De AI Act is niet uitgesteld: deze verplichting geldt vanaf 2 augustus wél
- De transparantieplicht uit artikel 50 van de AI Act geldt vanaf 2 augustus en raakt vrijwel iedere organisatie die AI inzet richting mensen.
- Wie een eigen AI-toepassing aanbiedt of gebruikt, moet afhankelijk van zijn rol gebruikers informeren.
- Inventariseer waar AI wordt gebruikt, bepaal per systeem je rol (aanbieder of gebruiksverantwoordelijke) en zorg dat de verplichte meldingen en processen op tijd zijn ingericht.
© Shutterstock
De transparantieplicht uit de AI-verordening geldt vanaf 2 augustus. Wie denkt dat Brussel de hele wet heeft vooruitgeschoven, mist precies de regel die vrijwel elke organisatie raakt.
Eind juni namen het Europees Parlement en de Raad de Digital Omnibus aan, het pakket dat de AI Act moet vereenvoudigen. De zwaarste eisen schuiven daarmee door: de regels voor hoog-risicosystemen, zoals AI voor werving of kredietbeoordeling, gelden pas vanaf 2 december 2027. Voor AI in gereguleerde producten wordt dat zelfs augustus 2028. In veel organisaties is daaruit één zin blijven hangen: de AI Act is uitgesteld.
Risicogebaseerd
Die conclusie is te kort door de bocht. De AI Act, de eerste brede AI-wet ter wereld, werkt risicogebaseerd: hoe risicovoller het gebruik, hoe zwaarder de eisen. Die eisen gaan in fases in. Twee gelden al sinds februari 2025 voor iedereen die AI inzet: personeel moet wegwijs zijn in AI (artikel 4) en een reeks schadelijke praktijken is verboden (artikel 5). Op 2 augustus komt daar een derde bij: de transparantieplicht van artikel 50. Aan die plicht heeft de Digital Omnibus vrijwel niets veranderd. Anders dan de hoog-risicoregels raakt hij bijna elke organisatie die AI richting mensen inzet.
Vier verplichtingen, twee rollen
De wet verdeelt de transparantieplicht over twee rollen. De aanbieder bouwt of levert het AI-systeem. De gebruiksverantwoordelijke (in het Engels: deployer) is de organisatie die het inzet.
Aanbieders hebben twee plichten. Systemen die direct met mensen communiceren, moeten duidelijk maken dat de gebruiker met AI te maken heeft. Ook moeten generatieve systemen hun output machineleesbaar markeren als kunstmatig gegenereerd. Alleen op dat laatste punt deed de Omnibus een kleine concessie: systemen die vóór 2 augustus al op de markt zijn, krijgen voor de markering tot 2 december 2026.
Gebruiksverantwoordelijken hebben twee eigen plichten. Wie deepfakes publiceert of het publiek met AI-tekst informeert over zaken van algemeen belang, vermeldt dat zichtbaar. En wie AI inzet voor emotieherkenning of biometrische indeling, informeert de betrokkenen.
Rolvraag
'Aanbieder' wordt al snel gelezen als OpenAI, Google of Anthropic. Dat klopt voor het model, maar niet automatisch voor jouw systeem. Bouw je zelf een klantassistent op een API en zet je die onder eigen naam in productie, dan ben jij de aanbieder van dat AI-systeem. De meldplicht ligt dan bij jouw team, niet bij je modelleverancier.
Reken ook niet op de uitzondering voor gevallen waarin overduidelijk is dat je met AI praat. De Europese Commissie legt die in haar richtsnoeren streng uit en kijkt daarbij naar de gemiddelde gebruiker, inclusief kinderen en mensen die digitaal minder vaardig zijn. Een bot die 'Anne' heet en een profielfoto draagt, haalt die lat niet.
Hoeveel organisaties zijn hier klaar voor? Uit een peiling onder 105 Nederlandse organisaties bleek dat 70% de oudere plicht uit artikel 4 nog niet had geregeld. Dat is nog wel een groep die bovengemiddeld met het onderwerp bezig is; het landelijke beeld is vermoedelijk somberder.
Vijf stappen om deze zomer te zetten
1. Inventariseer waar AI je gebruikers raakt. Chatbots, AI-functies in bestaande software, gegenereerde beelden, AI-ondersteunde publieksteksten. Zonder dat overzicht kun je niet sturen.
2. Bepaal per systeem je rol. Aanbieder, gebruiksverantwoordelijke of allebei: dat bepaalt welke plicht op je rust. Leg de uitkomst vast, want dit is de eerste vraag die een toezichthouder stelt.
3. Zet de melding in de interface zelf. Bij de start van het gesprek, zichtbaar, niet in een voorwaardenpagina. Denk aan alle kanalen, ook de app en de widget.
4. Bevraag je leveranciers over markering. Markeren ze hun output machineleesbaar? Vraag welke techniek ze gebruiken en waar dat staat. Controleer daarna of je eigen export- of compressiestap die markering niet weggooit.
5. Weet wanneer je zelf een label moet tonen. Voor beeld en video geldt dat alleen bij deepfakes: content die echte mensen, plaatsen of gebeurtenissen levensecht nabootst. Een duidelijk kunstmatige illustratie hoeft geen zichtbaar label. Voor tekst geldt het alleen als je het publiek informeert over zaken van algemeen belang; een productblog valt er meestal buiten. Zelfs dan vervalt de plicht bij echte redactionele eindverantwoordelijkheid. Een spellingscontrole telt niet mee.
Handhaving
Overtreding kan tot €15 miljoen kosten, of 3 procent van de wereldwijde jaaromzet als dat meer is. Voor mkb en start-ups geldt juist het laagste van de twee: bij €10 miljoen omzet dus maximaal €300.000.
De Nederlandse handhaving is nog niet ingericht: de uitvoeringswet die de toezichthouders aanwijst, ligt bij de Raad van State. Een boetegolf in augustus ligt dus niet voor de hand. Toch is wachten een slechte gok: inkoopafdelingen en klanten vragen er eerder naar dan de toezichthouder.
Nog een meevaller: de inventarisatie die artikel 50 vraagt, is dezelfde die je in december 2027 nodig hebt voor de hoog-risicoregels. Dat werk doe je één keer.
Reacties
Om een reactie achter te laten is een account vereist.
Inloggen Word abonnee