De EU AI Act
Artificiële intelligentie is een vast onderdeel van het bedrijfsleven geworden. Het helpt bij het screenen van sollicitaties, het opsporen van fraude, het aanbevelen van producten, het optimaliseren van logistiek, het ondersteunen van medische beslissingen en nog veel meer.
De Europese verordening artificiële intelligentie, kortweg de AI Act, legt regels vast voor hoe die systemen ontwikkeld en gebruikt mogen worden. De AI Act wil AI niet tegenhouden, maar wil ervoor zorgen dat het veilig, eerlijk en begrijpelijk is, zeker wanneer AI een echte impact heeft op mensen.
- Risicogebaseerde aanpak
- Rechtstreeks van toepassing in de hele EU
- Applies beyond the EU
Wat is AI Act?
De AI Act is een Europese verordening met regels voor AI-systemen of AI-modellen die in de EU op de markt worden gebracht of waarvan de output in de EU wordt gebruikt.
Het doel staat in artikel 1 van de verordening. Eenvoudig gezegd wil de AI Act mensgerichte en betrouwbare AIstimuleren, en tegelijk de gezondheid, de veiligheid, de grondrechten, de democratie, de rechtsstaat en het milieu beschermen. Daarnaast wil de verordening innovatie en rechtszekerheid ondersteunen.
Net als de GDPR is de AI Act een verordening. Ze is dus rechtstreeks van toepassing in de hele EU, ook zonder nationale wet die ze omzet. De regels zijn grotendeels dezelfde, of je nu in België actief bent of ergens anders in de EU. Toch kunnen er kleine verschillen bestaan tussen lidstaten.
Wie moet voldoen aan de AI Act?
De AI Act is van toepassing op:
- aanbieders die AI-systemen in de EU in de handel brengen of in gebruik stellen, of AI-modellen voor algemene doeleinden in de EU in de handel brengen, ongeacht of die aanbieders in de EU of in een derde land gevestigd of gelegen zijn;
- gebruiksverantwoordelijken van AI-systemen die in de EU gevestigd of gelegen zijn;
- aanbieders en gebruiksverantwoordelijken van AI-systemen die in een derde land gevestigd of gelegen zijn, wanneer de output van het AI-systeem in de EU wordt gebruikt;
- importeurs en distributeurs van AI-systemen;
- productfabrikanten die een AI-systeem samen met hun product en onder hun eigen naam of merk in de handel brengen of in gebruik stellen;
- gemachtigden van aanbieders die niet in de EU gevestigd zijn;
- getroffen personen die zich in de EU bevinden.
Het maakt niet uit of je een techbedrijf, een overheidsinstantie, een ziekenhuis, een bank, een HR-afdeling of een softwareleverancier bent. Wordt een AI-systeem in de EU op de markt gebracht of gebruikt, dan kan de AI Act van toepassing zijn.
De verordening heeft ook een extraterritoriale werking. Organisaties buiten de EU kunnen dus onder de AI Act vallen als hun AI-systemen of -modellen, of de output ervan, in de EU worden gebruikt.
Hoe werkt de AI Act? Een risicogebaseerde aanpak.
Niet alle AI wordt op dezelfde manier behandeld. De AI Act hanteert een risicogebaseerde aanpak voor AI-systemen en AI-modellen. Hoe groter de impact van AI op mensen en de samenleving, hoe strenger de regels.
De verordening onderscheidt vier risicocategorieën. Wie die categorieën begrijpt, zet de eerste stap richting compliance.
01 - Verboden AI-systemen.
Sommige toepassingen van AI worden als zo schadelijk beschouwd dat ze verboden zijn.
Die toepassingen zijn onverenigbaar met de Europese waarden en grondrechten. Ze mogen in de EU niet op de markt gebracht of gebruikt worden, op enkele zeer beperkte uitzonderingen na.
Voorbeelden zijn het misleidend manipuleren van gedrag met schade tot gevolg, het misbruiken van kwetsbaarheden die verband houden met leeftijd of een beperking, systemen voor sociale scoring en het afleiden van gevoelige persoonlijke kenmerken uit biometrische gegevens.
De AI Act verbiedt ook bepaalde vormen van biometrische identificatie in openbare ruimten en emotieherkenning op de werkvloer of op school, behalve in zeer specifieke situaties.
