De EU AI Act is gefaseerd in werking getreden: de verordening is op 1 augustus 2024 officieel van kracht geworden, maar de verplichtingen gelden niet allemaal tegelijk. Afhankelijk van het type AI-systeem gelden er verschillende deadlines, verspreid over een periode van twee jaar. Als je als Nederlandse organisatie met AI werkt, is het belangrijk om te weten welke regels al gelden en welke er nog aankomen. In dit artikel beantwoorden we de meest gestelde vragen over de EU AI Act en de bijbehorende tijdlijn.
Welke fasen kent de inwerkingtreding van de EU AI Act?
De EU AI Act volgt een getrapt inwerkingtredingsschema met vier belangrijke momenten. De wet trad in werking op 1 augustus 2024, maar de concrete verplichtingen worden stapsgewijs van kracht over een periode van 24 maanden. Dit geeft organisaties tijd om zich voor te bereiden, maar de klok tikt wel degelijk.
De vier fasen zijn als volgt:
- 1 augustus 2024: De EU AI Act treedt formeel in werking. De tekst is bindend, maar de meeste verplichtingen gelden nog niet.
- 2 februari 2025: Het verbod op AI-toepassingen met een onaanvaardbaar risico wordt van kracht. Dit zijn de zogenoemde verboden praktijken uit Artikel 5.
- 2 augustus 2025: De verplichtingen voor aanbieders van General Purpose AI-modellen (GPAI) gaan in. Denk aan grote taalmodellen en andere breed inzetbare AI-systemen.
- 2 augustus 2026: De volledige regelgeving voor hoog-risico AI-systemen wordt van kracht. Dit is de zwaarste en meest uitgebreide categorie verplichtingen.
Voor Nederlandse organisaties betekent dit dat je in 2026 al met de eerste twee fasen te maken hebt gehad en nu de derde fase ingaat. De tijd om actie te ondernemen is nu, niet na de deadline.
Wat zijn de eerste verplichtingen die al gelden vanaf 2025?
Vanaf 2 februari 2025 zijn bepaalde AI-toepassingen volledig verboden in de hele Europese Unie. Dit zijn praktijken die als onaanvaardbaar risicovol worden beschouwd en die per direct niet meer mogen worden ingezet, ontwikkeld of op de markt gebracht.
De verboden praktijken omvatten onder andere:
- Subliminale of manipulatieve technieken die buiten iemands bewustzijn gedrag sturen en schade veroorzaken
- Het uitbuiten van kwetsbaarheden op basis van leeftijd, handicap of sociaaleconomische situatie
- Social scoring door overheden op basis van persoonlijk gedrag
- Predictive policing uitsluitend op basis van profilering, zonder concrete aanwijzingen
- Het aanleggen van gezichtsherkenningsdatabases via ongerichte scraping van internet of beveiligingscamera’s
- Emotieherkenning op de werkplek of in onderwijsinstellingen, met uitzondering van medische of veiligheidstoepassingen
- Biometrische categorisatie om gevoelige kenmerken zoals ras, politieke overtuigingen of seksuele geaardheid af te leiden
- Real-time biometrische identificatie op afstand in openbare ruimten voor rechtshandhaving, buiten strikte uitzonderingen
Vanaf 2 augustus 2025 gelden daarnaast verplichtingen voor aanbieders van GPAI-modellen. Zij moeten technische documentatie opstellen, downstream-aanbieders informeren over mogelijkheden en beperkingen, een beleid voeren om auteursrechten na te leven, en een samenvatting van gebruikte trainingsdata publiek beschikbaar stellen.
Welke AI-systemen vallen onder de hoog-risico categorie?
Hoog-risico AI is gedefinieerd in Artikel 6 van de EU AI Act en omvat twee typen systemen. Ten eerste: AI die als veiligheidscomponent wordt gebruikt in producten die al onder bestaande Europese harmonisatiewetgeving vallen en waarbij een conformiteitsbeoordeling door een derde partij vereist is. Ten tweede: AI-systemen die worden ingezet in een van de acht specifieke domeinen uit Annex III van de wet.
