Wat moet uw bedrijf doen onder de AI Act? Classificeer elk AI-systeem naar risiconiveau, vermijd verboden toepassingen en zorg dat hoog-risico AI uit bijlage III vóór 2 december 2027 voldoet aan risicobeheer, documentatie, menselijk toezicht en registratie.
De EU AI Act (Verordening (EU) 2024/1689) is de eerste uitgebreide AI-wetgeving ter wereld en legt bedrijven risicogebaseerde verplichtingen op, van een volledig verbod tot lichte transparantie-eisen.
In Nederland is de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als centraal aanspreekpunt en coördinerend markttoezichthouder, samen met de Autoriteit Persoonsgegevens (AP).
Welke verplichtingen gelden en wanneer, hangt af van de risicocategorie van uw AI-systeem — het verbod op onaanvaardbare AI geldt al sinds februari 2025, terwijl de deadline voor hoog-risico AI inmiddels is verschoven naar december 2027. Hieronder de kernverplichtingen per categorie.
Risicocategorieën AI Act: welke categorie geldt voor uw AI?
De AI Act hanteert een risicogebaseerde aanpak met vier categorieën:
| Categorie | Voorbeelden | Verplichtingen |
|---|---|---|
| Verboden AI | Social scoring, real-time biometrische massasurveillance | Verboden sinds februari 2025 |
| Hoog-risico AI | CV-screening, kredietscoring, medische hulpmiddelen, biometrische identificatie | Volledige conformiteitsvereisten |
| Beperkt risico | Chatbots, deepfakes, emotieherkenning | Transparantievereisten |
| Minimaal risico | Spamfilters, AI in games, aanbevelingssystemen | Geen specifieke verplichtingen |
Tijdlijn verplichtingen:
- 2 februari 2025: het verbod op AI met een onaanvaardbaar risico treedt in werking
- 2 augustus 2025: de verplichtingen voor aanbieders van general-purpose AI (GPAI)-modellen gaan in
- 2 december 2027: de verplichtingen voor hoog-risico AI-systemen uit bijlage III worden van kracht
- 2 augustus 2028: de verplichtingen voor hoog-risico AI in gereguleerde producten (zoals machines en medische hulpmiddelen) gaan in
Verboden AI-toepassingen in Nederland (art. 5 AI Act)
Verboden vanaf 2 februari 2025:
- Manipulatieve of misleidende technieken — AI die via subliminale beïnvloeding het gedrag van personen stuurt, buiten hun bewustzijn om
- Uitbuiting van kwetsbaarheden — AI gericht op personen wegens leeftijd, handicap of sociaaleconomische situatie
- Social scoring door overheden — beoordelingssystemen die het gedrag van personen rangschikken met sociale gevolgen
- Real-time biometrische identificatie in openbare ruimtes — gezichtsherkenning in real time, met beperkte uitzonderingen voor rechtshandhaving
- Inferentie van gevoelige kenmerken — AI die ras, politieke opvattingen, religie of seksuele gerichtheid afleidt uit biometrische gegevens
- Gedrags- en emotieherkenning op de werkvloer en op scholen — behalve voor veiligheids- of medische doeleinden
- Ongerichte scraping voor gezichtsherkenningsdatabases
Overtreding van deze verboden valt onder het zwaarste boeteniveau: tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt.
Verplichtingen voor aanbieders van hoog-risico AI (deadline: 2 december 2027)
Aanbieders — de ontwikkelaars en leveranciers — van hoog-risico AI-systemen moeten:
- Risicobeheersysteem implementeren en documenteren (art. 9)
- Documentatie van datagovernance bijhouden en kwalitatief hoogwaardige trainingsdata gebruiken (art. 10)
- Technische documentatie opstellen vóór marktintroductie (art. 11)
- Automatische logging inbouwen voor traceerbaarheid (art. 12)
- Transparantie en gebruikersinformatie bieden (art. 13)
- Menselijk toezicht mogelijk maken via interface of instructies (art. 14)
- Nauwkeurigheid, robuustheid en cyberveiligheid garanderen (art. 15)
- EU-conformiteitsverklaring opstellen (art. 47)
- CE-markering aanbrengen na conformiteitsbeoordeling (art. 48)
- Registratie in de EU AI-databank (art. 49, de database zelf is geregeld in art. 71)
Wie valt hieronder in de praktijk?
