EU AI Act: wat moet uw organisatie nu doen?

De EU AI Act is de eerste uitgebreide wetgeving ter wereld die kunstmatige intelligentie reguleert. Sinds de publicatie in het Publicatieblad van de Europese Unie in 2024 volgen de implementatiefasen elkaar op. Sinds 2 februari 2025 zijn verboden AI-praktijken niet meer toegestaan en sinds 2 augustus 2026 is het grootste deel van de verordening van toepassing. Door wijzigingsverordening (EU) 2026/1744 gelden de verplichtingen voor hoog-risico AI-systemen uit bijlage III vanaf 2 december 2027 en voor AI in gereguleerde producten uit bijlage I vanaf 2 augustus 2028. De tijd om af te wachten is voorbij. Dit artikel beschrijft wat u nu moet doen.

De tijdlijn: wat is er al van kracht en wat komt eraan?

De EU AI Act hanteert een gefaseerde inwerkingtreding om organisaties de tijd te geven zich voor te bereiden. Maar die tijd raakt op.

• 2 februari 2025: verboden AI-praktijken zijn niet meer toegestaan.
• 2 augustus 2025: de regels voor algemene AI-modellen (GPAI) en de governance-structuur gelden.
• 2 augustus 2026: het grootste deel van de verordening is van toepassing, waaronder de meeste transparantieverplichtingen.
• 2 december 2027: verplichtingen voor hoog-risico AI-systemen uit bijlage III (zoals AI voor werving, kredietbeoordeling en onderwijs).
• 2 augustus 2028: verplichtingen voor AI in gereguleerde producten uit bijlage I (zoals medische hulpmiddelen en machines).

De data voor hoog-risico AI-systemen zijn verschoven door wijzigingsverordening (EU) 2026/1744, die op 27 juli 2026 in werking trad.

Risicocategorieën begrijpen

De AI Act classificeert AI-systemen in vier risicocategorieën: onaanvaardbaar risico, hoog risico, beperkt risico en minimaal risico. Het is cruciaal dat uw organisatie begrijpt in welke categorie uw AI-toepassingen vallen, omdat dit bepaalt welke verplichtingen van toepassing zijn.

• Onaanvaardbaar risico: Volledig verboden, inclusief sociale scoring en real-time biometrische identificatie in openbare ruimtes
• Hoog risico: Strenge eisen voor transparantie, menselijk toezicht en risicobeheer
• Beperkt risico: Transparantieverplichtingen, zoals het melden dat gebruikers met AI communiceren
• Minimaal risico: Geen specifieke verplichtingen, maar best practices worden aanbevolen

Hoog-risico AI: bent u geraakt?

De hoog-risico categorie is het hart van de EU AI Act en raakt veel meer organisaties dan velen denken. AI-systemen worden als hoog-risico geclassificeerd als ze worden ingezet in een van de volgende domeinen:

• HR en recruitment: AI voor het screenen van cv's, het beoordelen van kandidaten of het nemen van aanname- en ontslagbeslissingen.
• Onderwijs: AI voor het beoordelen van studenten, het toewijzen van opleidingsplaatsen of het bepalen van leertrajecten.
• Essentiële diensten: AI in de gezondheidszorg, toegang tot sociale voorzieningen en kredietbeoordeling.
• Rechtshandhaving: AI voor risicoprofilering, forensisch bewijsmateriaal en het voorspellen van strafbaar gedrag.
• Migratie en grensbewaking: AI voor het beoordelen van visumaanvragen en het monitoren van grensovergangen.
• Justitie en democratie: AI die wordt gebruikt bij rechterlijke besluitvorming of het beïnvloeden van verkiezingen.

Als uw organisatie AI inzet in een van deze domeinen, valt uw systeem waarschijnlijk onder de hoog-risico categorie en moet u vanaf 2 december 2027 aan uitgebreide verplichtingen voldoen.

De verplichtingen voor hoog-risico AI

De EU AI Act legt een zwaar pakket aan verplichtingen op voor aanbieders en gebruikers van hoog-risico AI-systemen. De belangrijkste:

1. Risicobeheersysteem

U moet een doorlopend risicobeheersysteem implementeren dat risico's identificeert, evalueert en mitigeert gedurende de volledige levenscyclus van het AI-systeem. Dit is geen eenmalige exercitie maar een continu proces.

2. Data governance

De data die u gebruikt voor het trainen, valideren en testen van uw AI-systemen moet voldoen aan strenge kwaliteitscriteria. U moet aantoonbaar maatregelen nemen om bias in de data te identificeren en te corrigeren.

3. Technische documentatie

Uitgebreide technische documentatie die aantoont hoe uw systeem werkt, welke data het gebruikt, hoe het is getest en welke prestatie-eisen het haalt. Deze documentatie moet beschikbaar zijn voor toezichthouders.

4. Logging en traceerbaarheid

Uw AI-systeem moet automatisch logs bijhouden die het mogelijk maken om beslissingen te traceren en te auditen. De bewaartermijn voor deze logs wordt per sector nader bepaald.

5. Transparantie en informatievoorziening

Gebruikers van het AI-systeem moeten worden geïnformeerd over de capaciteiten en beperkingen van het systeem, inclusief het beoogde doel, het prestatieniveau en de bekende risico's.

6. Menselijk toezicht

Hoog-risico AI-systemen moeten zo zijn ontworpen dat er effectief menselijk toezicht op mogelijk is. De persoon die toezicht houdt, moet in staat zijn om de output van het systeem te begrijpen, te beoordelen en zo nodig te overrulen.

