De AI Act stelt duidelijke regels voor geautomatiseerde besluitvorming in klantenservice: AI-systemen die beslissingen nemen die mensen direct raken, vallen in veel gevallen onder de transparantie- en toezichtsverplichtingen van de verordening. Of een systeem ook als hoog-risico wordt aangemerkt, hangt af van de aard van de beslissing en het domein waarin het wordt ingezet. In dit artikel beantwoorden we de meest gestelde vragen over wat de AI Act betekent voor jouw klantenservice-organisatie. Meer achtergrond over hoe AI in klantcontact werkt, vind je op onze pagina over AI-gedreven intelligentie.
Welke AI-systemen in klantenservice vallen onder de AI Act?
De meeste AI-systemen in klantenservice vallen niet automatisch onder de strenge hoog-risico-categorie van de AI Act. Chatbots, virtuele assistenten en geautomatiseerde routeringstools worden doorgaans aangemerkt als systemen met beperkt risico, waarvoor lichtere transparantieverplichtingen gelden. Systemen die profilering van klanten uitvoeren of beslissingen nemen over toegang tot essentiële diensten, zijn altijd hoog-risico.
De AI Act onderscheidt vier risiconiveaus: verboden toepassingen, hoog-risico AI, AI met beperkt risico en AI met minimaal of geen risico. Voor klantenservice is het onderscheid tussen de laatste drie categorieën het meest relevant.
Beperkt-risico toepassingen in klantenservice
Chatbots en virtuele agents die klanten informeren of begeleiden, vallen doorgaans onder de beperkt-risico-categorie. De belangrijkste verplichting hier is transparantie: klanten moeten weten dat ze met een AI-systeem communiceren, niet met een mens. Dit geldt ook voor geautomatiseerde e-mailresponsen en AI-gestuurde kennisbanken.
Hoog-risico AI in klantenservice
Een systeem wordt hoog-risico zodra het profilering van natuurlijke personen uitvoert, of wanneer het beslissingen neemt over toegang tot essentiële diensten zoals verzekeringen, krediet of noodhulpdiensten. Denk aan een AI-systeem dat automatisch bepaalt of een klant in aanmerking komt voor een betalingsregeling, of dat klanten categoriseert op basis van gedragspatronen. Zulke systemen vallen onder Annex III van de AI Act en zijn onderworpen aan strikte verplichtingen.
Wat zijn de verplichtingen bij hoog-risico geautomatiseerde beslissingen?
Bij hoog-risico geautomatiseerde besluitvorming gelden uitgebreide verplichtingen voor zowel de aanbieder van het systeem als de organisatie die het inzet. De aanbieder moet een risicomanagementsysteem opzetten, technische documentatie bijhouden en zorgen voor betrouwbare, representatieve trainingsdata. Als organisatie die het systeem gebruikt, ben je verplicht menselijk toezicht toe te wijzen, logs minimaal zes maanden te bewaren en medewerkers te informeren vóór ingebruikname.
Concreet betekent dit voor deployers, de partijen die een hoog-risico AI-systeem onder eigen gezag gebruiken, het volgende:
- Het systeem uitsluitend inzetten conform de gebruiksaanwijzing van de aanbieder
- Menselijk toezicht toewijzen aan bekwame en getrainde medewerkers
- Automatische logs minimaal zes maanden bewaren
- Medewerkers informeren vóór het systeem in gebruik wordt genomen (Artikel 26(7))
- Waar van toepassing een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren
Klanten die aan een beslissing van een hoog-risico systeem zijn onderworpen, hebben bovendien op grond van Artikel 86 het recht om uitleg te vragen over de bepalende factoren achter die beslissing. Dit recht op uitlegbaarheid is nieuw ten opzichte van bestaande wetgeving en vraagt om concrete aanpassingen in je processen en communicatie.
Hoe verhoudt de AI Act zich tot de AVG bij klantdata?
De AI Act en de AVG vullen elkaar aan, maar overlappen elkaar op belangrijke punten. Waar de AVG rechten geeft rondom de verwerking van persoonsgegevens, regelt de AI Act de veiligheid en transparantie van de AI-systemen zelf. Bij geautomatiseerde besluitvorming met klantdata gelden beide wetteksten tegelijkertijd, wat betekent dat je aan de eisen van beide moet voldoen.
Artikel 22 van de AVG geeft mensen al het recht om niet uitsluitend onderworpen te zijn aan geautomatiseerde besluitvorming die rechtsgevolgen heeft of hen anderszins aanzienlijk treft. De AI Act bouwt hierop voort door aanvullende eisen te stellen aan de systemen die zulke beslissingen nemen, ongeacht of er persoonsgegevens in het geding zijn.
