Wat houdt de AI Act in?
De AI Act is een Europese verordening die regels stelt aan het verantwoord ontwikkelen en gebruiken van kunstmatige intelligentie (AI) door bedrijven, overheden en andere organisaties. Deze wetgeving heeft als doel om innovatie te stimuleren, risico’s te beheersen en fundamentele rechten binnen de EU te beschermen bij het toepassen van AI-systemen.
Wettelijke verplichtingen
De AI Act introduceert een risicogebaseerde aanpak waarbij AI-toepassingen worden ingedeeld in verboden, hoog-risico, beperkt-risico en minimaal-risico categorieën. Organisaties die AI-systemen ontwikkelen, implementeren of gebruiken moeten onder andere voldoen aan transparantie-eisen, risicobeoordelingen uitvoeren, technische documentatie bijhouden en zorgen voor menselijk toezicht. Voor hoog-risico AI-systemen gelden strengere eisen zoals conformiteitsbeoordelingen, monitoring en meldplicht bij incidenten. Niet-naleving kan leiden tot forse boetes tot 6% van de wereldwijde jaaromzet.
Nederlandse wetgeving en specifieke eisen
In Nederland wordt de AI Act direct van kracht zodra deze is aangenomen, naast bestaande wetgeving zoals de AVG (Algemene Verordening Gegevensbescherming) en de Wbni (Wet beveiliging netwerk- en informatiesystemen). Nederlandse organisaties moeten dus niet alleen rekening houden met Europese AI-regels, maar ook met nationale toezichtinstanties zoals de Autoriteit Persoonsgegevens en het Agentschap Telecom. Specifiek voor de Nederlandse context is het belangrijk om privacy-by-design toe te passen, transparant te zijn richting betrokkenen en sectorale richtlijnen (zoals NEN-ISO/IEC 27001 voor informatiebeveiliging) te volgen.
Implementatie stappenplan
De implementatie van de AI Act verloopt in verschillende fasen: (1) inventarisatie van alle gebruikte en ontwikkelde AI-systemen, (2) risicoclassificatie volgens de AI Act, (3) uitvoeren van een gap-analyse ten opzichte van de nieuwe verplichtingen, (4) opstellen en aanpassen van beleid en procedures, (5) technische en organisatorische maatregelen treffen zoals documentatie, logging en monitoring, (6) trainen van personeel en (7) periodieke evaluatie en rapportage. Voor veel organisaties is het raadzaam om een multidisciplinair projectteam samen te stellen met juridische, technische en compliance-expertise.
Kosten en investering
De kosten voor compliance met de AI Act bestaan uit eenmalige investeringen in gap-analyses, aanpassing van processen en systemen, juridische ondersteuning en personeelsopleidingen. Daarnaast zijn er terugkerende kosten voor audits, monitoring, rapportage en onderhoud van technische maatregelen. Voor MKB-bedrijven kunnen deze kosten variëren van enkele tienduizenden tot honderdduizenden euro’s; voor grote organisaties of multinationals kunnen de investeringen aanzienlijk hoger uitvallen. Subsidies of fiscale regelingen zijn mogelijk beschikbaar via Nederlandse of Europese innovatieprogramma’s.
Certificeringsproces
Voor hoog-risico AI-systemen is een conformiteitsbeoordeling verplicht voordat deze op de markt mogen worden gebracht of gebruikt. Dit certificeringsproces omvat het opstellen van technische documentatie, het uitvoeren van risicobeoordelingen en het laten uitvoeren van een audit door een erkende notified body. In Nederland zijn diverse geaccrediteerde instellingen actief die deze certificeringen mogen uitvoeren. Het certificaat moet periodiek worden vernieuwd en bij wijzigingen aan het AI-systeem opnieuw worden aangevraagd.
Compliance experts en consultants
IBgidsNL verbindt je met gecertificeerde AI Act specialisten en auditoren die ervaring hebben met Europese regelgeving, informatiebeveiliging en privacy in de Nederlandse markt. Neem contact op met IBgidsNL voor advies op maat, begeleiding bij implementatie of het vinden van een geschikte compliance partner voor jouw organisatie. Vind de juiste aanbieder via IBgidsNL. Ga naar Governance, Risk and Compliance.
