bij een richtlijn, maar Nederland regelt via een uitvoeringswet wel wie er toezicht houdt en hoe overtredingen worden gehandhaafd. Dat wetsvoorstel doorloopt op dit moment nog het wetgevingsproces.
Voor bedrijven die zelf AI laten bouwen of AI-diensten inzetten, is de kernvraag steeds dezelfde: in welke risicocategorie valt onze toepassing, en welke verplichtingen horen daarbij?
De vier risicocategorieen
Onaanvaardbaar risico: verboden
Deze categorie omvat AI-praktijken die onverenigbaar zijn met fundamentele rechten en daarom simpelweg verboden zijn. Denk aan social scoring van burgers, het manipuleren van gedrag via subliminale technieken, het ongericht schrapen van gezichten uit camerabeelden voor gezichtsherkenningsdatabases, en emotieherkenning op de werkvloer of op school. Dit verbod geldt al sinds 2 februari 2025.
Hoog risico: zware verplichtingen
Hoog-risico systemen staan met naam genoemd in de bijlagen van de verordening: onder meer aanwervingsselectie en personeelsbeoordeling, kredietwaardigheidsbeoordeling, bepaalde toepassingen in kritieke infrastructuur, toelating tot onderwijs, en risicobeoordelingen in rechtshandhaving en migratie. Voor deze systemen gelden strenge eisen aan risicobeheer, datakwaliteit, technische documentatie, logging en menselijk toezicht, voordat het systeem op de markt mag komen.
Beperkt risico: transparantieplicht
Deze categorie draait om artikel 50 van de verordening: gebruikers moeten weten dat ze met AI te maken hebben. Denk aan chatbots die zich als AI moeten identificeren, AI-gegenereerde afbeeldingen, audio, video en tekst die machineleesbaar gemarkeerd moeten worden, en deepfakes die duidelijk als kunstmatig gegenereerd of gemanipuleerd herkenbaar moeten zijn.
Minimaal risico: geen verplichtingen
Het overgrote deel van de AI-toepassingen die nu al op de Europese markt zijn, zoals spamfilters of AI in videogames, blijft ongereguleerd. Wel adviseert de verordening providers om ook hier vrijwillig gedragscodes te volgen.
Provider of deployer: wie heeft welke verplichtingen?
De verordening onderscheidt twee hoofdrollen. Een provider ontwikkelt een AI-systeem, of laat het ontwikkelen, en brengt het onder eigen naam op de markt. Een deployer gebruikt een AI-systeem onder eigen verantwoordelijkheid binnen een professionele context.
Laat u AI-functionaliteit bouwen die alleen intern gebruikt wordt, dan bent u doorgaans deployer. Biedt u die functionaliteit ook aan klanten of derden aan, dan kunt u mede als provider gelden, met bijbehorende extra verplichtingen.
Verplichtingen van providers van hoog-risico systemen
Een risicobeheersysteem dat de hele levenscyclus bestrijkt, zorgvuldige datagovernance voor training-, validatie- en testdata, technische documentatie, automatische logging voor traceerbaarheid, heldere instructies voor gebruik, een ontwerp dat menselijk toezicht mogelijk maakt, en aantoonbare nauwkeurigheid, robuustheid en cyberbeveiliging.
Verplichtingen van deployers
Deployers hebben minder, maar wel concrete verplichtingen: het daadwerkelijk uitoefenen van het menselijk toezicht waarvoor het systeem is ontworpen, het opvolgen van de instructies van de provider, en het monitoren van de werking van het systeem in de eigen praktijk.
De gefaseerde tijdlijn (met een belangrijk uitstel)
De verordening treedt niet in een keer volledig in werking, maar in fasen. Dat is voor bedrijven op dit moment extra relevant, omdat een deel van de tijdlijn recent is aangepast.
2 februari 2025
Het verbod op onaanvaardbare AI-praktijken gaat in, samen met de verplichting voor organisaties om voldoende AI-geletterdheid te waarborgen bij personeel dat met AI-systemen werkt (artikel 4).
2 augustus 2025
De verplichtingen voor aanbieders van general-purpose AI-modellen gaan in, samen met de governancestructuur en de bepalingen over boetes.
2 augustus 2026
De transparantieverplichtingen van artikel 50 worden van kracht: het kenbaar maken van AI-interactie, het markeren van AI-gegenereerde content, en het informeren van betrokkenen bij emotieherkenning of biometrische categorisering.
2 december 2027 (was: 2 augustus 2026)
De verplichtingen voor losstaande hoog-risico AI-systemen (bijlage III) zouden oorspronkelijk op 2 augustus 2026 ingaan. Na een politiek akkoord tussen de Raad en het Europees Parlement over de Digital Omnibus op 7 mei 2026, met definitieve goedkeuring door de Raad op 29 juni 2026, is deze datum verschoven naar 2 december 2027. Deze wijziging moet nog formeel gepubliceerd worden in het Publicatieblad van de EU voordat ze rechtsgeldig is.