Die acht domeinen zijn:
- Biometrie (inclusief emotieherkenning en biometrische categorisatie)
- Kritieke infrastructuur (energie, water, transport, digitale infrastructuur)
- Onderwijs en beroepsopleiding (toelating, beoordeling van studenten)
- Werkgelegenheid en personeelsbeheer (werving, prestatiebeoordeling, promotie)
- Toegang tot essentiële diensten (kredietwaardigheid, verzekeringen, noodoproepen)
- Rechtshandhaving (risicobeoordelingen, bewijs, opsporing)
- Migratie en grenscontrole
- Rechtsbedeling en democratische processen
Belangrijk om te weten: een systeem dat in een van deze domeinen uitsluitend een beperkte procedurele of voorbereidende taak vervult en geen significant risico voor grondrechten vormt, kan buiten de hoog-risico-categorie vallen. Maar dit moet de aanbieder dan wel onderbouwd documenteren. AI-systemen die profilering van natuurlijke personen uitvoeren, zijn altijd hoog-risico, zonder uitzondering.
Wat is de deadline voor hoog-risico AI-systemen?
De volledige verplichtingen voor hoog-risico AI-systemen gaan in op 2 augustus 2026. Dat is de uiterste datum waarop aanbieders en gebruikers van hoog-risico AI volledig moeten voldoen aan alle eisen uit de EU AI Act. Voor organisaties die nu al met dit soort systemen werken, is voorbereiding dus urgent.
De verplichtingen voor aanbieders van hoog-risico AI zijn omvangrijk:
- Een continu risicomanagementsysteem opzetten gedurende de gehele levenscyclus van het systeem
- Werken met trainings-, validatie- en testdata die representatief en zo vrij mogelijk van fouten zijn
- Potentiële bias systematisch onderzoeken en mitigeren
- Technische documentatie opstellen conform Annex IV
- Automatische logging van gebeurtenissen mogelijk maken
- Een duidelijke gebruiksaanwijzing leveren aan deployers
- Een ontwerp hanteren dat effectief menselijk toezicht mogelijk maakt
- Nauwkeurigheid, robuustheid en cybersecurity waarborgen
- Een kwaliteitsmanagementsysteem, conformiteitsverklaring, CE-markering en registratie in de EU-databank regelen
Ook deployers, de organisaties die hoog-risico AI onder eigen gezag gebruiken, hebben verplichtingen. Zij moeten het systeem gebruiken conform de gebruiksaanwijzing, menselijk toezicht toewijzen aan bekwame personen, logs minimaal zes maanden bewaren, medewerkers informeren vóór ingebruikname en waar nodig een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren.
Wat zijn de gevolgen van niet-naleving van de EU AI Act?
Niet-naleving van de EU AI Act kan leiden tot aanzienlijke financiële sancties. De boetes zijn vergelijkbaar met de GDPR-systematiek: ze zijn afhankelijk van de ernst van de overtreding en de omvang van de organisatie. Voor de zwaarste overtredingen, zoals het inzetten van verboden AI-praktijken, liggen de maximale boetes op het hoogste niveau.
Naast financiële sancties zijn er ook operationele en reputatierisico’s. Een systeem dat niet voldoet aan de eisen kan van de markt worden gehaald of verboden worden ingezet. Bovendien kunnen personen die zijn blootgesteld aan beslissingen van hoog-risico AI-systemen op grond van Artikel 86 een uitleg opvragen van de bepalende factoren. Dit vergroot de juridische kwetsbaarheid van organisaties die niet transparant opereren.
Voor Nederlandse organisaties geldt ook dat toezichthouders actief gaan handhaven. De Autoriteit Persoonsgegevens en andere relevante instanties krijgen een rol in het toezicht op de naleving van de AI Act, in aanvulling op het Europese AI Office dat toezicht houdt op GPAI-modellen.
Hoe bereiden Nederlandse organisaties zich voor op de AI Act?
