De Europese Commissie is op zondag 2 augustus 2026 begonnen met de handhaving van de regels van de EU AI-wet (AI Act) en de nieuwe transparantie-eisen. In de praktijk betekent dit dat er vanaf nu strenge, wettelijk afdwingbare regels gelden voor het gebruik en de herkenbaarheid van kunstmatige intelligentie binnen de EU. Ze zijn niet alleen geldig maar ook van kracht of anders gezegd ‘in werking’.
Bedrijven en overheden kunnen vanaf deze datum officieel gecontroleerd en beboet worden als zij de regels overtreden. Organisaties die ai-systemen ontwikkelen, aanbieden of op de werkvloer gebruiken, dragen nu juridische verantwoordelijkheid. De deadline voor verplichtingen voor ai-systemen met een hoog risico is echter verschoven naar december 2027, zo werd begin mei bekend.
In de tijdlijn voor de implementatie van de AI Act is 2 augustus een mijlpaal met het van toepassing worden van veel regels en de handhaving van eerder geldende regels. De meeste impact voor bedrijven komt van de nieuwe transparantie-regels. Die regels gelden voor elk bedrijf dat ai gebruikt, ook als het ai-systeem niet zelf is ontwikkeld. Onlangs publiceerde de Commissie de richtlijnen hiervoor.
Stap voor stap
De implementatie van de AI Act gaat stapsgewijs. Verwacht wordt dat de belangrijkste stappen over twee jaar helemaal zijn genomen. De AI Act wordt sinds augustus 2024 gefaseerd ingevoerd. Sinds februari 2025 zijn bepaalde ai-praktijken verboden zoals ‘social scoring’. Toen gingen ook verplichtingen gelden voor ai-geletterdheid van medewerkers. Een jaar geleden kwamen daar regels bij voor general-purpose ai-modellen, terwijl ook nationale ‘governance’ structuren van kracht werden.
We zetten de belangrijkste zaken die bedrijven in de nieuwe fase van implementatie moeten weten, op een rijtje. Strikte plichten gelden momenteel al voor:
• Risicobeheer: systemen met een algemeen doel (zoals grote taalmodellen) moeten voldoen aan strenge EU-eisen rondom auteursrecht en technische documentatie;
• Ai-geletterdheid: werkgevers moeten ervoor zorgen dat hun personeel voldoende kennis heeft om veilig en begrijpelijk met ai-tools te werken;
• Informatieplicht: bedrijven moeten hun systemen zo inrichten dat de verplichte meldingen en labels automatisch aan de eindgebruiker worden getoond.
Kenbaar maken
Bepaalde ai-systemen dienen gebruikers kenbaar te maken wanneer ze met ai interageren en wanneer content door ai is gegenereerd of bewerkt. Volgens de nieuwe regels moeten chatbots en andere interactieve ai-systemen gebruikers laten weten dat ze met ai te maken hebben en niet met een mens. Deepfakes (afbeeldingen, video’s of audio die zijn bewerkt of gegenereerd met behulp van ai) moeten worden gelabeld. Door ai gegenereerde of bewerkte content moet ook machineleesbare markeringen bevatten, zodat deze gemakkelijker kan worden gedetecteerd. Applicaties met een beperkt risico hoeven alleen aan de transparantie-regels te voldoen.
De Autoriteit Persoonsgegevens (AP) benadrukt dat burgers deze informatie uiterlijk moeten krijgen op het moment van eerste interactie met het ai-systeem of de ai-content. Sven Stevenson, directeur van de Directie Coördinatie Algoritmes (DCA) van de AP, zegt: ‘Chat je met de klantenservice of hoor je een stem namens de huisarts of gemeente antwoorden? Dan moet duidelijk zijn dat je met een ai-chatbot praat. Of zie je een video waarin een politicus iets schokkends zegt? Is die met ai gemaakt of bewerkt, dan moet dat herkenbaar zijn. Heb je een perfecte match op een dating-app? Als je feitelijk met ai communiceert, moet dat ook duidelijk zijn. Zo kunnen mensen beter beoordelen wat zij zien of horen.’
Handhaving
Naast de nieuwe transparantieregels zijn nu ook maatregelen toepasbaar die de innovatie moeten bevorderen. Een belangrijke stap is dat nu de handhaving van veel regels zijn beslag krijgt, zowel nationaal als op niveau van de EU. Die handhaving geldt voor:
• general-purpose ai-modellen (GPAI);
• strikt verboden ai-praktijken zoals schadelijke systemen;
• de eerder genoemde transparantie-regels;
• ai-geletterdheid.
Alle aanbieders van GPAI-modellen (ook de minder geavanceerde) moeten bepaalde informatie documenteren en deze verstrekken aan bevoegde autoriteiten of downstream-aanbieders. Ze moeten ook een auteursrechtbeleid opstellen en een voldoende gedetailleerde samenvatting publiceren van de inhoud die is gebruikt om hun modellen te trainen. Hiervoor is een vrijwillige tool beschikbaar.
Toezicht
Het Europese AI Office houdt toezicht over aanbieders van de GPAI-modellen en systemen die zijn geïntegreerd in zeer grote online platforms of zeer grote online zoekmachines. Nationale autoriteiten controleren de andere ai-systemen. In Nederland houdt de AP (samen met andere specifieke markt-toezichthouders) toezicht op Nederlandse bedrijven en overheidsinstanties.
