De AI Act — de Europese AI-verordening — is het eerste alomvattende wettelijke kader ter wereld voor kunstmatige intelligentie. Het reguleert AI-systemen naar risico: hoe hoger het risico voor gezondheid, veiligheid of grondrechten, hoe zwaarder de verplichtingen. De verordening (Verordening 2024/1689) werkt rechtstreeks door en kent een gefaseerde tijdlijn: verboden praktijken sinds februari 2025, verplichtingen voor algemene-doelmodellen (GPAI) sinds augustus 2025, en de hoog-risicoregels vanaf 2 december 2027 voor bijlage III en 2 augustus 2028 voor relevante productgebonden systemen. In Nederland ontstaat een toezichtstructuur met de Autoriteit Persoonsgegevens als coördinerend algoritmetoezichthouder. Dit artikel legt de risicopiramide, de tijdlijn en de Nederlandse context uit.
Belangrijkste punten
- De AI Act reguleert AI naar risico: verboden, hoog-risico, beperkt risico en minimaal risico.
- Tijdlijn: verboden praktijken feb 2025, GPAI-verplichtingen aug 2025, hoog-risicoregels dec 2027 / aug 2028.
- De AI Act vervangt de AVG niet — beide gelden gelijktijdig voor AI-systemen die persoonsgegevens verwerken.
- In Nederland fungeert de AP als coördinerend algoritmetoezichthouder, naast sectorale toezichthouders en de RDI.
- De toeslagenaffaire maakt algoritme-compliance in Nederland politiek beladen — governance is geen formaliteit.
De risicopiramide
De AI Act deelt AI-systemen in vier risiconiveaus in. Die piramide is het hart van de verordening.
| Niveau | Voorbeeld | Regime |
|---|---|---|
| Onaanvaardbaar risico | Social scoring, manipulatie, bepaalde biometrie | Verboden |
| Hoog risico | HR-selectie, kredietscoring, onderwijs, biometrie | Strenge verplichtingen |
| Beperkt risico | Chatbots, deepfakes | Transparantieplicht |
| Minimaal risico | Spamfilters, games | Vrijwel geen eisen |
Verboden praktijken (art. 5) zijn sinds februari 2025 niet meer toegestaan: onder meer bepaalde vormen van social scoring door publieke of private partijen, manipulatieve systemen die kwetsbaarheden uitbuiten, en bepaalde vormen van real-time biometrische identificatie in de openbare ruimte.
Hoog-risicosystemen (art. 6 en bijlage III) mogen wél, maar onder strenge voorwaarden: risicobeheer, datagovernance, technische documentatie, menselijk toezicht, logging en een conformiteitsbeoordeling. Welke systemen hieronder vallen, bespreken we in AI Act hoog risico: welke systemen vallen eronder.
Beperkt risico kent een transparantieplicht: gebruikers moeten weten dat ze met AI te maken hebben (art. 50). Minimaal risico blijft vrijwel ongereguleerd.
De tijdlijn
De AI Act is in werking getreden in 2024, maar de verplichtingen gaan gefaseerd gelden:
- 2 februari 2025: verboden praktijken en AI-geletterdheid.
- 2 augustus 2025: eerste GPAI-verplichtingen, met overgangsregels voor eerdere modellen.
- 2 augustus 2026: algemene toepassing en de specifieke transparantieplichten van artikel 50.
- 2 augustus 2027: overgangsdatum voor GPAI-modellen die vóór 2 augustus 2025 op de markt kwamen.
- 2 december 2027: hoog-risicosystemen onder bijlage III.
- 2 augustus 2028: relevante hoog-risicosystemen onder de productregelgeving van bijlage I.
De Europese Commissie vermeldt dat de AI Omnibus op 27 juli 2026 in werking trad. Deze bijgewerkte kalender vervangt de vroegere hoog-risicodata. Leg per systeem vast welke bepaling, rol en overgangsregel geldt; de algemene kalender beantwoordt niet iedere individuele overgangsvraag.
