Om klanten te informeren over geautomatiseerde besluitvorming conform de AI Act moet je transparant communiceren over het gebruik van AI, de logica achter beslissingen uitleggen en betrokkenen wijzen op hun rechten. Dit geldt voor organisaties die AI-systemen inzetten die rechtsgevolgen hebben of mensen op vergelijkbare wijze wezenlijk treffen. In dit artikel beantwoorden we de meest gestelde vragen over AI-gedreven besluitvorming en de bijbehorende communicatieverplichtingen.
Welke verplichtingen legt de AI Act op bij geautomatiseerde besluitvorming?
De AI Act legt transparantieverplichtingen op aan organisaties die hoog-risico AI-systemen inzetten voor geautomatiseerde besluitvorming. Concreet betekent dit dat je betrokkenen moet informeren over het gebruik van AI, de werking van het systeem moet documenteren en menselijk toezicht moet waarborgen. De zwaarte van de verplichtingen hangt af van de risicocategorie van het systeem.
De AI Act werkt met vier risiconiveaus. De meeste toepassingen vallen in de categorie minimaal risico en zijn grotendeels ongereguleerd. Systemen met beperkt risico, zoals chatbots, vallen onder lichtere transparantieverplichtingen. Hoog-risico AI is streng gereguleerd en verboden toepassingen zijn per direct niet toegestaan.
Voor geautomatiseerde besluitvorming is de hoog-risico categorie het meest relevant. Denk aan systemen die worden ingezet bij kredietbeoordeling, personeelselectie, toegang tot essentiële diensten of onderwijstoelating. Voor deze toepassingen gelden verplichtingen zoals:
- Technische documentatie opstellen en actueel houden
- Een risicobeheerssysteem implementeren en bijhouden
- Menselijk toezicht technisch mogelijk maken
- Betrokkenen informeren over het gebruik van het AI-systeem
- Registratie in de EU-databank voor hoog-risico systemen
De meeste verplichtingen voor hoog-risico Annex III-systemen zijn van kracht vanaf 2 augustus 2026. Organisaties die nu al met zulke systemen werken, doen er verstandig aan de voorbereidingen niet langer uit te stellen.
Wie moet worden geïnformeerd over automatische beslissingen?
Bij geautomatiseerde besluitvorming moet je in eerste instantie de natuurlijke personen informeren die door het systeem worden beoordeeld of van wie het gedrag wordt voorspeld. Dit zijn de directe betrokkenen: klanten, sollicitanten, verzekerden of burgers die onderwerp zijn van de AI-beslissing. Daarnaast gelden informatievereisten richting toezichthouders en, in bepaalde gevallen, downstream-aanbieders.
In de context van klantcontact gaat het dus concreet om de mensen die contact opnemen met jouw organisatie en waarbij een geautomatiseerd systeem bepaalt hoe hun verzoek wordt afgehandeld, welke prioriteit het krijgt of welk aanbod ze ontvangen. Zij moeten weten dat er een AI-systeem betrokken is bij de beslissing die hen raakt.
Voor GPAI-modellen, zoals grote taalmodellen die worden ingebouwd in klantcontactsystemen, geldt bovendien dat de aanbieder van het model downstream-partijen moet informeren over de capaciteiten en beperkingen van het model. Als jouw organisatie zo’n model inzet, ben je als deployer verantwoordelijk voor de communicatie richting eindgebruikers.
Wat moet een kennisgeving over geautomatiseerde besluitvorming bevatten?
Een kennisgeving over geautomatiseerde besluitvorming moet minimaal vermelden dat er een AI-systeem wordt gebruikt, welk doel dat systeem dient, welke logica of criteria de beslissing sturen en welke rechten de betrokkene heeft. De informatie moet begrijpelijk zijn voor een gemiddelde lezer, niet alleen voor technici of juristen.
Concreet bevat een volledige kennisgeving de volgende elementen:
- Identificatie van het systeem: wat voor AI-systeem wordt er ingezet en voor welk doel
- Beslissingslogica: welke factoren of gegevens spelen een rol in de uitkomst
- Gevolgen: wat is het rechtsgevolg of de wezenlijke impact op de betrokkene
- Rechten van de betrokkene: recht op uitleg, recht op menselijke tussenkomst, recht op bezwaar
- Contactmogelijkheid: hoe de betrokkene een mens kan bereiken voor vragen of bezwaar
Voor hoog-risico systemen schrijft de AI Act voor dat de informatie beschikbaar moet zijn voordat het systeem een beslissing neemt die de betrokkene raakt. Achteraf informeren is in de meeste gevallen onvoldoende.
Hoe verschilt de AI Act van de AVG op het gebied van geautomatiseerde beslissingen?
De AI Act en de AVG overlappen op het gebied van geautomatiseerde besluitvorming, maar vullen elkaar aan in plaats van elkaar te vervangen. De AVG geeft betrokkenen het recht om niet uitsluitend onderworpen te worden aan geautomatiseerde besluitvorming met rechtsgevolgen en regelt het recht op uitleg achteraf. De AI Act legt aanvullende eisen op aan de ontwikkeling, documentatie en het toezicht op AI-systemen zelf, nog vóór de beslissing plaatsvindt.
