Wat is de AI Act in Europa? En wat zijn de belangrijkste bepalingen en gevolgen van de AI Act voor AI-ontwikkelaars en gebruikers in Europa? Wat betekent de AI Act voor bedrijven die AI-systemen in Europa aanbieden of gebruiken?
De AI Act (voluit de Verordening (EU) 2024/1689 tot vaststelling van geharmoniseerde regels inzake artificiële intelligentie) is het allereerste alomvattende rechtskader inzake AI wereldwijd. Het is een baanbrekende Europese wetgeving die tot doel heeft de ontwikkeling en implementatie van veilige en betrouwbare AI-systemen in de interne markt van de Europese Unie te bevorderen, terwijl tegelijkertijd de grondrechten van EU-burgers worden beschermd.
Belangrijkste bepalingen en gevolgen van de AI Act:
De AI Act hanteert een risicogebaseerde benadering, wat betekent dat de regels en verplichtingen variëren afhankelijk van het risiconiveau dat een AI-systeem met zich meebrengt voor de veiligheid, gezondheid, grondrechten en democratische waarden van mensen. De wet onderscheidt vier risiconiveaus:
- Onaanvaardbaar risico (verboden AI-systemen):
- Dit zijn AI-systemen die een duidelijke bedreiging vormen voor de veiligheid, het levensonderhoud en de rechten van mensen.
- Voorbeelden van verboden toepassingen:
- Schadelijke AI-gebaseerde manipulatie en misleiding.
- Schadelijke AI-gebaseerde exploitatie van kwetsbaarheden van mensen.
- Sociaal scoren (het evalueren of classificeren van mensen op basis van hun gedrag of persoonlijke kenmerken).
- Risicobeoordeling of voorspelling van individuele strafbare feiten (tenzij specifiek toegestaan door de wet).
- Ongemotiveerd schrapen van internet- of CCTV-materiaal om gezichtsherkenningsdatabases te maken of uit te breiden.
- Emotieherkenning op de werkplek en in onderwijsinstellingen.
- Biometrische categorisering om bepaalde beschermde kenmerken (zoals ras, politieke opvattingen, religieuze overtuigingen, seksuele geaardheid) af te leiden.
- Biometrische identificatie op afstand in real-time voor rechtshandhavingsdoeleinden in openbare ruimtes (met uitzondering van strikt gedefinieerde, beperkte gevallen).
- Gevolg: Deze systemen zijn sinds 2 februari 2025 verboden en moeten van de Europese markt zijn gehaald.
- Hoog risico AI-systemen:
- Dit zijn AI-systemen die een aanzienlijk risico vormen voor de gezondheid, veiligheid, grondrechten of het milieu.
- Voorbeelden: AI-systemen die worden gebruikt in kritieke infrastructuur, onderwijs (toelatingsexamens), werkgelegenheid (werving en selectie), essentiële private en openbare diensten (kredietbeoordeling), rechtshandhaving, migratiebeheer, en de gezondheidszorg. Ook AI die is verwerkt in gereguleerde producten (zoals medische hulpmiddelen) valt hieronder.
- Verplichtingen voor aanbieders en gebruikers:
- Strikte eisen aan data governance (kwaliteit en betrouwbaarheid van trainingsdata).
- Robuustheid, nauwkeurigheid en cyberbeveiliging.
- Menselijk toezicht.
- Transparantie: duidelijke informatie over hoe het systeem werkt en tot beslissingen komt.
- Risicobeoordeling en mitigatie van risico’s voor fundamentele rechten (FRIA).
- Technische documentatie en logging.
- Conformiteitsbeoordeling vóór het op de markt brengen.
- Registratie in een Europese database voor AI-systemen met een hoog risico.
- Gevolg: De volledige naleving voor hoog-risico toepassingen wordt gefaseerd ingevoerd, met de meeste regels van kracht vanaf augustus 2026.
- Beperkt risico AI-systemen:
- Voor AI-systemen met een beperkt risico gelden voornamelijk transparantieverplichtingen.
- Voorbeelden: Chatbots en andere AI-systemen die met mensen communiceren.