2 augustus 2028
Voor hoog-risico AI die is ingebed in producten die al onder Europese productveiligheidswetgeving vallen (bijlage I), geldt de verlengde overgangstermijn tot deze datum.
Wat betekent dit praktisch voor software die u laat bouwen?
Voor de meeste bedrijven die nu AI laten bouwen, zijn twee dingen het meest urgent. Ten eerste de transparantieplicht van 2 augustus 2026: gebruikt uw software een chatbot, genereert ze content, of herkent ze emoties, dan moet dat kenbaar zijn voor de gebruiker. Ten tweede AI-geletterdheid: medewerkers die met AI-systemen werken, moeten voldoende begrijpen wat het systeem doet en waar de grenzen liggen.
Bouwt u of overweegt u een toepassing die dichter bij een hoog-risico-categorie ligt, zoals een sollicitatiefilter of een kredietbeoordelingstool, dan is het verstandig om nu al met de eisen van bijlage III rekening te houden in het ontwerp, ook al is de harde deadline verschoven naar december 2027. Documentatie, logging en menselijk toezicht zijn dingen die u beter vanaf de architectuur meeneemt dan er achteraf aan toevoegt.
Wij bepalen niet voor u of, en in welke categorie, uw toepassing valt. Dat is een juridische kwalificatie waarvoor wij verwijzen naar gespecialiseerd advies en naar de Autoriteit Persoonsgegevens. Wel bouwen wij de techniek zo dat de vereiste transparantie, documentatie en het toezicht mogelijk zijn.
Boetes bij overtreding
Artikel 99 van de verordening kent drie niveaus. Overtreding van het verbod op onaanvaardbare AI-praktijken kan leiden tot een boete tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, wat hoger uitvalt. De meeste overige verplichtingen, waaronder de eisen voor hoog-risico systemen en de transparantieplicht, kunnen worden beboet met maximaal 15 miljoen euro of 3 procent van de omzet. Het verstrekken van onjuiste, onvolledige of misleidende informatie aan toezichthouders kan leiden tot een boete tot 7,5 miljoen euro of 1 procent van de omzet.
Voor mkb-bedrijven en startups geldt per niveau steeds het laagste van de twee bedragen, niet het hoogste.
Toezicht in Nederland
Nederland werkt aan een uitvoeringswet die regelt welke toezichthouders verantwoordelijk zijn voor de AI Act. Het kabinet kiest voor een hybride model: meerdere bestaande sectortoezichthouders beoordelen AI binnen hun eigen domein. De Autoriteit Persoonsgegevens is sinds 2023 coordinerend toezichthouder op algoritmes en AI en krijgt een sleutelrol, onder meer voor de transparantieverplichtingen en voor hoog-risico toepassingen waarvoor nog geen specifieke sectortoezichthouder is aangewezen.
Dit wetsvoorstel doorloopt op dit moment nog het wetgevingsproces. De precieze verdeling van het toezicht kan daardoor nog wijzigen. Wij volgen deze ontwikkeling, maar geven hierover geen juridisch advies.
Hoe wij bouwen met het oog op de AI Act
Wanneer wij AI-functionaliteit voor u bouwen, documenteren we wat het AI-onderdeel doet en welke data het gebruikt, richten we logging in waar dat relevant is, en zorgen we dat gebruikers kunnen zien wanneer ze met AI te maken hebben. Waar menselijk toezicht een rol speelt, ontwerpen we daar expliciet ruimte voor, in plaats van het achteraf toe te voegen.
Dit sluit aan op ons bredere werk rond AI agents voor bedrijven en op de manier waarop we software bouwen met het oog op de Cyberbeveiligingswet (NIS2): regelgeving als uitgangspunt voor het ontwerp, niet als checklist achteraf. Overweegt u een bredere AI-strategie voor uw organisatie, dan denken we daar ook op strategisch niveau in mee via AI-strategie laten maken.
Veelgestelde vragen over de EU AI Act
De EU AI Act is de Europese AI-verordening (Verordening (EU) 2024/1689), sinds 1 augustus 2024 in werking. Het is de eerste brede wetgeving ter wereld die AI-systemen reguleert op basis van hun risico voor mensen: hoe hoger het risico van een toepassing, hoe strenger de eisen. De verordening geldt rechtstreeks in alle EU-lidstaten en dus ook in Nederland, zonder dat daarvoor een aparte nationale wet nodig is. Wel regelt Nederland via een uitvoeringswet wie er toezicht houdt. Wij baseren ons op de officiele wettekst en verwijzen voor uw juridische kwalificatie naar die bron en naar gespecialiseerd juridisch advies.