7. Nauwkeurigheid, robuustheid en cybersecurity

Het systeem moet aantoonbaar nauwkeurig, robuust en beveiligd zijn. Dit omvat bescherming tegen adversarial attacks en het vermogen om consistent te presteren onder wisselende omstandigheden.

Concrete stappen die u nu moet nemen

Het is zaak om nu in actie te komen. Hieronder een concreet stappenplan:

1. AI-inventarisatie: Breng alle AI-systemen in uw organisatie in kaart. Wees daarbij breed: ook spreadsheetmodellen met voorspellende functies en AI-features in SaaS-software tellen mee. U zult verbaasd zijn hoeveel AI er al in uw organisatie draait.
2. Risicoklassificatie: Classificeer elk systeem volgens de risicocategorieën van de AI Act. Bepaal welke systemen als hoog-risico kwalificeren en welke onder beperkt of minimaal risico vallen.
3. Gap-analyse: Vergelijk uw huidige situatie met de vereisten van de AI Act. Waar zijn de grootste hiaten? Welke documentatie ontbreekt? Welke processen moeten worden ingeregeld?
4. Governance-structuur: Wijs verantwoordelijkheden toe. Wie is verantwoordelijk voor AI-compliance? Is dat de CISO, de DPO, een nieuw aan te stellen AI Officer, of een combinatie? Maak het helder en formaliseer het.
5. Documentatie opstarten: Begin met het opstellen van de vereiste technische documentatie voor uw hoog-risico systemen. Dit is tijdrovend en kan niet in de laatste weken voor de deadline worden afgerond.
6. Leveranciersmanagement: Voor AI-systemen die u afneemt van derden: controleer of uw leveranciers de AI Act naleven. Pas uw inkoopvoorwaarden aan en eis conformiteitsverklaringen.
7. Training en bewustwording: Zorg dat relevante medewerkers op de hoogte zijn van de AI Act en hun rol in de naleving ervan. Dit geldt niet alleen voor juristen en IT maar ook voor business-eigenaren die AI-tools selecteren.
8. Implementatieplan: Stel een gedetailleerd plan op met mijlpalen, deadlines en eigenaren. Behandel AI Act-compliance als een programma, niet als een project.

De rol van de toezichthouder

In Nederland worden de toezichthouders aangewezen in de Uitvoeringswet AI-verordening. Het kabinet bracht het wetsvoorstel op 20 april 2026 in consultatie. De Autoriteit Persoonsgegevens (AP) en de Rijksinspectie Digitale Infrastructuur (RDI) krijgen daarin samen een coördinerende rol (Rijksoverheid, 20 april 2026). Volgens het voorstel houden tien markttoezichthouders elk binnen hun eigen domein toezicht. De AP wordt verantwoordelijk voor onder meer de verboden AI-praktijken, de transparantieverplichtingen en een groot deel van de hoog-risicotoepassingen (Autoriteit Persoonsgegevens, 20 april 2026). Op 9 oktober 2026 meldde de AP dat zij nog niet is aangewezen en pas bevoegdheden in het AI-markttoezicht krijgt zodra de uitvoeringswet van kracht is (Autoriteit Persoonsgegevens, 9 oktober 2026). De verplichtingen uit de verordening zelf gelden intussen gewoon. Meer hierover leest u in EU AI Act-handhaving in 2026: wie houdt toezicht in Nederland?

De boetes zijn substantieel: tot 35 miljoen euro of 7 procent van de wereldwijde jaaromzet voor de zwaarste overtredingen. Maar het risico gaat verder dan boetes: reputatieschade, verlies van vertrouwen bij klanten en partners, en mogelijk een verbod op het gebruik van niet-compliant AI-systemen.

Veelgemaakte fouten

In onze adviespraktijk zien wij een aantal veelgemaakte fouten bij organisaties die zich voorbereiden op de AI Act:

• Te smal inventariseren: Organisaties kijken alleen naar hun eigen ontwikkelde AI en vergeten de AI die is ingebed in ingekochte software en diensten.
• Compliance als IT-project behandelen: De AI Act raakt de hele organisatie. Het is een juridisch, ethisch en operationeel vraagstuk dat commitment van de directie vereist.
• Afwachten tot de guidelines klaar zijn: De EU werkt nog aan aanvullende technische standaarden, maar de hoofdverplichtingen zijn helder genoeg om nu mee aan de slag te gaan.
• AVG en AI Act los van elkaar behandelen: De twee regelingen overlappen op essentiële punten. Een geïntegreerde aanpak bespaart tijd en voorkomt dubbel werk.

Hoe NextInsight helpt

Bij NextInsight begeleiden wij organisaties bij het volledige traject van AI Act-compliance: van inventarisatie en risicoklassificatie tot het opzetten van governance-structuren en het opstellen van technische documentatie. Onze aanpak is pragmatisch en gericht op resultaat. Wij geloven dat compliance geen eindpunt is maar een fundament voor verantwoorde AI-innovatie. Lees meer over onze hulp bij EU AI Act compliance en over AI-beleid opstellen.

Conclusie

De EU AI Act is geen abstracte Europese regelgeving die u veilig kunt negeren. Het is een concrete set verplichtingen, waarvan een groot deel al van toepassing is. De verplichtingen voor hoog-risico AI-systemen gelden vanaf 2 december 2027, met substantiële consequenties voor niet-naleving. De organisaties die nu beginnen met hun voorbereiding hebben een voorsprong. Die voorbereiding begint met drie eenvoudige stappen: weet welke AI u heeft, weet in welke risicocategorie die valt, en begin met de documentatie. De rest volgt daaruit.