EU AI Act 2026: wat bedrijven nu moeten doorvoeren

De AI Act reguleert niet technologie op zich, maar het gebruik ervan naar risico. Hij onderscheidt vier niveaus.

• Onaanvaardbaar risico. Bepaalde praktijken zijn verboden, zoals social scoring door overheden. Deze verboden gelden al sinds februari 2025.
• Hoog risico. Systemen in gevoelige gebieden zoals personeelsselectie, kredietverlening of kritieke infrastructuur. Hier liggen de meeste verplichtingen.
• Beperkt risico. Systemen met een transparantieverplichting, zoals chatbots die zich als AI kenbaar moeten maken.
• Minimaal risico. Het grootste deel van alledaagse toepassingen, zonder bijzondere verplichtingen.

Het eigenlijke werk bestaat eruit de eigen toepassingen eerlijk aan deze niveaus toe te wijzen.

De toepasselijkheid is gefaseerd. De verboden gelden sinds 2 februari 2025, de verplichtingen voor algemene AI-modellen sinds 2 augustus 2025. De voor veel bedrijven doorslaggevende datum is 2 augustus 2026, vanaf wanneer de meeste verplichtingen voor hoogrisicosystemen gelden. Voor bepaalde producten met ingebedde AI geldt een langere termijn tot 2 augustus 2027.

De officiële termijnen en teksten zijn te vinden bij het European AI Act overzicht. Wie in 2026 wordt getroffen, moet niet pas kort voor de deadline beginnen met de implementatie, omdat documentatie en technisch bewijs voorbereidingstijd vergen.

Valt een toepassing in de hoogrisicoklasse, dan vereist de AI Act onder meer risicobeheer, een navolgbare gegevensbasis, technische documentatie, menselijk toezicht en een passende nauwkeurigheid inclusief logging. De gemeenschappelijke noemer van deze eisen is navolgbaarheid: een beslissing moet uitlegbaar en controleerbaar zijn.

Voor de architectuur volgt daaruit een praktisch punt. Systemen waarvan de verwerking in eigen huis plaatsvindt en waarvan de datastroom volledig inzichtelijk is, laten zich makkelijker aantonen dan verspreide aanroepen naar externe diensten. Navolgbaarheid is daarmee ook een architectuurthema, niet alleen een juridisch thema.

De AI Act vervangt de AVG niet, hij staat ernaast. Waar een AI-toepassing persoonsgegevens verwerkt, gelden beide. In de praktijk is dat vaak een voordeel, omdat veel bedrijven de AVG-structuren al kennen en de AI Act op vergelijkbare principes voortbouwt, zoals doelbinding, documentatie en gegevensminimalisatie.

Juist voor gevoelige gegevens versterkt dit de argumenten voor een gecontroleerde werking. Welke afweging daarbij tussen lokale werking en cloud zinvol is, behandelen we in On-premise vs. cloud-LLM: wanneer lokale AI de juiste keuze is.

De eerste stappen zijn onafhankelijk van de branche.

1. Inventariseren. Alle gebruikte en geplande AI-toepassingen in kaart brengen, ook ingekochte toepassingen in vreemde software.
2. Classificeren. Elke toepassing aan een risiconiveau toewijzen en de motivering vastleggen.
3. Lacunes dichten. Voor hoogrisicotoepassingen documentatie, toezicht en logging opbouwen.
4. Verantwoordelijkheid verhelderen. Eén persoon aanwijzen die het overzicht bewaart en de termijn in de gaten houdt.

Hoe deze eerste stap past in een groter plan, beschrijft AI in het mkb invoeren: een praktische routekaart. Waarom controle over de gebruikte modellen daarbij telt, staat in De Fable-5-les over soevereiniteit.