De voorbereiding op de EU AI Act begint met een heldere inventarisatie van alle AI-systemen die je organisatie gebruikt of aanbiedt. Vervolgens breng je per systeem in kaart in welke risicocategorie het valt en welke verplichtingen daaruit voortvloeien. Dit klinkt overzichtelijk, maar in de praktijk is het voor veel organisaties een complexe exercitie.
Een praktische aanpak bestaat uit de volgende stappen:
- Inventariseer alle AI-toepassingen binnen je organisatie, inclusief ingekochte software met AI-componenten
- Classificeer elk systeem op basis van de risicocategorieën uit de AI Act
- Bepaal je rol: ben je aanbieder (provider) of deployer? De verplichtingen verschillen aanzienlijk
- Stel documentatie op conform de vereisten, inclusief technische documentatie en risicoanalyses
- Richt processen in voor menselijk toezicht, logging en incidentmelding
- Train medewerkers die met hoog-risico AI werken, zodat zij hun verantwoordelijkheden kennen
- Houd de ontwikkelingen bij, want gedragscodes en geharmoniseerde normen worden nog verder uitgewerkt
Voor organisaties die AI inzetten in klantcontact of bedrijfsprocessen is het ook verstandig om te kijken naar de bredere governance rondom AI. Denk aan het koppelen van AI-compliance aan bestaande frameworks voor informatiebeveiliging en kwaliteitsmanagement.
Hoe Pegamento helpt met AI Act-compliance
Wij begrijpen dat de EU AI Act veel vragen oproept, zeker als je al werkt met AI-oplossingen in klantcontact of procesautomatisering. Bij Pegamento helpen we Nederlandse organisaties om verantwoord en compliant met AI aan de slag te gaan. Onze Agentic AI voor customer service is gebouwd op een fundament van transparantie, menselijk toezicht en betrouwbaarheid. Agentic AI is de evolutie van klassieke RPA-bots naar zelfdenkende assistenten die niet alleen instructies opvolgen, maar zelfstandig initiatief nemen en handelen binnen vooraf vastgestelde kaders.
Wat wij bieden in het kader van verantwoorde AI-inzet:
- Slimme combinatie van bewezen modules die voldoen aan de eisen rondom transparantie en menselijk toezicht
- Alles onder één dak: van advies en implementatie tot beheer en ondersteuning, zonder complexe leveranciersstructuren
- Oplossingen die aansluiten bij onze ISO 27001-gecertificeerde aanpak voor informatiebeveiliging, aangevuld met ISO 9001 en ISO 26000
- Begeleiding bij het inrichten van logging, gebruiksaanwijzingen en menselijk toezicht conform de AI Act-vereisten
Wil je weten hoe jouw organisatie er nu voor staat in het licht van de EU AI Act? Neem contact op en we denken graag met je mee over de volgende stap.
Veelgestelde vragen
Geldt de EU AI Act ook voor kleine en middelgrote ondernemingen (mkb)?
Ja, de EU AI Act is van toepassing op alle organisaties die AI-systemen aanbieden of gebruiken binnen de EU, ongeacht hun omvang. Wel biedt de wet enkele verlichtingen voor mkb-bedrijven en startups, zoals verminderde kosten voor conformiteitsbeoordelingen en toegang tot regulatoire sandboxen om te experimenteren met AI onder begeleiding van toezichthouders. Dit neemt niet weg dat ook kleinere organisaties verplicht zijn om verboden AI-praktijken te vermijden en bij gebruik van hoog-risico AI te voldoen aan de relevante eisen.
Wat als ik als organisatie gebruik maak van AI-software van een externe leverancier? Ben ik dan ook verantwoordelijk?
Ja, als deployer — de partij die een AI-systeem onder eigen gezag inzet — draag je eigen verantwoordelijkheden onder de EU AI Act, ook als je de software niet zelf hebt ontwikkeld. Dit betekent dat je het systeem conform de gebruiksaanwijzing van de aanbieder moet inzetten, menselijk toezicht moet borgen en logs minimaal zes maanden moet bewaren. Het is daarom verstandig om bij inkoop van AI-software contractueel vast te leggen welke documentatie en ondersteuning de leverancier levert om jouw compliance te faciliteren.