Valt een toepassing in deze categorie, dan is de juridische analyse kort. Het systeem mag niet gebruikt worden.
02 - AI-systemen met een hoog risico.
03 - Beperkt risico en transparantieverplichtingen.
04 - AI-systemen met een minimaal risico.
Hoogrisico-AI en compliance in de praktijk.
Voor AI-systemen met een hoog risico is compliance geen los document of eenmalige oefening. Het is een proces dat loopt over de volledige levenscyclus van het systeem.
Stap 1: Hoog risico of niet?
Organisaties moeten eerst bepalen of een systeem een hoog risico inhoudt, en die beslissing documenteren. Gaat het om een hoogrisicosysteem, dan moet de aanbieder de vereisten van de AI Act vanaf het begin in het systeem inbouwen. Dat omvat risicobeheer, datagovernance, technische documentatie, transparantie naar gebruikers, effectieve maatregelen voor menselijk toezicht en waarborgen voor nauwkeurigheid en beveiliging.
Stap 2: Conformiteitsbeoordeling.
Voordat het systeem op de markt komt of in gebruik wordt genomen, moet een conformiteitsbeoordeling plaatsvinden. Afhankelijk van het type systeem is dat een interne beoordeling of een externe beoordeling door een aangemelde instantie.
Stap 3: EU-conformiteitsverklaring.
Zodra het systeem conform is, moet een EU-conformiteitsverklaring worden opgesteld en moet het systeem een CE-markering dragen. AI-systemen met een hoog risico moeten ook geregistreerd worden in de EU-databank voor AI, met enkele uitzonderingen voor gevoelige toepassingen.
Stap 4: Doorlopende verplichtingen.
Ook na de ingebruikname lopen de verplichtingen door. Aanbieders moeten de prestaties opvolgen, de documentatie actueel houden en ernstige incidenten melden.
De relatie tussen de AI Act en de GDPR.
De AI Act vervangt de GDPR niet. Vaak zijn beide verordeningen samen van toepassing.
Verwerkt een AI-systeem persoonsgegevens, dan bepaalt de GDPR hoe die gegevens behandeld worden. De AI Act richt zich op het AI-systeem zelf: hoe het ontworpen, beoordeeld, ingezet en opgevolgd wordt.
Beide verordeningen steunen op gelijkaardige principes. Ze hanteren een risicogebaseerde aanpak, leggen de nadruk op transparantie en verantwoording, en vereisen impactbeoordelingen in specifieke situaties met een hoog risico. Organisaties met een sterke GDPR-governance zijn in de praktijk dus beter voorbereid op de AI Act, maar GDPR-compliance alleen volstaat niet.
Kernbegrippen uitgelegd.
-
AI-systeem:
software die met een zekere mate van autonomie voorspellingen, aanbevelingen, content of beslissingen kan genereren.
-
Aanbieder:
De organisatie die een AI-systeem ontwikkelt (of laat ontwikkelen) en het onder eigen naam of merk op de markt brengt.
-
Gebruiksverantwoordelijke:
De organisatie die een AI-systeem gebruikt in haar eigen werking.
-
Hoogrisico-AI:
Systemen die een aanzienlijke impact kunnen hebben op gezondheid, veiligheid of grondrechten en daarom onder strengere regels vallen.
-
AI voor algemene doeleinden:
AI-modellen die voor veel verschillende taken inzetbaar zijn, zoals grote taalmodellen.
-
Menselijk toezicht:
mensen kunnen begrijpen, opvolgen en ingrijpen in hoe een AI-systeem werkt.
Maak kennis met de CRANIUM-specialisten.
Bernd Fiten
Head of Digital Law &
AI specialist
Enzo Marquet
Principal Privacy Consultant &
AI specialist
Valérie Stragier
Senior Privacy & Digital Law Consultant &
AI specialist
Veelgestelde vragen over de AI Act.
Valt alle AI onder de AI Act?
Nee. Alleen AI-systemen binnen het toepassingsgebied van de verordening vallen eronder, en veel systemen behoren tot de categorie minimaal risico.
Wanneer gelden de verplichtingen van de AI Act?
Geldt de AI Act ook buiten de EU?
Hebben organisaties een specifieke AI-rol nodig?
Kom vandaag nog in actie.
Zet vandaag de eerste stap naar AI Act-compliance. Neem contact op met ons team voor advies en ondersteuning.