Wat regelt de AVG?
De AVG (Artikel 22) verbiedt in principe volledig geautomatiseerde besluitvorming met rechtsgevolgen, tenzij er een uitzondering van toepassing is, zoals uitdrukkelijke toestemming of contractuele noodzaak. De betrokkene heeft recht op menselijke tussenkomst, het recht om zijn standpunt kenbaar te maken en het recht om de beslissing aan te vechten. De AVG focust op de rechten van de persoon na de beslissing.
Wat voegt de AI Act toe?
De AI Act gaat een stap verder door eisen te stellen aan het systeem zelf, nog vóórdat het wordt ingezet. Denk aan verplichte risicobeoordelingen, technische documentatie, nauwkeurigheidstests en het inbouwen van menselijk toezicht als technische vereiste. Waar de AVG beschermt via rechten, beschermt de AI Act via systeemkwaliteit en transparantie aan de voorkant. Organisaties moeten aan beide kaders voldoen; compliance met de AVG is geen vervanging voor AI Act-compliance.
Hoe stel je een begrijpelijke klantmededeling op over AI-beslissingen?
Een begrijpelijke klantmededeling over AI-beslissingen schrijf je in gewone taal, vanuit het perspectief van de klant. Vermijd juridisch jargon en technische termen. Begin met wat de klant direct merkt, leg uit waarom AI wordt ingezet en maak duidelijk wat de klant kan doen als hij het er niet mee eens is. Concreet en eerlijk taalgebruik wekt meer vertrouwen dan formele disclaimers.
Praktische richtlijnen voor een effectieve klantmededeling:
- Gebruik actieve zinnen: schrijf "Wij gebruiken een geautomatiseerd systeem om…" in plaats van "Er wordt gebruik gemaakt van…"
- Benoem het doel concreet: zeg waarvoor het systeem wordt ingezet, bijvoorbeeld prioritering van klantvragen of beoordeling van een aanvraag
- Vermijd vage omschrijvingen: "algoritme" zonder uitleg zegt een klant niets; beschrijf wat het systeem feitelijk doet
- Wijs op rechten in begrijpelijke taal: "Je kunt altijd vragen om een medewerker die jouw situatie opnieuw bekijkt"
- Maak het vindbaar: zorg dat de informatie beschikbaar is op het moment dat de klant het nodig heeft, niet alleen in de algemene voorwaarden
Test de mededeling bij een kleine groep klanten of medewerkers zonder technische achtergrond. Als zij de tekst begrijpen, voldoe je waarschijnlijk aan de geest van de transparantieverplichting.
Wat zijn de gevolgen van non-compliance met de AI Act voor klantcommunicatie?
Non-compliance met de AI Act op het gebied van klantcommunicatie kan leiden tot aanzienlijke boetes, reputatieschade en gedwongen aanpassingen van je systemen. De boetestructuur kent drie treden: overtredingen van verboden praktijken kunnen oplopen tot 35 miljoen euro of 7% van de wereldwijde jaaromzet, non-conformiteit met overige verplichtingen tot 15 miljoen euro of 3%, en het verstrekken van onjuiste informatie aan autoriteiten tot 7,5 miljoen euro of 1%.
Naast financiële risico’s zijn er ook operationele gevolgen. Toezichthouders kunnen eisen dat je een systeem tijdelijk stilzet of aanpast voordat je het opnieuw mag inzetten. Finland was in januari 2026 de eerste lidstaat die handhavingsbevoegdheden formeel toekende aan zijn nationale autoriteit. Andere EU-lidstaten volgen, wat betekent dat handhaving steeds concreter wordt en dichterbij komt.
Voor kleine en middelgrote organisaties geldt dat de boete wordt gemaximeerd op het laagste van het vaste bedrag of het percentage van de omzet. Dat biedt enige bescherming, maar ontslaat je niet van de verplichting om te voldoen. Proactief investeren in correcte klantcommunicatie is aanzienlijk goedkoper dan achteraf corrigeren onder druk van een toezichthouder.
Hoe Pegamento helpt met geautomatiseerde besluitvorming en AI Act-compliance
Als je AI inzet in je klantcontact, wil je zeker weten dat je systemen transparant, traceerbaar en compliant zijn. Wij helpen organisaties bij het verantwoord inzetten van AI in customer service, waarbij compliance geen bijzaak is maar een integraal onderdeel van de oplossing. Onze aanpak combineert slimme technologie met heldere governance, zonder kostbaar maatwerk maar met bewezen modules die je snel kunt inzetten.