GPAI: algemene-doelmodellen
Een aparte laag betreft general-purpose AI: modellen die voor veel doeleinden inzetbaar zijn, zoals grote taalmodellen. Sinds augustus 2025 gelden voor aanbieders van deze modellen verplichtingen rond technische documentatie, transparantie over trainingsdata (auteursrecht) en, voor de krachtigste modellen met systeemrisico, aanvullende eisen rond risicobeoordeling en beveiliging. Voor organisaties die zulke modellen alleen gebruiken (niet aanbieden) liggen de verplichtingen vooral bij transparantie en verantwoord gebruik.
De AI Act naast de AVG
Cruciaal: de AI Act vervangt de AVG niet. Verwerkt een AI-systeem persoonsgegevens, dan gelden beide regimes gelijktijdig. De AI Act stelt eisen aan het systeem (risicobeheer, documentatie, menselijk toezicht); de AVG stelt eisen aan de gegevensverwerking (grondslag, doelbinding, betrokkenenrechten). U hebt dus zowel een geldige rechtsgrond onder artikel 6 AVG nodig als naleving van de AI-Act-verplichtingen. Voor hoog-risicosystemen die persoonsgegevens verwerken is bovendien een DPIA nodig wanneer de verwerking waarschijnlijk een hoog risico oplevert. Een FRIA heeft een eigen toepassingsbereik voor bepaalde gebruiksverantwoordelijken en toepassingen; zij is niet voor elk AI-systeem automatisch verplicht.
De Nederlandse context
Voor de Nederlandse toezichtsvraag moet u de actuele aanwijzing en bevoegdheden per onderwerp controleren. De Autoriteit Persoonsgegevens houdt toezicht op de AVG; coördinatie van algoritmetoezicht is niet op zichzelf hetzelfde als iedere markttoezichtbevoegdheid onder de AI Act. Noteer de bevoegde instantie bij het concrete systeem en de toepasselijke Nederlandse uitvoeringsregels.
Boetes en handhaving
De AI Act kent forse sancties, die de ernst van de overtreding volgen. Voor het inzetten van verboden praktijken kan de boete oplopen tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet — hoger dan het AVG-maximum. Voor het schenden van andere verplichtingen, zoals de hoog-risico-eisen, geldt een maximum van 15 miljoen euro of 3 procent, en voor het verstrekken van onjuiste informatie aan toezichthouders 7,5 miljoen euro of 1 procent. Voor het mkb en start-ups gelden de laagste van de toepasselijke bedragen, een bewuste proportionaliteitskeuze van de wetgever.
Die bedragen maken duidelijk dat AI-governance geen vrijblijvende exercitie is. Anders dan bij veel nieuwe regelgeving heeft de EU hier vanaf de start scherpe tanden ingebouwd. Voor Nederlandse organisaties komt daar de reputationele dimensie bij: na de toeslagenaffaire ligt elk algoritme dat besluiten over mensen neemt onder een maatschappelijk vergrootglas, los van de formele boete.
Praktische voorbereiding
- Inventariseer uw AI-systemen — welke gebruikt of ontwikkelt u, en in welke risicocategorie vallen ze?
- Bepaal uw rol — bent u aanbieder of gebruiker (deployer)? De verplichtingen verschillen.
- Toets op verboden praktijken — die zijn al sinds februari 2025 verboden.
- Bereid hoog-risicoverplichtingen voor — richting de toepasselijke datum in december 2027 of augustus 2028: documentatie, menselijk toezicht, FRIA.
- Integreer met uw AVG-compliance — één register voor AI én persoonsgegevens voorkomt dubbel werk.
Koppel het AI-overzicht aan de bestaande gegevensverwerkingen en leg verantwoordelijkheden vast. De gids voor AVG-compliancesoftware helpt om hiervoor concrete eisen aan ondersteuning te formuleren.
Onderschat de eerste stap niet. De meeste organisaties hebben geen actueel beeld van welke AI-systemen ze eigenlijk gebruiken — vaak zit AI verstopt in ingekochte software, in HR-tools of in analyseplatforms zonder dat iemand het als “AI-systeem” heeft benoemd. Een schaduw-inventaris is dan het echte risico: u kunt niet reguleren wat u niet in beeld hebt. Begin daarom met een brede uitvraag door de organisatie en beoordeel per systeem de risicocategorie en uw rol. Die inventaris is niet alleen de basis voor AI-Act-compliance, maar levert ook direct inzicht op voor uw AVG-verplichtingen, omdat veel van die systemen persoonsgegevens verwerken.
