AI Act uitgelegd: een jaar na inwerkingtreding (10/10)

Sinds 2 februari 2025 zijn de eerste twee hoofdstukken van de AI Act van toepassing. In deze blogreeks hebben we deze eerste twee hoofdstukken uitgediept en hebben we de verplichting tot AI-geletterdheid behandeld (eerste blog) en de verboden praktijken (tweede tot en met negende blog).

Zo zijn organisaties sinds 2 februari 2025 verplicht te zorgen voor een bepaald niveau aan AI-geletterdheid bij medewerkers die werken met AI. Zonder voldoende kennis en bewustzijn rondom de risico’s van AI, is het gebruik onvoldoende verantwoord. Scholing dient daarbij juist ook ethisch en juridisch gefundeerd te zijn, zodat medewerkers AI op een verantwoorde manier kunnen inzetten en de kansen kunnen benutten.

Verder geldt dat sinds 2 februari 2025 AI-praktijken met een onaanvaardbaar risico zijn verboden. Het gaat daarbij kort gezegd om de volgende praktijken:

1. Gedragsmanipulatie (blog): AI-systemen die de kwetsbaarheden van personen gebruiken om gedrag op oneigenlijke wijze te beïnvloeden, zijn verboden. Denk aan systemen die via nudging of misleiding gebruikers aanzetten tot keuzes die tegen hun belang ingaan.
2. Uitbuiting van kwetsbaarheden (blog): AI-systemen die specifiek zijn ontworpen om misbruik te maken van fysieke of mentale beperkingen – zoals bij kinderen, ouderen of mensen met een beperking – zijn verboden. De bescherming van deze groepen staat centraal.
3. Social scoring (blog): het toekennen van scores aan burgers op basis van hun gedrag of sociale kenmerken, is verboden. Dit verbod weerspiegelt fundamentele Europese waarden over non-discriminatie en menselijke waardigheid.
4. Individual predictive policing (blog): AI-systemen die op individuele niveau toekomstige strafbare feiten voorspellen op basis van profileringsdata, zijn verboden. Op dit verbod bestaan enkele uitzonderingen.
5. Ongerichte scraping van gezichtsafbeeldingen (blog): het ongericht verzamelen van gezichtsafbeeldingen via openbare bronnen om een databank aan te leggen, bijvoorbeeld om vervolgens gezichtsherkenningsmodellen te trainen, is verboden.
6. Emotieherkenning (blog): de inzet van AI om emoties te detecteren bij werknemers en scholieren, is verboden. Op dit verbod bestaan enkele uitzonderingen.
7. Biometrische categorisering (blog): AI-systemen die mensen indelen op basis van biometrische gegevens, zijn niet toegestaan wanneer dit leidt tot discriminatie of stigmatisering. Op dit verbod bestaan enkele uitzonderingen.
8. Real-time biometrische identificatie op afstand in openbare ruimten (blog): dit type gezichtsherkenning – bijvoorbeeld in drukke stadscentra of op luchthavens – is slechts toegestaan onder zeer strikte voorwaarden, zoals bij de opsporing van ernstige misdrijven en met voorafgaande rechterlijke toestemming.

Hoewel de eerste regels aldus al gelden, is het implementatietraject complex en is er sprake van vertraging. Op 2 augustus 2025 zouden weer een paar hoofdstukken uit de AI Act van toepassing zijn, maar deze deadline is niet op alle onderdelen gehaald. Zo is er op dit moment nog geen aangewezen toezichthouder. Dit betekent echter niet dat de regels nog niet kunnen worden gehandhaafd. De verboden zijn immers rechtstreeks van toepassing sinds 2 februari 2025 en een overtreding van de AI Act betreft dan ook een onrechtmatige daad. Burgers of ondernemingen die daardoor schade leiden, kunnen op dit moment dan ook al een procedure starten.

GPAI verplichtingen en code of practice

Verder heeft de Europese Commissie op 10 juli 2025 een “General Purpose AI Code of Practice” gepubliceerd (zie hier) en op 18 juli 2025 richtsnoeren over de verplichtingen voor aanbieders van general-purpose AI-modellen (zie hier). De gedragscode is een vrijwillig nalevingsinstrument dat specifiek is ontworpen om aanbieders van general-purpose AI-modellen (zoals van GPT-4 of Claude) te ondersteunen bij het voldoen aan de verplichtingen uit de AI Act, met name op het gebied van veiligheid, transparantie en auteursrechten.

De Europese Commissie en de AI Board hebben bevestigd dat de code een toereikend instrument is om naleving van de AI Act aan te (kunnen) tonen. Hetgeen verplicht is sinds 2 augustus 2025 voor aanbieders van general-purpose AI-modellen. Door de gedragscode vrijwillig te ondertekenen en toe te passen, kunnen ontwikkelaars niet alleen aantonen dat zij in overeenstemming handelen met de AI Act, maar profiteren zij ook van verlaagde administratieve lasten en meer rechtszekerheid, aldus de Europese Commissie.

Gezien de vertragingen in het implementatietraject, heeft de Zweedse premier onlangs opgeroepen tot het inlassen van een tijdelijke pauze in de uitvoering van de AI Act. Het idee om de uitrol van de AI Act tijdelijk stop te zetten, kreeg ook steun vanuit Brussel. Er kwamen geluiden vanuit de Europese Commissie dat een pauze mogelijk is als de noodzakelijke richtsnoeren nog niet gereed zijn. Van een formeel besluit tot opschorting is echter (vooralsnog) geen sprake. Integendeel, de Europese Commissie zet de voorbereidingen voort en blijft aanvullende richtsnoeren publiceren ter ondersteuning.

Vooralsnog blijft de deadline van 2 augustus 2026 voor volledige naleving van de AI Act dan ook gehandhaafd. Organisaties doen er daarom verstandig aan om hun implementatiestrategie voort te zetten en tijdig te anticiperen op de (aankomende) verplichtingen.

Wij helpen u graag door AI-systemen binnen uw organisatie in kaart te brengen, te classificeren en de reeds bestaande verplichtingen met u uit te voeren. Dit doen wij samen met een externe partner en dit doen wij in drie stappen: een kennissessie, een AI-scan en vervolgens de implementatie. Daarmee hebben wij al geanticipeerd op de stappen die nu ook door de AP worden voorgeschreven.

Heeft uw organisatie hulp nodig bij het uitvoeren van deze stappen, dan biedt het Holla AI-team aldus de AI-scan aan. Heeft u hierover vragen? Neem dan contact met ons op. Wij helpen u graag verder en houd onze website in de gaten voor de andere artikelen uit onze blogreeks.