Concreet bieden we:
- Agentic AI-assistenten die zelfstandig initiatief nemen en handelen, maar waarbij menselijk toezicht altijd ingebouwd is
- Omnichannel klantcontactoplossingen waarbij alle kanalen onder één dak worden beheerd, inclusief audit trails voor geautomatiseerde beslissingen
- Ondersteuning bij het opstellen van begrijpelijke klantmededelingen en interne documentatie conform de AI Act-vereisten
- Alles onder één dak: van implementatie tot beheer, zodat je één aanspreekpunt hebt en geen complexe leveranciersstructuur
Pegamento is ISO 27001 gecertificeerd voor informatiebeveiliging, aangevuld met ISO 9001 en ISO 26000, wat betekent dat je kunt bouwen op een partner die kwaliteit en verantwoordelijkheid serieus neemt. Wil je weten hoe jouw organisatie zich kan voorbereiden op de AI Act-verplichtingen? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Geldt de AI Act ook voor kleine bedrijven die slechts één AI-tool gebruiken in hun klantcontact?
Ja, de AI Act is van toepassing op alle organisaties die AI-systemen inzetten binnen de EU, ongeacht hun omvang. Wel biedt de wet enige bescherming voor kleinere organisaties: boetes worden gemaximeerd op het laagste van het vaste bedrag of een percentage van de omzet. Toch ben je als klein bedrijf niet vrijgesteld van de transparantie- en documentatieverplichtingen als je een hoog-risico systeem inzet. Een eerste stap is bepalen in welke risicocategorie jouw AI-toepassing valt.
Hoe weet ik of het AI-systeem dat ik gebruik als 'hoog-risico' wordt geclassificeerd?
Een AI-systeem valt in de hoog-risico categorie als het wordt ingezet voor toepassingen die zijn opgesomd in Bijlage III van de AI Act, zoals kredietbeoordeling, personeelselectie, toegang tot essentiële diensten of onderwijstoelating. Als jouw systeem beslissingen neemt die rechtsgevolgen hebben of mensen op een vergelijkbare wezenlijke manier treffen, is de kans groot dat het hoog-risico is. Raadpleeg bij twijfel de officiële EU-checklist of schakel juridisch of technisch advies in om de classificatie te bevestigen.
Wat is de meest gemaakte fout bij het opstellen van een klantmededeling over AI-beslissingen?
De meest voorkomende fout is het verstoppen van de AI-kennisgeving in de algemene voorwaarden of een privacyverklaring die klanten zelden lezen. De AI Act vereist dat informatie beschikbaar is op het moment dat het relevant is voor de betrokkene, dus vóórdat of op het moment dat de beslissing plaatsvindt. Een tweede veelgemaakte fout is het gebruik van vage termen zoals 'geautomatiseerde verwerking' zonder concreet uit te leggen wat het systeem doet en welke gevolgen dat heeft voor de klant.
Moeten wij ook voldoen aan de AI Act als wij een AI-tool inkopen bij een externe leverancier?
Ja, als deployer (de organisatie die het AI-systeem inzet) blijf je verantwoordelijk voor de communicatie richting eindgebruikers en voor het waarborgen van menselijk toezicht, ook als het systeem is ontwikkeld door een externe aanbieder. De aanbieder is verantwoordelijk voor de technische documentatie en de conformiteit van het systeem zelf, maar jij bent verantwoordelijk voor de correcte inzet ervan. Zorg er bij de contractonderhandeling voor dat je leverancier de benodigde documentatie en informatie levert die jij nodig hebt om aan jouw eigen verplichtingen te voldoen.
Hoe combineer ik de verplichtingen uit de AI Act met de bestaande AVG-verplichtingen in de praktijk?
De meest praktische aanpak is om je bestaande AVG-documentatie als vertrekpunt te nemen en deze uit te breiden met de aanvullende AI Act-vereisten. Waar de AVG al een privacyverklaring en verwerkingsregister vereist, voeg je daar de AI-specifieke elementen aan toe: risicobeoordelingen, technische documentatie en transparantie-informatie over de beslissingslogica. Combineer de rechteninformatie voor betrokkenen in één begrijpelijk document, zodat klanten niet worden overspoeld met afzonderlijke juridische verklaringen.
Wat houdt 'menselijk toezicht' precies in en hoe implementeer ik dat technisch?
Menselijk toezicht betekent dat een medewerker altijd in staat moet zijn om een AI-beslissing te begrijpen, te controleren, te corrigeren of te negeren voordat deze definitief effect heeft op een betrokkene. Technisch gezien houdt dit in dat je systeem een 'human-in-the-loop' of 'human-on-the-loop' mechanisme moet bevatten, afhankelijk van de risicocategorie. Concreet kan dit een goedkeuringsstap zijn voor hoog-impact beslissingen, een dashboard waarop medewerkers AI-aanbevelingen kunnen reviewen, of een escalatiepad waarbij de klant altijd een menselijke medewerker kan bereiken.
Wanneer moet mijn organisatie uiterlijk compliant zijn met de AI Act-verplichtingen voor hoog-risico systemen?
De meeste verplichtingen voor hoog-risico Annex III-systemen treden in werking op 2 augustus 2026. Dat lijkt nog ver weg, maar de voorbereidingstijd voor risicobeoordelingen, technische documentatie, systeemaanpassingen en het opstellen van klantcommunicatie is aanzienlijk. Organisaties die nu al met hoog-risico AI werken, wordt aangeraden direct te starten met een gap-analyse om te bepalen welke aanpassingen nodig zijn en hoeveel tijd en middelen daarvoor nodig zijn.