De wet onderscheidt vier categorieen. Onaanvaardbaar risico is verboden, denk aan social scoring en ongerichte gezichtsherkenning uit publieke camerabeelden; dit verbod geldt sinds 2 februari 2025. Hoog risico betreft toepassingen zoals aanwervingsselectie, kredietbeoordeling en bepaalde toepassingen in kritieke infrastructuur, onderwijs en rechtshandhaving, met zware verplichtingen rond risicobeheer, data, documentatie en menselijk toezicht. Beperkt risico betreft transparantieverplichtingen, zoals het kenbaar maken dat een gebruiker met een chatbot praat of dat content AI-gegenereerd is. Minimaal risico blijft ongereguleerd, zoals een spamfilter.
Ja. De verplichtingen voor hoog-risico AI-systemen (Annex III) zouden oorspronkelijk vanaf 2 augustus 2026 gelden. Na een politiek akkoord tussen de Raad en het Europees Parlement op 7 mei 2026 over de Digital Omnibus, met definitieve goedkeuring door de Raad op 29 juni 2026, is die datum verschoven naar 2 december 2027. Voor hoog-risico AI die is ingebed in producten die al onder Europese productveiligheidswetgeving vallen (Annex I) geldt 2 augustus 2028. Belangrijk: deze wijziging moet nog formeel worden gepubliceerd in het Publicatieblad van de EU voordat ze rechtsgeldig is. De transparantieverplichtingen van artikel 50 en de AI-geletterdheidsplicht van artikel 4 zijn niet uitgesteld en blijven op hun oorspronkelijke datum.
Een provider ontwikkelt een AI-systeem of laat het ontwikkelen en brengt het onder eigen naam op de markt. Een deployer gebruikt een AI-systeem onder eigen verantwoordelijkheid in een professionele context. Als u een AI-oplossing laat bouwen die alleen intern gebruikt wordt, bent u doorgaans deployer; als u de oplossing ook aan anderen aanbiedt, kunt u (mede) als provider gelden. Providers van hoog-risico systemen hebben de zwaarste verplichtingen: risicobeheer, datagovernance, technische documentatie, logging, instructies voor gebruik en een ontwerp dat menselijk toezicht mogelijk maakt. Deployers moeten dat toezicht ook daadwerkelijk uitoefenen en zich aan de instructies van de provider houden.
Artikel 99 kent drie niveaus. Overtreding van het verbod op onaanvaardbare AI-praktijken kan leiden tot een boete tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet, wat hoger is. De meeste overige verplichtingen, waaronder de eisen voor hoog-risico systemen en de transparantieplicht, kunnen worden beboet met maximaal 15 miljoen euro of 3 procent van de omzet. Het verstrekken van onjuiste of misleidende informatie aan toezichthouders kan leiden tot een boete tot 7,5 miljoen euro of 1 procent van de omzet. Voor mkb-bedrijven en startups geldt per niveau het laagste van de twee bedragen in plaats van het hoogste.
Nederland werkt aan een uitvoeringswet die regelt welke toezichthouders verantwoordelijk zijn. Het kabinet kiest voor een hybride model met meerdere bestaande sectortoezichthouders die AI binnen hun eigen domein beoordelen. De Autoriteit Persoonsgegevens is sinds 2023 coordinerend toezichthouder op algoritmes en AI en krijgt een sleutelrol, onder meer voor de transparantieverplichtingen en voor hoog-risico toepassingen waar nog geen sectortoezichthouder voor is aangewezen. Het wetsvoorstel doorloopt nog het wetgevingsproces; de definitieve inrichting van het toezicht kan daardoor nog wijzigen.
Wij bouwen AI-functionaliteit met de verordening als uitgangspunt: heldere documentatie van wat een AI-onderdeel doet en welke data het gebruikt, logging en menselijk toezicht waar dat relevant is, en duidelijke labeling wanneer gebruikers met een AI-systeem communiceren of AI-gegenereerde content zien. Wij geven geen juridisch advies en bepalen niet in welke risicocategorie uw toepassing valt; daarvoor verwijzen wij naar gespecialiseerd juridisch advies en de Autoriteit Persoonsgegevens. Wel zorgen we dat de techniek de vereiste transparantie en het toezicht ondersteunt.
AI-functionaliteit laten bouwen met de AI Act als uitgangspunt?
Vertel ons waar u AI voor wilt inzetten en wie de gebruikers zijn. Wij bouwen de transparantie, documentatie en het toezicht mee vanaf het ontwerp, zodat uw software aansluit op de verordening. Voor uw juridische kwalificatie verwijzen we naar gespecialiseerd advies en de Autoriteit Persoonsgegevens.