Wat is de AI Act?

De AI Act is de Europese wet voor kunstmatige intelligentie (officieel de Europese AI-verordening, Verordening (EU) 2024/1689). De wet deelt AI-systemen in naar risico en stelt per risiconiveau regels: sommige toepassingen zijn verboden, andere moeten aan strenge eisen voldoen en voor de meeste geldt alleen transparantie of niets extra. De wet geldt in alle EU-landen, ook voor bedrijven die AI alleen gebruiken.

Waarom een Europese AI-wet?

Kunstmatige intelligentie neemt steeds vaker beslissingen of bereidt ze voor: over sollicitanten, kredieten, medische behandelingen, maar ook over een bestelling of een supportticket. De AI Act moet ervoor zorgen dat AI in Europa veilig is en dat de rechten van mensen beschermd blijven, zonder nuttige toepassingen onnodig af te remmen. Daarom kijkt de wet niet naar de techniek zelf, maar naar het gebruik en het risico daarvan.

De vier risiconiveaus

• Onaanvaardbaar risico: verboden. Bijvoorbeeld social scoring (mensen beoordelen op hun gedrag of persoonlijke kenmerken, met nadelige gevolgen), of systemen die mensen manipuleren op een manier die schade kan veroorzaken.
• Hoog risico: strenge eisen. Denk aan bepaalde toepassingen bij werving en selectie, onderwijs, kredietbeoordeling, kritieke infrastructuur of als veiligheidsonderdeel van een product. Hiervoor gelden onder meer eisen aan risicobeheer, datakwaliteit, documentatie, logging en menselijk toezicht.
• Beperkt risico: transparantie. Mensen moeten weten dat ze met AI te maken hebben, bijvoorbeeld bij een chatbot, en door AI gemaakte content moet in bepaalde gevallen herkenbaar zijn.
• Minimaal risico: geen extra regels. Het grootste deel van de AI-toepassingen, zoals spamfilters of AI die een voorstel doet dat een medewerker beoordeelt.

Daarnaast zijn er aparte regels voor AI-modellen voor algemene doeleinden, zoals de grote taalmodellen achter ChatGPT, Claude en Gemini. Die regels gelden voor de aanbieders van die modellen.

De belangrijkste data

De AI Act is op 1 augustus 2024 in werking getreden en wordt in fasen van kracht:

1. 2 februari 2025: de verboden praktijken en de verplichting tot AI-geletterdheid gelden.
2. 2 augustus 2025: de regels voor AI-modellen voor algemene doeleinden gelden.
3. 2 augustus 2026: het grootste deel van de overige regels, waaronder de transparantieverplichtingen.
4. Later: voor sommige hoogrisicosystemen geldt een langere overgangstermijn.

De Europese Commissie heeft voorstellen gedaan om onderdelen van de wet te vereenvoudigen of uit te stellen. Ga daarom altijd na wat de actuele stand is, via EUR-Lex, de Europese Commissie of de Rijksoverheid. Deze pagina is een uitleg en geen juridisch advies.

Wat betekent de AI Act voor een MKB-bedrijf?

De meeste MKB-bedrijven bouwen geen AI-modellen, maar gebruiken AI in hun software. In de wet heet je dan gebruiksverantwoordelijke. Voor de gangbare toepassingen in bedrijfssoftware is het risico meestal laag. Een paar voorbeelden:

• Groothandel: AI leest inkooporders en pakbonnen uit en zet ze klaar in het ERP. Een medewerker controleert afwijkingen.
• Productie: AI vat storingsmeldingen samen en stelt een prioriteit voor aan de planner.
• Logistiek: AI doet een bestelvoorstel op basis van verbruik en minimumvoorraad, een inkoper keurt het goed.
• Service: AI deelt binnenkomende vragen in en stelt een antwoord voor dat een medewerker verstuurt.

Dit soort toepassingen valt doorgaans onder minimaal of beperkt risico. Wat je in ieder geval regelt:

• AI-geletterdheid: je medewerkers weten wat de AI doet, wat hij niet kan en wanneer ze moeten ingrijpen.
• Transparantie: laat het weten als klanten met AI praten of een door AI geschreven tekst ontvangen, waar de wet dat vraagt.
• Een overzicht van je AI-toepassingen: welke systemen je gebruikt, waarvoor, en welke gegevens erin gaan. Zo zie je snel of er een toepassing bij zit met een hoger risico.

Waar je op let

• Het gebruik bepaalt het risico, niet de tool. Hetzelfde taalmodel kan in de ene toepassing minimaal risico hebben en in een andere hoog risico, bijvoorbeeld als je het inzet om sollicitanten te beoordelen.
• Leg vast wat de AI doet. Logging helpt je bij vragen van klanten of toezichthouders, en bij het verbeteren van de toepassing.
• Laat een mens beslissen bij stappen met gevolgen. Bij hoog risico eist de wet menselijk toezicht, maar ook bij laag risico is het verstandig.
• De AVG blijft gewoon gelden. Gaan er persoonsgegevens naar een AI-model, dan gelden ook de regels voor privacy.

De AI Act in bedrijfssoftware

Wie AI zorgvuldig inbouwt in zijn software, maakt het makkelijker om aan de wet te voldoen. SQUARE Concepts bouwt AI-toepassingen in Laravel, gehost in Europa, met drie vaste uitgangspunten: alleen de gegevens die nodig zijn gaan naar het model, bij stappen met gevolgen beslist een mens en alles wordt vastgelegd. Lees meer over AI-automatisering voor je bedrijf.