De Europese AI-verordening wordt vaak afgedaan als iets voor techgiganten. Dat klopt niet. Zodra je een AI-functie in je bedrijfssoftware zet (een assistent die offertes voorbereidt, een model dat aanvragen classificeert), ben je in de ogen van de wet een gebruiksverantwoordelijke, en daar hangen verplichtingen aan. Dit artikel legt uit welke, en wat je er deze maand al aan kunt doen.
Waar de AI-verordening over gaat
De verordening (EU 2024/1689) trad op 1 augustus 2024 in werking en wordt gefaseerd van kracht. De verboden praktijken en de plicht tot AI-geletterdheid golden als eerste, daarna kwamen de regels voor algemene AI-modellen, en het grootste blok verplichtingen rond hoogrisicotoepassingen volgt daarna. Omdat de fasering en de handhaving in beweging zijn, is het verstandig de actuele stand te checken bij de Rijksinspectie Digitale Infrastructuur voordat je conclusies trekt.
Belangrijker dan de data is de systematiek: de wet kijkt niet naar de techniek maar naar het gebruik. Hetzelfde taalmodel is onschuldig in een zoekfunctie en hoogrisico in een sollicitatieproces.
Welk risiconiveau heeft jouw toepassing?
De verordening kent vier niveaus. Verreweg de meeste mkb-toepassingen vallen in de onderste twee, maar er zitten verrassingen tussen: personeelsselectie en toegang tot onderwijs of essentiële diensten zijn hoogrisico, ook bij een klein bedrijf.
- Onaanvaardbaar risico: verboden. Denk aan sociale scoring of emotieherkenning op de werkvloer.
- Hoog risico, toegestaan met zware eisen: risicobeheer, datakwaliteit, logging, menselijk toezicht en documentatie. Werving en selectie, kredietbeoordeling en veiligheidscomponenten vallen hieronder.
- Beperkt risico: transparantieplicht. Een chatbot moet kenbaar maken dat het een machine is, gegenereerde beelden en teksten moeten als zodanig herkenbaar zijn.
- Minimaal risico: geen specifieke verplichtingen. Spamfilters, zoeksuggesties, de meeste interne hulpmiddelen.
Wat het betekent als je AI in eigen software zet
Bouw je AI in je eigen applicatie, dan ben je meestal geen aanbieder van een AI-model maar wel verantwoordelijk voor de toepassing. In de praktijk komt dat neer op drie dingen die je sowieso zou moeten willen: weten welke data het model ziet, kunnen terugvinden waarom het iets adviseerde, en een mens kunnen laten ingrijpen.
Dat is precies hoe wij AI-integraties bouwen: op je eigen databronnen, met bronverwijzing bij elk antwoord, rechtenbeheer per dossier en logging van wat er gevraagd en geantwoord is. Bij AdviesGroep Nova was die verifieerbaarheid geen juridische eis maar een voorwaarde om het systeem überhaupt te vertrouwen.
Vier dingen die je nu kunt doen
Je hoeft geen compliance-afdeling op te tuigen. Begin hiermee:
- Maak een inventarisatie: welke AI zit er al in je organisatie, inclusief de tools die afdelingen zelf hebben aangeschaft.
- Bepaal per toepassing het risiconiveau en leg die afweging schriftelijk vast.
- Regel AI-geletterdheid voor de mensen die ermee werken. Dat mag een interne sessie van een uur zijn, mits je hem kunt aantonen.
- Zet transparantie aan waar het beperkt-risico betreft: label AI-output en maak duidelijk wanneer iemand met een machine praat.
Twijfel je over je eigen situatie?
Onze architecten kijken in een adviesgesprek mee naar wat je nu draait en wat dat betekent voor je verplichtingen. Dat kan via consultancy en advies, of begin met de gratis project scan als je nog aan het verkennen bent.