In de praktijk betekent dit dat je bij het inzetten van AI voor klantcontact altijd twee vragen moet stellen: verwerkt het systeem persoonsgegevens (AVG), en neemt het beslissingen die klanten direct raken (AI Act)? Als het antwoord op beide vragen ja is, moet je ook een DPIA uitvoeren. Beide toezichthouders, de Autoriteit Persoonsgegevens en de nationale AI-toezichthouder, kunnen handhaven.
Wanneer is menselijk toezicht verplicht bij AI-beslissingen?
Menselijk toezicht is verplicht bij alle hoog-risico AI-systemen. Dit betekent dat een getrainde medewerker altijd in staat moet zijn om de werking van het systeem te begrijpen, in te grijpen en beslissingen te corrigeren of te annuleren. De verplichting geldt niet alleen op papier: het systeem zelf moet zo ontworpen zijn dat effectief toezicht technisch mogelijk is.
De AI Act waarschuwt expliciet voor automation bias, de neiging van mensen om AI-beslissingen klakkeloos te accepteren. Aanbieders moeten hun systemen zo ontwerpen dat gebruikers zich bewust blijven van de beperkingen van het systeem. Voor klantenservice-organisaties betekent dit dat medewerkers niet alleen de bevoegdheid, maar ook de kennis en tools moeten hebben om AI-beslissingen kritisch te beoordelen.
Bij systemen met beperkt risico, zoals een chatbot die informatie geeft, is formeel menselijk toezicht niet wettelijk verplicht. Maar ook hier is het verstandig om escalatiepaden in te richten, zodat klanten altijd bij een medewerker terecht kunnen als de AI niet toereikend is.
Wat moeten organisaties doen om AI Act-compliant te zijn?
Om AI Act-compliant te zijn, moet je als organisatie eerst in kaart brengen welke AI-systemen je gebruikt en in welke risicocategorie ze vallen. Vervolgens stel je per systeem vast welke verplichtingen van toepassing zijn en wie verantwoordelijk is voor naleving. De meeste verplichtingen voor hoog-risico Annex III-systemen gaan in per 2 augustus 2026, maar de voorbereidingen vergen tijd.
Een praktische aanpak omvat de volgende stappen:
- AI-inventarisatie: Breng alle AI-toepassingen in je klantenservice in kaart, van chatbots tot routeringsalgoritmen en scoringsmodellen.
- Risicoklassificatie: Bepaal per systeem of het hoog-risico, beperkt-risico of minimaal-risico is op basis van de criteria in de AI Act.
- Verantwoordelijkheidsverdeling: Stel vast wie aanbieder is en wie deployer, want de verplichtingen verschillen per rol.
- Transparantie naar klanten: Zorg dat klanten weten wanneer ze met AI communiceren en hoe ze een menselijke medewerker kunnen bereiken.
- Menselijk toezicht inrichten: Wijs getrainde medewerkers aan die hoog-risico systemen kunnen monitoren en bijsturen.
- Documentatie op orde: Bewaar logs, gebruiksaanwijzingen en beoordelingen conform de wettelijke bewaarplichten.
- AI-geletterdheid: Train medewerkers in het begrijpen van AI-beslissingen, een verplichting die al geldt vanaf 2 februari 2025.
Voor organisaties die nog niet eerder structureel met AI-compliance bezig zijn geweest, is de AI Act een goede aanleiding om dit te formaliseren. De boetes voor non-conformiteit kunnen oplopen tot 15 miljoen euro of 3% van de wereldwijde jaaromzet, afhankelijk van de overtreding.
Hoe Pegamento helpt met AI Act-compliance in klantenservice
Wij begrijpen dat de combinatie van de AI Act en geautomatiseerde besluitvorming veel vragen oproept, zeker als je meerdere systemen gebruikt die niet goed met elkaar communiceren. Bij Pegamento helpen we je om AI in klantenservice op een verantwoorde en effectieve manier in te zetten. Onze Agentic AI voor customer service oplossingen zijn gebouwd op een fundament van transparantie en menselijk toezicht, precies wat de AI Act vereist.
Wat we voor je kunnen doen:
- Risicoklassificatie van je huidige AI-toepassingen, zodat je weet waar je staat en welke stappen prioriteit hebben
- Oplossingen op maat met standaard bouwblokken, zonder kostbaar maatwerk, die voldoen aan de transparantie- en toezichtsvereisten van de AI Act
- Agentic AI-assistenten die niet alleen instructies opvolgen, maar zelfstandig initiatief nemen, en die zijn ontworpen met ingebouwde escalatiepaden naar menselijke medewerkers. Dit is de evolutie van klassieke RPA-bots naar zelfdenkende assistenten die handelen binnen duidelijke kaders.
- Alles onder één dak: van advies en implementatie tot beheer en ondersteuning, zonder dat je meerdere leveranciers hoeft te coördineren
- ISO 27001-gecertificeerde informatiebeveiliging, aangevuld met ISO 9001 en ISO 26000, als basis voor een compliance-proof infrastructuur
Wil je weten hoe jouw organisatie ervoor staat op het gebied van AI Act-compliance? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Geldt de AI Act ook voor kleine en middelgrote bedrijven in klantenservice?