Overtreding kan tot pittige boetes leiden. Bij ai met een hoog risico ligt het plafond op 15 miljoen euro of 3 procent van de jaaromzet wereldwijd. Verboden ai-praktijken kunnen tot 35 miljoen euro boete kosten of 7 procent van de totale omzet.
Commentaren
Veeam
Volgens Tim Pfaelzer, general manager bij Veeam Software (data & ai trust), lijken op het eerste gezicht de transparantie-eisen op het gebied van ai-governance en operationele verantwoording eenvoudig te realiseren. In de praktijk blijken ze echter aanzienlijk complexer.
‘Veel organisaties zullen dat ondervinden zodra zij proberen hun ai-toepassingen in lijn te brengen met deze nieuwe eisen,’ zegt hij. ‘Het gaat namelijk niet om het simpelweg afvinken van een compliance-checklist, maar om het fundamenteel herzien van de volledige data-omgeving. Alleen zo kunnen organisaties de audit-trails, het governancebeleid en de solide basis creëren die nodig zijn om ai op schaal verantwoord in te zetten.’
Volgens Pfaelzer is die herziening van de data-omgeving nodig om daadwerkelijk inzicht te krijgen in waar data zich bevinden, hoe deze worden gebruikt en wie er toegang toe heeft. ‘Het proactief inrichten van transparantie, governance-kaders en strategieën voor weerbaarheid is daarbij essentieel. Zo wordt gewaarborgd dat de data waarop ai draait veilig, beheerd, beschikbaar en herstelbaar zijn. Uiteindelijk zijn ai-uitkomsten immers slechts zo betrouwbaar als de data waarop zij zijn gebaseerd.’
Bruegel
Volgens Mario Mariniello, fellow bij de denktank Bruegel, is de AI Act opgezet als een traditionele ex-ante regulering ter bevordering van de veiligheid. Ai-systemen moeten vóór hun uitrol voldoen aan bepaalde vereisten. Probleem is echter dat ze in ongewisse omgevingen werken en acties ondernemen die bij de ontwikkeling van hun code niet te voorzien waren. Ai-systemen, met name die zijn gebaseerd op de eerder genoemde GPAI-modellen, zijn geen statische producten. Bij een onvoorziene of ongecontroleerde verandering in use cases kunnen systemen die als laag risico zijn gekwalificeerd, ineens in de categorie hoog risico vallen.
Commvault
Commvault (cyberbeveiliging) ziet dat de recente ai-incidenten bij Anthropic Claude en OpenAI het belang van de EU AI-wet benadrukken. De voorvallen laten zien hoe snel nieuwe technologie tot onverwachte veiligheids- en privacyrisico’s kan leiden. Honderden gebruikers ontdekten dat hun gedeelde chats met de chatbot Claude vindbaar waren via zoekmachines. OpenAI meldde dat een ai-agent niet alleen Hugging Face had gecompromitteerd, maar ook andere externe diensten. Het zijn recente voorbeelden van hoe ai beveiligingslekken kan creëren en gegevens in gevaar kan brengen.
Volgens Commvault is het verstandig om nu te beoordelen welke verplichtingen uit de AI Act van toepassing zijn en of de bestaande governance daarop is ingericht. ‘Het beveiligingsmodel moet zich net zo snel moet ontwikkelen als de ai-toepassingen binnen de organisatie.’
De recente incidenten maken duidelijk dat organisaties niet langer kunnen uitgaan van de veronderstelling dat autonome ai-systemen altijd functioneren zoals bedoeld. De belangrijkste les is dat vertrouwen in ai nooit vanzelfsprekend mag zijn. Het moet voortdurend worden getoetst, aldus Commvault.
HarfangLab
Anouck Teiller, deputy ceo bij HarfangLab, ziet in de laatste update van de AI Act een belangrijke stap richting een betere balans tussen innovatie en veiligheid in Europa. ‘Nu ai steeds dieper wordt geïntegreerd in bedrijfsprocessen, is het niet langer voldoende om alleen te kijken naar wat een ai-systeem kan. Organisaties moeten ook kunnen uitleggen hoe ai wordt gebruikt, welke risico’s ermee gepaard gaan en waar menselijk toezicht plaatsvindt. Dat niveau van transparantie is essentieel om vertrouwen in ai op te bouwen.’
Volgens Teiller benadrukt de AI-wet dat organisaties niet alleen verantwoordelijkheid dragen voor de inzet van ai, maar ook voor het zorgvuldig integreren van ai in bestaande processen en het transparant en verantwoord beheren van deze systemen. Uiteindelijk draait betrouwbare ai om sterke governance, inzicht in hoe ai-modellen worden gebruikt en blijvend menselijk toezicht.
OutSystems
Volgens Luis Blando, chief product & technology officer bij OutSystems, verschuift met de AI Act de aandacht van ai bouwen naar ai beheersen. ‘Toch ontbreekt bij bijna twee derde van de organisaties nog altijd een centrale aanpak voor ai-governance,’ zegt hij.
Een belangrijke oorzaak is dat het voldoen aan governance-eisen net zo afhankelijk is van de onderliggende it-architectuur als van beleid. ‘Tegelijkertijd proberen veel organisaties ai-oplossingen te bouwen op legacy-systemen die nooit zijn ontworpen om de zichtbaarheid, traceerbaarheid en controleerbaarheid te bieden die de AI Act vraagt. Governance kan daarom niet achteraf als extra laag worden toegevoegd. Het moet vanaf het begin onderdeel zijn van de architectuur, zodat organisaties ai-systemen centraal kunnen beheren, monitoren en orkestreren, ook wanneer deze op grote schaal worden ingezet.’
