Veelgestelde vragen over AI-compliance en de EU AI Act

De EU AI Act (Verordening (EU) 2024/1689) is de Europese wetgeving voor artificiële intelligentie. De verordening biedt een risicogebaseerd kader: hoe hoger het risico van een AI-systeem, hoe strenger de eisen. Verboden AI-praktijken (zoals sociale scoring) zijn al van kracht. Verplichtingen voor hoog-risico AI-systemen gelden volledig per augustus 2026.

Ja, de AI Act geldt voor alle organisaties die AI-systemen aanbieden, inzetten of verspreiden in de Europese Unie — ongeacht of het bedrijf zelf in de EU is gevestigd. U bent "deployer" als u een AI-systeem van derden inzet (zoals een AI-gebaseerde HR-tool of een chatbot). Als deployer heeft u eigen verplichtingen, ook al bent u niet de ontwikkelaar.

Hoog-risico AI-systemen zijn systemen die significant ingrijpen op mensenrechten, gezondheid, veiligheid of fundamentele rechten. De AI Act benoemt specifieke categorieën in Bijlage III, waaronder:

• Werving en selectie van werknemers
• Kredietbeoordeling en leningverstrekking
• AI in onderwijs (o.a. toetsing, toegang tot opleidingen)
• AI in gezondheidszorg en medische diagnose
• AI in rechtshandhaving en migratie
• AI voor overheidsbesluiten die individuen raken

Aanbieders van hoog-risico AI-systemen moeten onder meer: een robuust kwaliteitsmanagementsysteem implementeren, technische documentatie bijhouden, het systeem registreren in de EU-database, zorgen voor menselijk toezicht en transparante gebruiksinstructies leveren. Deployers (gebruikers) moeten risicobeoordelingen uitvoeren, medewerkers informeren en bewaking organiseren.

De AI Act is gefaseerd ingevoerd: verboden AI-praktijken gelden vanaf februari 2025. Verplichtingen voor aanbieders van GPAI-modellen gelden vanaf augustus 2025. Verplichtingen voor hoog-risico AI-systemen (Bijlage III) gelden volledig per 2 augustus 2026. Hoog-risico AI in Bijlage I-sectoren (bijv. medische hulpmiddelen, vliegtuigen) volgen in 2027.

Boetes lopen op tot €35 miljoen of 7% van de wereldwijde jaaromzet voor verboden AI-praktijken (het hoogste van de twee). Voor overtredingen van overige AI Act-verplichtingen geldt maximaal €15 miljoen of 3% van de jaaromzet. Voor MKB en startups gelden verlaagde maxima.

AI-compliance betekent dat uw organisatie voldoet aan de toepasselijke wet- en regelgeving voor AI-systemen. Dat omvat de EU AI Act, maar ook de AVG (voor persoonsgegevens), de NIS2-richtlijn (voor cybersecurity), sectorspecifieke wetgeving en ethische kaders. AI-compliance is een voortdurend proces, geen eenmalige exercitie.

AI-governance verwijst naar het geheel van beleid, processen, rollen en verantwoordelijkheden waarmee een organisatie AI verantwoord beheert. Een goed governancekader omvat: een AI-beleidsdocument, een ethisch kader, een AI-register, besluitvormingsprocedures en een duidelijke verdeling van verantwoordelijkheden (bijv. een AI-coördinator of AI-ethiek commissie).

Een AI-register is een overzicht van alle AI-systemen en -tools die uw organisatie gebruikt of inzet. Het register bevat per systeem: het doel, de leverancier, de risicoklasse, de betrokken medewerkers en klanten, en de compliancestatus. Een AI-register is de basis voor AI-compliance en is deels verplicht onder de AI Act.

De AVG (GDPR) reguleert de verwerking van persoonsgegevens. De AI Act reguleert AI-systemen op basis van hun risicoprofiel — ook als er geen persoonsgegevens bij betrokken zijn. Beide verordeningen overlappen op het gebied van profiling, geautomatiseerde besluitvorming en biometrische AI. Compliance met de AVG is een noodzakelijke, maar onvoldoende voorwaarde voor AI Act-compliance.

Een DPIA (Data Protection Impact Assessment) is een verplichte risicoanalyse op het gebied van persoonsgegevens (AVG art. 35) bij AI-systemen die persoonsgegevens verwerken met een hoog risico voor betrokkenen. Dit is verplicht bij o.a. profilering, biometrische herkenning, geautomatiseerde besluitvorming met significante gevolgen, en grootschalige verwerking van bijzondere gegevens. AITransparant adviseert ook bij DPIA's voor AI-systemen.

AI-geletterdheid (AI literacy) is het vermogen om AI-systemen te begrijpen, te beoordelen en verantwoord in te zetten. Artikel 4 van de EU AI Act verplicht aanbieders én deployers van AI-systemen om passende maatregelen te nemen om de AI-geletterdheid van hun personeel te bevorderen. Dit geldt voor alle medewerkers die met AI-systemen werken.

U kunt voldoen aan art. 4 door medewerkers een aantoonbare AI-geletterdheid training te laten volgen. AITransparant biedt maatwerk trainingen op drie niveaus: bewustzijn (alle medewerkers), gebruik (medewerkers die dagelijks AI inzetten) en governance (management en bestuur). Na afloop ontvangt elke deelnemer een certificaat dat als bewijs dient.

AITransparant is een CAICO-gecertificeerde AI-compliance adviseur gevestigd in Den Haag. Wij helpen middelgrote organisaties in heel Nederland bij AI-transparantie, AI Act-compliance, AI-governance, AI-risicoanalyses, AI-audits en AI-geletterdheid trainingen. Lees meer op onze Over ons-pagina.

Wij richten ons specifiek op middelgrote organisaties: bedrijven en instellingen met 50–500 medewerkers in sectoren als overheid, zorg, onderwijs, financiële dienstverlening en professionele dienstverlening. Onze aanpak is schaalbaar en afgestemd op uw capaciteit en budget.

Na een intakegesprek kunnen wij doorgaans binnen 1–2 weken starten. Voor urgente trajecten (bijv. naderende deadline of toezichtonderzoek) proberen we dit te versnellen. Neem contact op via het contactformulier of bel ons direct.

Neem gerust contact op via het contactformulier of mail naar info@aitransparant.nl. We beantwoorden uw vraag doorgaans binnen 1 werkdag.