Bedrijven die AI-systemen voor HR-beslissingen zoals cv-screening, kredietwaardigheidsbeoordelingen, medische diagnose of kritieke infrastructuur aanbieden aan andere bedrijven of consumenten.
Verplichtingen voor gebruikers (deployers) van hoog-risico AI
Bedrijven die hoog-risico AI-systemen van een derde partij gebruiken, hebben eigen verplichtingen:
- Instructies van de aanbieder naleven — gebruik de AI zoals beschreven in de technische documentatie
- Menselijk toezicht handhaven door bevoegde medewerkers
- Logging bewaren gedurende minimaal zes maanden
- Impactbeoordeling voor grondrechten uitvoeren bij AI met invloed op werknemers of het publiek (art. 27)
- Transparantie naar betrokkenen — mensen informeren dat ze met hoog-risico AI te maken hebben
- Significante incidenten melden aan de aanbieder en aan de RDI
Een Nederlands bedrijf dat een CV-screening tool van een externe leverancier gebruikt, is deployer en moet menselijk toezicht handhaven, werknemers informeren en incidenten melden — zie ook hoe dit samenhangt met AI en people analytics binnen HR.
Toezicht en handhaving in Nederland: RDI en AP
De Rijksinspectie Digitale Infrastructuur (RDI) is het centrale aanspreekpunt en coördinerend markttoezichthouder voor de AI Act in Nederland (art. 70). Nederland kiest niet voor één nieuwe AI-toezichthouder, maar bouwt voort op het bestaande stelsel van sectorale toezichthouders.
- Markttoezicht op AI-systemen die niet onder een specifieke sectorregeling vallen
- Eerste aanspreekpunt voor bedrijven en burgers met vragen of klachten over AI-systemen
- Bevoegdheid tot onderzoek, inspecties en informatievordering
- Coördinatie met de Autoriteit Persoonsgegevens (AP), die optreedt als vangnet-toezichthouder voor grondrechtgevoelige AI-toepassingen
- Afstemming met sectorale toezichthouders zoals de AFM en DNB voor financiële AI-toepassingen, en met het EU AI Office op Europees niveau
Boetekader (art. 99):
- Verboden AI (art. 5): tot 35 miljoen euro of 7% van de wereldwijde jaaromzet
- Niet-naleving van overige hoog-risico-verplichtingen: tot 15 miljoen euro of 3% van de wereldwijde jaaromzet
- Onjuiste, onvolledige of misleidende informatie aan autoriteiten: tot 7,5 miljoen euro of 1% van de wereldwijde jaaromzet
Meer weten over de eisen aan datagovernance onder de AI Act? Lees de uitgebreide gids over data governance-vereisten.
Omdat AI Act-verplichtingen vaak samenlopen met privacyregels, is ook het overzicht van AVG-boetes voor bedrijven in 2026 relevant leesvoer.
Wat dit betekent voor uw bedrijf
Nederlandse bedrijven die hoog-risico AI aanbieden of gebruiken, moeten uitgebreide conformiteitsmaatregelen treffen: risicobeheer, technische documentatie, menselijk toezicht en registratie in de EU-databank.
Verboden AI-toepassingen zijn al verboden sinds 2 februari 2025, en de deadline voor hoog-risico AI in bijlage III is via de Digital Omnibus verschoven naar 2 december 2027. De Rijksinspectie Digitale Infrastructuur is het centrale aanspreekpunt in Nederland, in samenwerking met de Autoriteit Persoonsgegevens. Maximale boetes lopen op tot 35 miljoen euro of 7% van de wereldwijde omzet.