Wat is de AI Act precies?
De AI Act is de Europese AI-verordening (Verordening 2024/1689), het eerste alomvattende wettelijke kader voor kunstmatige intelligentie. Zij reguleert AI-systemen naar risico: van verboden praktijken tot hoog-risico, beperkt en minimaal risico, met per niveau bijpassende verplichtingen.
Wanneer gelden de verschillende regels?
De eerste verboden en AI-geletterdheid gelden sinds 2 februari 2025; de eerste GPAI-regels sinds 2 augustus 2025 en artikel 50 sinds 2 augustus 2026. Voor hoog risico gelden 2 december 2027 voor bijlage III en 2 augustus 2028 voor relevante productgebonden systemen. Controleer daarnaast de specifieke overgangsregels.
Vervangt de AI Act de AVG?
Nee. De AI Act en de AVG gelden gelijktijdig. Verwerkt een AI-systeem persoonsgegevens, dan hebt u zowel een geldige AVG-grondslag als naleving van de AI-Act-verplichtingen nodig. De AI Act reguleert het systeem, de AVG de gegevensverwerking.
Wie houdt in Nederland toezicht op de AI Act?
Controleer de actuele Nederlandse uitvoeringsregels en de officiële informatie van de betrokken toezichthouders. Maak onderscheid tussen AVG-toezicht, coördinatie van algoritmetoezicht en markttoezicht voor een bepaald AI-systeem.
Wat moet mijn organisatie nu al doen?
Inventariseer uw AI-systemen en hun risicocategorie, bepaal of u aanbieder of gebruiker bent, en controleer dat u geen verboden praktijken inzet (die zijn sinds februari 2025 verboden). Bereid daarna de hoog-risicoverplichtingen voor richting de toepasselijke datum in december 2027 of augustus 2028 en integreer dit met uw AVG-compliance.
Conclusie
De AI Act reguleert kunstmatige intelligentie naar risico, met een piramide die loopt van verboden praktijken tot vrijwel ongereguleerde toepassingen. De gefaseerde tijdlijn — verboden feb 2025, GPAI aug 2025, hoog-risico dec 2027 / aug 2028 — geeft tijd, maar de hoog-risicodeadline nadert. Onthoud dat de AI Act de AVG niet vervangt: beide gelden gelijktijdig voor AI met persoonsgegevens. In Nederland, met de toeslagenaffaire als achtergrond en de AP als coördinerend algoritmetoezichthouder, is AI-governance geen formaliteit maar een bestuursverantwoordelijkheid.
Verder lezen:
Artikel 50 toetsen aan een concreet gebruik
Artikel 50 verplicht niet iedere medewerker om elk met AI voorbereid bericht van hetzelfde label te voorzien. Het artikel onderscheidt aanbieders van interactieve systemen, aanbieders van generatieve systemen en gebruiksverantwoordelijken van bepaalde toepassingen. Leg eerst vast welke rol uw organisatie heeft. Vraag daarna welk type uitvoer wordt gemaakt en wie ermee wordt geconfronteerd.
Bij een hypothetische klantenservice met een rechtstreeks toegankelijk AI-gesprek controleert de verantwoordelijke of de gebruiker tijdig begrijpt dat de interactie met AI plaatsvindt. Bij een intern concept dat een medewerker beoordeelt en zelf verstuurt, onderzoekt men afzonderlijk of een publicatieplicht of andere transparantieplicht van toepassing is. Dat onderscheid ontslaat de organisatie niet van de AVG-informatieplichten of van correcte communicatie.
Voor synthetische uitvoer moet de aanbieder de toepasselijke machineleesbare markering beoordelen. Voor deepfakes en bepaalde teksten over aangelegenheden van algemeen belang bestaan andere verplichtingen en uitzonderingen. Bewaar daarom een test van de werkelijke uitvoer, de gebruikte kennisgeving, de relevante uitzondering en de eigenaar van de controle. Een contractuele verklaring van een leverancier vervangt deze toets niet.
Gebruik de actuele vragen en antwoorden van de Commissie naast de wettekst. Heropen het dossier wanneer een interne schrijftool verandert in een publieke chatbot, wanneer het doel wijzigt of wanneer een leverancier een nieuwe generatiefunctie activeert.