Voor wie de AI Act geldt
De AI Act geldt voor organisaties die AI-systemen ontwikkelen, leveren of gebruiken in de EU, inclusief bedrijven buiten de EU waarvan de AI-systemen in de EU in de handel worden gebracht of waarvan de output in de EU wordt gebruikt. Wat u moet doen, hangt af van uw rol bij elk systeem:
- Aanbieder: ontwikkelt een AI-systeem of een AI-model voor algemene doeleinden, of laat dat ontwikkelen, en brengt het onder eigen naam in de handel of stelt het in gebruik.
- Gebruiksverantwoordelijke: gebruikt een AI-systeem onder eigen verantwoordelijkheid in een beroepsactiviteit, zoals een bedrijf dat de wervingstool van een leverancier gebruikt.
- Importeur en distributeur: brengen een systeem van buiten de EU op de EU-markt, of bieden het daar aan.
De meeste bedrijven zijn gebruiksverantwoordelijke. Een gebruiksverantwoordelijke wordt aanbieder als hij zijn naam of merk op een systeem met een hoog risico zet, er een substantiële wijziging in aanbrengt of het doel van een systeem zo wijzigt dat het een hoog risico wordt.
De termijnen
De data volgen de AI Act zoals gewijzigd bij Verordening (EU) 2026/1744, de digitale omnibus, van kracht sinds 27 juli 2026.
- De AI Act treedt in werking.
- Verboden praktijken zijn verboden, en de verplichting rond AI-geletterdheid geldt.
- De regels voor AI-modellen voor algemene doeleinden, governance en sancties gelden.
- De transparantieverplichtingen van artikel 50 gelden. Het AI-bureau kan de regels voor AI-modellen voor algemene doeleinden handhaven, en nationale autoriteiten houden toezicht op AI-geletterdheid.
- Twee nieuwe verboden gelden: op AI die intieme of seksuele beelden zonder toestemming maakt en op materiaal van seksueel kindermisbruik. Generatieve systemen die vóór 2 augustus 2026 al op de markt waren, moeten hun output uiterlijk op deze datum markeren.
- AI-modellen voor algemene doeleinden die vóór 2 augustus 2025 in de handel zijn gebracht, moeten voldoen.
- De verplichtingen voor de toepassingen met een hoog risico uit bijlage III gelden.
- De verplichtingen voor AI met een hoog risico in producten die onder bijlage I vallen, gelden.
- Systemen met een hoog risico die door overheidsinstanties worden gebruikt en al op de markt waren, moeten voldoen.
Stap 1: inventariseer elk AI-systeem
Stap 2: classificeer het risico
Elke toepassing valt in een van vier niveaus. Classificeer elke toepassing, niet elk product: dezelfde assistent kan een minimaal risico zijn bij het schrijven van e-mails en een hoog risico wanneer hij wordt gebruikt om sollicitanten te screenen.
| Niveau | Wat eronder valt | Wat het voor u betekent |
|---|---|---|
| Verboden | Praktijken die artikel 5 verbiedt, zoals social scoring of emotieherkenning op het werk, en vanaf 2 december 2026 AI die intieme beelden zonder toestemming maakt | Stop met het gebruik |
| Hoog risico | Toepassingen uit bijlage III, zoals werving, kredietscores en toegang tot essentiële diensten, en AI in producten die onder bijlage I vallen | Volledige verplichtingen vanaf 2 december 2027 of 2 augustus 2028 |
| Transparantie | Systemen die met mensen interageren, content genereren of deepfakes maken | Informeer mensen en markeer content, volgens artikel 50, sinds 2 augustus 2026 |
| Minimaal | De meeste andere toepassingen, zoals schrijven, samenvatten en analyse | Geen specifieke verplichtingen naast AI-geletterdheid |
De Commissie publiceerde in februari 2025 richtsnoeren over de definitie van een AI-systeem en over verboden praktijken, en in mei 2026 ontwerprichtsnoeren over de classificatie als hoog risico. Systemen met een hoog risico die vóór hun datum al op de markt waren, vallen er alleen onder als ze daarna aanzienlijk worden gewijzigd; systemen die door overheidsinstanties worden gebruikt, moeten uiterlijk op 2 augustus 2030 voldoen.
