Belangrijkste punten
- De AI Act is per 1 augustus 2024 in werking getreden en deelt AI-systemen in op basis van risico — van verboden toepassingen tot laag-risico tools.
- Artikel 50 — de transparantieverplichtingen — is per 2 augustus 2026 van kracht: geen uitstel, geen zachte landing.
- Chatbots en AI-agents moeten zich direct kenbaar maken; een verwijzing naar de algemene voorwaarden is uitdrukkelijk onvoldoende.
- De deepfake-definitie is breder dan je denkt: ook AI-gegenereerde productfoto’s en CEO-avatars vallen eronder.
- Boetes lopen op tot 15 miljoen euro of 3% van de wereldwijde jaaromzet — inventariseer dus nu waar jouw organisatie AI inzet.
Je gebruikt AI in je organisatie — bewust of niet. Een chatbot op de website, een tool die teksten genereert, marketingbeelden die niet door een fotograaf zijn gemaakt. Sinds 1 augustus 2024 is de AI Act van kracht: de eerste Europese wet die AI-systemen reguleert op basis van hun risico. En sinds 2 augustus 2026 zijn de transparantieverplichtingen van artikel 50 ook daadwerkelijk afdwingbaar. De vraag is niet of deze wet voor jou geldt — maar waar in je organisatie je nu al verplichtingen hebt die je nog niet nakomt.
Hoe werkt de AI Act? Drie risicocategorieën
De wet werkt met een risico-gebaseerde aanpak. AI-systemen worden ingedeeld in drie categorieën, en per categorie gelden andere regels.
- Onaanvaardbaar risico is verboden. Denk aan manipulatieve AI, systemen die misbruik maken van kwetsbare groepen, sociale scoring door overheidsinstanties en — op een paar uitzonderingen na — realtime biometrische identificatie in openbare ruimten.
- Hoog risico is toegestaan, maar alleen onder strikte voorwaarden. Denk aan AI in kritieke infrastructuur, recruitmenttools, toegang tot onderwijs, rechtshandhaving en grenscontrole. Deze systemen moeten vóór marktintroductie door een conformiteitsbeoordeling en blijven daarna onder toezicht. Dit is het deel van de wet waar de meeste nalevingslast zit.
- Laag of minimaal risico heeft de minste beperkingen, maar ook hier geldt: wees transparant. Zorg dat het voor gebruikers duidelijk is dat ze met AI te maken hebben, en dat het systeem geen autonome beslissingen neemt zonder menselijke controle.
Wat moet je als eerste stap doen?
Breng in kaart welke AI je organisatie gebruikt. Vergeet daarbij de shadow IT niet — alle AI-tools die medewerkers zelf gebruiken buiten het zicht van de IT-afdeling. Denk aan ChatGPT, Grammarly, Midjourney of persoonlijke cloudtools. Vervolgens check je de contracten en privacyverklaringen van je leveranciers: hoe werkt hun AI, welke data gebruiken ze, en voldoen ze aan de Europese regelgeving? Als een dienst van buiten Europa wordt geleverd, moet die alsnog aan de AI Act voldoen.
Artikel 50: de transparantieverplichtingen gelden nu al
Waar de hoog-risico-verplichtingen nog enige aanlooptijd hebben, is artikel 50 per 2 augustus 2026 van kracht. Vier concrete verplichtingen:
- Wie een chatbot, voice assistant of AI-agent inzet die direct met mensen communiceert, moet die zo inrichten dat de gebruiker bij het eerste contact weet dat hij met AI praat. Een verwijzing naar de algemene voorwaarden is uitdrukkelijk onvoldoende — de melding moet contextueel en direct zijn.
- Aanbieders van generatieve AI moeten hun output machineleesbaar markeren én detecteerbaar maken. Alleen een watermerk aanbrengen is niet genoeg als er geen detectietool bij zit.
- Wie emotieherkenning of biometrische categorisering inzet, moet betrokkenen informeren. Let op: in de werkomgeving en het onderwijs is emotieherkenning sowieso verboden onder artikel 5 — een transparantiemelding maakt dat gebruik niet alsnog rechtmatig.
De deepfake-verplichting raakt meer dan je verwacht
De vierde verplichting verdient aparte aandacht. Wie AI-gegenereerde of gemanipuleerde beeld-, audio- of videocontent publiceert, moet dat labelen. De definitie van “deepfake” is in de wet opvallend breed: het hoeft niet om personen te gaan. Ook AI-gegenereerde afbeeldingen van bestaande producten, gebouwen of plaatsen vallen eronder als het publiek de content als authentiek zou kunnen ervaren. De intentie om te misleiden is niet vereist.
De Europese Commissie noemt in haar guidelines expliciet: synthetische influencers in advertenties, CEO-videoboodschappen met AI-avatars en gemanipuleerde productbeelden. Voor marketing- en communicatieteams is dit dus concreet en actueel.
Als organisatie moet je nu aan de slag!
De boetes zijn er: tot 15 miljoen euro of 3% van de wereldwijde jaaromzet. De verplichtingen zijn er. Loop nu een rondje door je eigen organisatie — waar wordt AI ingezet, gegenereerd of gepubliceerd? Wil je weten waar je staat en wat je moet regelen? We kijken het samen door neem contact op.
Veelgestelde vragen over de AI Act
Voor iedereen die AI-systemen ontwikkelt, distribueert of gebruikt binnen de EU. Zowel aanbieders als gebruiksverantwoordelijken hebben verplichtingen — de verdeling daarvan hangt af van je rol.
Ja. Aanbieders van AI-systemen die direct met mensen communiceren, moeten de gebruiker bij het eerste contact duidelijk maken dat hij met AI te maken heeft. Een vermelding in de algemene voorwaarden is onvoldoende.
Mogelijk wel. Als de foto een bestaand product, gebouw of plaats weergeeft op een manier die als authentiek kan worden ervaren, valt het in principe onder de deepfake-definitie en geldt de labelplicht.
Shadow IT zijn alle tools die medewerkers gebruiken buiten het zicht van de IT-afdeling. Denk aan AI-tools zoals ChatGPT of beeldgeneratoren. Ook het gebruik van deze tools valt onder de AI Act — je bent als organisatie verantwoordelijk.
Boetes lopen op tot 15 miljoen euro of 3% van de wereldwijde jaaromzet voor overtredingen van de transparantieverplichtingen. Bij verboden AI-toepassingen kan dat oplopen tot 35 miljoen euro of 7% van de omzet.
Meer weten? Advies nodig? Neem contact op!
Dit was slechts een deel van wat wij u kunnen vertellen. Meer weten?
Wij antwoorden graag, neem vrijblijvend contact op!
Blog reactie
"*" geeft vereiste velden aan