Hoe weet ik of mijn AI-systeem écht buiten de hoog-risico categorie valt?
Dit is een van de meest praktische uitdagingen bij de implementatie van de AI Act. Een systeem valt buiten de hoog-risico categorie als het weliswaar in een van de acht Annex III-domeinen wordt ingezet, maar uitsluitend een beperkte procedurele of voorbereidende taak vervult zonder significant risico voor grondrechten. Cruciaal is dat je dit oordeel schriftelijk onderbouwt en documenteert — zonder die onderbouwing is de uitsluiting juridisch kwetsbaar. Bij twijfel is het raadzaam om juridisch of technisch advies in te winnen voordat je concludeert dat een systeem niet hoog-risico is.
Wat zijn de meest voorkomende fouten die organisaties maken bij de voorbereiding op de AI Act?
Een veelgemaakte fout is het onderschatten van de scope: veel organisaties realiseren zich niet hoeveel AI-componenten er al verwerkt zitten in standaardsoftware zoals HR-tools, CRM-systemen of klantenserviceplatformen. Daarnaast wachten veel organisaties te lang met de inventarisatie, waardoor er onvoldoende tijd overblijft voor het opstellen van de vereiste documentatie en het inrichten van processen vóór de deadlines van 2025 en 2026. Een derde veelvoorkomende fout is het niet duidelijk vastleggen van rollen: wie is aanbieder en wie is deployer, en wat zijn de bijbehorende verantwoordelijkheden?
Hoe verhoudt de EU AI Act zich tot de AVG (GDPR) die we al kennen?
De EU AI Act en de AVG vullen elkaar aan maar overlappen op bepaalde punten, met name rondom de verwerking van persoonsgegevens door AI-systemen. Zo is de verplichting voor deployers om een DPIA uit te voeren bij hoog-risico AI direct gekoppeld aan de AVG-verplichtingen. In de praktijk betekent dit dat AI-compliance en privacycompliance niet los van elkaar kunnen worden gezien en bij voorkeur geïntegreerd worden aangepakt binnen één governance-framework. Organisaties die al een volwassen AVG-proces hebben, kunnen dit als fundament gebruiken voor hun AI Act-voorbereiding.
Zijn er al officiële richtlijnen of normen beschikbaar om te helpen bij de implementatie?
De EU AI Act verwijst naar geharmoniseerde normen die nog worden ontwikkeld door Europese normalisatie-instellingen zoals CEN en CENELEC. Daarnaast werkt het Europese AI Office aan gedragscodes, met name voor aanbieders van GPAI-modellen. Op dit moment zijn er al wel praktische hulpmiddelen beschikbaar, zoals de AI Act Compliance Checker van de Europese Commissie en sectorspecifieke guidance vanuit toezichthouders. Het is belangrijk om deze ontwikkelingen actief bij te houden, omdat de nadere uitwerking van normen directe impact heeft op hoe je aan de verplichtingen kunt voldoen.
Wat betekent 'menselijk toezicht' concreet in de context van de AI Act, en hoe richt ik dit in?
Menselijk toezicht houdt in dat een bekwaam persoon de mogelijkheid heeft om het AI-systeem te begrijpen, te monitoren, te corrigeren of te stoppen wanneer dat nodig is — en dat dit ook daadwerkelijk in de praktijk wordt uitgeoefend, niet alleen op papier. Concreet betekent dit dat je medewerkers aanwijst die verantwoordelijk zijn voor het toezicht, hen traint zodat ze de werking en beperkingen van het systeem begrijpen, en procedures inricht voor het escaleren of ingrijpen bij afwijkende uitkomsten. Voor AI-systemen in klantcontact of besluitvorming is het ook belangrijk dat de toezichthouder niet alleen bevoegd is om in te grijpen, maar ook de tijd en middelen heeft om dit effectief te doen.