Stap 3: breng de verplichtingen van uw rol in kaart
Elke aanbieder en gebruiksverantwoordelijke
Neem maatregelen om de AI-geletterdheid te bevorderen van personeel en van andere personen die namens u AI-systemen bedienen of gebruiken, volgens artikel 4.
Gebruiksverantwoordelijken van systemen met een hoog risico, volgens artikel 26
Aanbieders van systemen met een hoog risico
Risicomanagement, datagovernance, technische documentatie, logging, instructies voor gebruiksverantwoordelijken, menselijk toezicht, nauwkeurigheid, robuustheid en cyberbeveiliging, een kwaliteitsmanagementsysteem, conformiteitsbeoordeling, CE-markering, registratie in de EU-databank en monitoring na het in de handel brengen.
Transparantie, volgens artikel 50
Aanbieders ontwerpen systemen die met mensen interageren zo dat die mensen weten dat ze met AI te maken hebben, tenzij dat duidelijk is, en markeren door AI gegenereerde content in een machineleesbaar formaat. Gebruiksverantwoordelijken maken deepfakes kenbaar, evenals door AI gegenereerde tekst die wordt gepubliceerd om het publiek te informeren over zaken van algemeen belang, tenzij een mens die heeft beoordeeld en de redactionele verantwoordelijkheid draagt. De Commissie publiceerde op 20 juli 2026 richtsnoeren over deze verplichtingen.
Aanbieders van AI-modellen voor algemene doeleinden
Technische documentatie, informatie voor de bedrijven die op het model voortbouwen, een auteursrechtbeleid en een openbare samenvatting van de trainingscontent, met aanvullende plichten voor modellen met een systeemrisico. De praktijkcode voor AI voor algemene doeleinden van juli 2025 is een erkende manier om naleving aan te tonen.
Stap 4: bouw AI-geletterdheid op
Artikel 4 geldt sinds 2 februari 2025. Zoals gewijzigd in juli 2026 verplicht het aanbieders en gebruiksverantwoordelijken maatregelen te nemen om de AI-geletterdheid te bevorderen van hun personeel en van anderen die namens hen AI gebruiken, zonder een specifiek niveau te hoeven garanderen. Nationale autoriteiten houden er sinds 2 augustus 2026 toezicht op, en er is geen certificaat vereist.
Stap 5: richt governance in
Een norm voor managementsystemen zoals ISO/IEC 42001 geeft deze governance een structuur die auditors herkennen.
Boetes
| Overtreding | Maximale boete |
|---|---|
| Verboden praktijken | 35 miljoen euro of 7% van de wereldwijde jaaromzet |
| Verplichtingen van operatoren, inclusief gebruiksverantwoordelijken, en transparantie | 15 miljoen euro of 3% |
| Onjuiste, onvolledige of misleidende informatie aan autoriteiten | 7,5 miljoen euro of 1% |
Het hoogste van de twee bedragen geldt. Voor het mkb en start-ups geldt in elke categorie het laagste, en kleine midcaps profiteren van het laagste bedrag in de twee laagste categorieën.
Bronnen
- Verordening (EU) 2026/1744, de digitale omnibus over AI, Publicatieblad
- AI Act Service Desk: artikel 4, AI-geletterdheid
- AI Act Service Desk: artikel 26, verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
- AI Act Service Desk: artikel 50, transparantieverplichtingen
- AI Act Service Desk: artikel 99, sancties
- AI Act Service Desk: artikel 113, inwerkingtreding en toepassing
- Europese Commissie: vragen en antwoorden over AI-geletterdheid
- Europese Commissie: richtsnoeren over de definitie van een AI-systeem
- Europese Commissie: richtsnoeren over verboden AI-praktijken
- Europese Commissie: ontwerprichtsnoeren over de classificatie als hoog risico
- Europese Commissie: richtsnoeren over transparantieverplichtingen