Ja, de AI Act is van toepassing op alle organisaties die AI-systemen inzetten binnen de EU, ongeacht hun omvang. Wel biedt de verordening enige ruimte voor mkb-bedrijven en start-ups: zij komen in aanmerking voor vereenvoudigde documentatieverplichtingen en kunnen gebruikmaken van regulatoire sandboxes om systemen te testen. Toch gelden de kernverplichtingen rondom transparantie, menselijk toezicht en AI-geletterdheid ook voor kleinere organisaties.
Wat is het verschil tussen een 'aanbieder' en een 'deployer' onder de AI Act, en hoe weet ik welke rol mijn organisatie heeft?
Een aanbieder (provider) is de partij die een AI-systeem ontwikkelt en op de markt brengt, terwijl een deployer de organisatie is die het systeem onder eigen verantwoordelijkheid inzet voor een specifiek doel. Als je een kant-en-klare AI-oplossing van een leverancier gebruikt in jouw klantenservice, ben je doorgaans deployer. Als je een eigen AI-systeem bouwt of een bestaand systeem ingrijpend aanpast, kun je ook als aanbieder worden aangemerkt — met bijbehorende zwaardere verplichtingen.
Hoe leg ik klanten uit dat een beslissing door AI is genomen, zonder technisch jargon te gebruiken?
Het recht op uitlegbaarheid (Artikel 86) vereist geen technische uitleg, maar een begrijpelijke toelichting op de bepalende factoren achter een beslissing. In de praktijk kun je dit vertalen naar heldere klanttaal, zoals: 'Uw aanvraag is afgewezen op basis van uw betalingsgeschiedenis en het openstaande saldo.' Zorg dat je klantenservicemedewerkers zijn getraind om deze uitleg mondeling te geven, en overweeg een gestandaardiseerde schriftelijke verklaring aan te bieden voor klanten die hier formeel om verzoeken.
Wat zijn de meest voorkomende fouten die organisaties maken bij het voorbereiden op AI Act-compliance?
Een veelgemaakte fout is het onderschatten van de scope: organisaties denken dat alleen grote, zichtbare AI-systemen onder de wet vallen, maar ook routeringsalgoritmen en geautomatiseerde scoringsmodellen kunnen hoog-risico zijn. Daarnaast wordt AI-geletterdheid van medewerkers vaak als laatste prioriteit behandeld, terwijl dit al verplicht is per 2 februari 2025. Tot slot vergeten veel organisaties de verantwoordelijkheidsverdeling tussen aanbieder en deployer contractueel vast te leggen met hun leveranciers.
Moet ik bestaande AI-systemen die al in gebruik zijn ook aanpassen aan de AI Act?
Ja, ook bestaande systemen moeten uiteindelijk voldoen aan de AI Act. Voor hoog-risico Annex III-systemen geldt een overgangsperiode tot 2 augustus 2026, maar de verplichting rondom AI-geletterdheid is al van kracht. Het is verstandig om nu al een inventarisatie te starten en prioriteit te geven aan systemen die beslissingen nemen over toegang tot diensten of klantprofilering uitvoeren, omdat de aanpassingen voor die categorie het meest ingrijpend zijn.
Hoe richt ik escalatiepaden in zodat klanten altijd bij een menselijke medewerker terecht kunnen?
Een effectief escalatiepad begint met een duidelijke trigger: wanneer een AI-systeem een klacht niet kan oplossen, een klant expliciet om een medewerker vraagt, of wanneer een beslissing financiële of juridische gevolgen heeft, moet de overdracht automatisch plaatsvinden. Zorg dat de medewerker die het gesprek overneemt direct beschikt over de volledige gesprekshistorie en de door de AI gegenereerde informatie, zodat de klant zijn verhaal niet opnieuw hoeft te doen. Test deze paden regelmatig en documenteer de uitkomsten als onderdeel van je toezichtsprotocol.
Hoe verhoudt de AI Act-verplichting rondom AI-geletterdheid zich tot bestaande trainingsverplichtingen voor medewerkers?
De AI-geletterdheidsplicht (Artikel 4) is een aanvulling op bestaande trainingsverplichtingen en vereist dat medewerkers die met AI-systemen werken voldoende kennis hebben om de werking, beperkingen en risico's van die systemen te begrijpen. Dit gaat verder dan een eenmalige introductie: het niveau van training moet afgestemd zijn op de complexiteit van het systeem en de rol van de medewerker. Voor hoog-risico systemen betekent dit dat toezichthoudende medewerkers aantoonbaar bekwaam moeten zijn, wat je het beste vastlegt in een intern trainingsregister.