- Verplichtingen: Gebruikers moeten duidelijk weten dat ze met een AI-systeem te maken hebben en niet met een mens (bijvoorbeeld bij chatbots). Ook bij de creatie van kunstmatige content (deepfakes) moet duidelijk worden gemaakt dat de inhoud door AI is gegenereerd.
- Gevolg: Deze regels gaan ook gefaseerd in, onder andere in februari 2025 (AI-geletterdheid) en augustus 2025 (algemene AI-modellen).
- Minimaal risico AI-systemen:
- De overgrote meerderheid van de huidige AI-systemen valt in deze categorie (bijvoorbeeld spamfilters, aanbevelingssystemen).
- Verplichtingen: Er zijn geen specifieke nieuwe eisen vanuit de AI Act voor deze systemen, hoewel het naleven van bestaande wetgeving (zoals de AVG) vanzelfsprekend blijft.
Wat betekent de AI Act voor bedrijven die AI-systemen in Europa aanbieden of gebruiken?
De AI Act heeft aanzienlijke gevolgen voor een breed scala aan partijen: - Aanbieders/ontwikkelaars: Bedrijven die AI-systemen ontwikkelen en op de Europese markt brengen, zijn direct verantwoordelijk voor de naleving van de wet, afhankelijk van het risiconiveau van hun AI. Dit omvat strenge eisen voor ontwerp, ontwikkeling, testen en documentatie.
- Importeurs en distributeurs: Bedrijven die AI-systemen van buiten de EU importeren of distribueren, moeten ervoor zorgen dat deze systemen voldoen aan de EU AI Act.
- Gebruikers: Organisaties die een (hoog risico) AI-systeem inzetten voor professionele doeleinden, hebben ook verplichtingen, zoals het uitvoeren van risicobeoordelingen, het waarborgen van menselijk toezicht en het bewaren van logs. Overheidsinstanties hebben zelfs extra regels, zoals het doen van grondrechteneffectbeoordelingen.
- Fabrikanten: Producenten van producten waarin AI is verwerkt (bijvoorbeeld medische hulpmiddelen met AI) moeten eveneens voldoen aan de eisen.
Algemene gevolgen voor bedrijven: - Naleving en risicobeheer: Bedrijven moeten hun AI-gebruik in kaart brengen, de risicocategorieën bepalen en een gedegen compliance-strategie ontwikkelen. Dit kan inhouden dat processen moeten worden aangepast, technische maatregelen moeten worden geïmplementeerd en personeel moet worden getraind in “AI-geletterdheid”.
- Boetes: Overtredingen van de AI Act kunnen leiden tot aanzienlijke boetes, variërend van 7,5 miljoen euro tot 35 miljoen euro, of een percentage van de wereldwijde jaaromzet (afhankelijk van de ernst van de overtreding).
- Innovatie en concurrentiepositie: Hoewel de wetgeving verplichtingen met zich meebrengt, biedt het ook kansen. Bedrijven die aantoonbaar compliant zijn en verantwoord met AI omgaan, kunnen een concurrentievoordeel behalen door het opbouwen van vertrouwen bij consumenten en partners.
- Transparantie en ethiek: De wet stimuleert een ethische benadering van AI, waarbij transparantie, uitlegbaarheid en de bescherming van grondrechten centraal staan.
- Gefaseerde inwerkingtreding: De AI Act is op 1 augustus 2024 in werking getreden, maar de meeste bepalingen worden stapsgewijs van toepassing. Februari 2025 markeert de ingang van het verbod op onaanvaardbare AI-systemen, augustus 2025 voor algemene AI-modellen, en augustus 2026 voor hoog-risico AI-toepassingen. Dit geeft bedrijven de tijd om zich voor te bereiden.
- Kortom, de AI Act is een belangrijke stap in de regulering van kunstmatige intelligentie, die een gestandaardiseerd kader biedt voor de ontwikkeling en het gebruik van AI in Europa, met als ultiem doel het bevorderen van een veilige, betrouwbare en mensgerichte AI.