De AI Act, of Europese verordening over artificiële intelligentie, is verordening (EU) 2024/1689. Het is het eerste algemene juridische kader voor AI dat een grote economische regio aannam. De verordening geldt rechtstreeks in alle lidstaten, waaronder België, zonder omzettingswet, en legt verplichtingen op die in verhouding staan tot het risico van elk gebruik van AI.
De kalender
De verordening werd op 12 juli 2024 in het Publicatieblad van de Europese Unie gepubliceerd en trad op 1 augustus 2024 in werking. Haar verplichtingen gelden in stappen, volgens de gepubliceerde tekst:
| Datum | Wat van toepassing wordt |
|---|---|
| 2 februari 2025 | Verbod op AI-praktijken die onaanvaardbaar geacht worden; verplichting tot AI-geletterdheid (artikel 4) |
| 2 augustus 2025 | Verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden; governance en sancties |
| 2 augustus 2026 | Algemene toepassing, waaronder de transparantieverplichtingen van artikel 50 en de meeste regels voor systemen met een hoog risico |
| 2 augustus 2027 | Regels voor systemen met een hoog risico die in al gereglementeerde producten zitten |
De Europese Commissie stelde aanpassingen voor aan de kalender van sommige verplichtingen met een hoog risico. Controleer de geconsolideerde versie van de tekst op EUR-Lex voordat u op een precieze datum steunt.
Een aanpak op basis van risico
De verordening deelt het gebruik van AI in vier niveaus in:
- Onaanvaardbaar risico: verboden praktijken, zoals sociale scoring van personen door overheden of bepaalde manipulaties die de kwetsbaarheid van mensen uitbuiten
- Hoog risico: systemen in gevoelige domeinen, zoals aanwerving, toegang tot onderwijs, krediet of bepaalde openbare diensten. Ze moeten aan strenge eisen voldoen: risicobeheer, gegevenskwaliteit, documentatie, menselijk toezicht
- Beperkt risico: systemen die met personen interageren of inhoud genereren. Ze krijgen vooral transparantieverplichtingen
- Minimaal risico: de grote meerderheid van toepassingen, zoals spamfilters, zonder specifieke verplichting
Een AI-assistent die bezoekers van een website antwoordt op praktische vragen, valt doorgaans onder beperkt risico. Dat zou anders zijn als hij bijvoorbeeld kandidaturen zou sorteren of zou beslissen over het toekennen van krediet.
Wat de AI Act vraagt van een kmo die een assistent gebruikt
De verordening maakt een onderscheid tussen de aanbieder, die een AI-systeem ontwikkelt en op de markt brengt, en de gebruiksverantwoordelijke, die het in het kader van zijn activiteit gebruikt. Een kmo die een assistent op haar website zet, is gebruiksverantwoordelijke. Voor een gespreksassistent met beperkt risico zijn de belangrijkste verplichtingen:
- Personen informeren dat ze met een AI-systeem interageren, uiterlijk bij de eerste interactie, tenzij dat uit de context duidelijk is (artikel 50)
- Voldoende AI-geletterdheid verzekeren bij wie het systeem voor de organisatie gebruikt of opvolgt (artikel 4): weten wat de tool doet, wat zijn grenzen en risico's zijn
- De andere regels naleven die van toepassing blijven, met name de AVG voor persoonsgegevens en het consumentenrecht voor de informatie aan klanten
In de praktijk gebeurt het informeren van de bezoeker via een ondubbelzinnige naam voor de assistent en een duidelijke vermelding in het chatvenster. AI-geletterdheid komt neer op een korte opleiding van het team dat de gesprekken leest en overneemt.
AI-modellen voor algemene doeleinden
Bedrijven die grote taalmodellen ontwikkelen, zoals die van Google, Anthropic of OpenAI, hebben sinds 2 augustus 2025 hun eigen verplichtingen: technische documentatie, informatie voor bedrijven die hun modellen integreren, een beleid om het auteursrecht te respecteren, een samenvatting van de trainingsgegevens. Modellen met een systeemrisico hebben bijkomende verplichtingen. Die regels wegen op de modelaanbieders, niet op de kmo die ze via een platform gebruikt.
De sancties
De verordening voorziet gegradeerde administratieve boetes. Voor verboden praktijken kunnen ze oplopen tot 35 miljoen euro of 7 % van de wereldwijde jaaromzet. Voor de meeste andere inbreuken tot 15 miljoen euro of 3 %. Voor kmo's bepaalt de tekst dat het laagste van de twee bedragen geldt. Elke lidstaat wijst zijn toezichthoudende autoriteiten aan.
AI Act en AVG: twee complementaire teksten
De AVG beschermt persoonsgegevens, ongeacht de tool die ze verwerkt. De AI Act regelt de AI-systemen zelf, of ze nu persoonsgegevens verwerken of niet. Een websiteassistent moet beide naleven: de bezoeker informeren dat hij met een AI praat (AI Act), en hem informeren over wat er met zijn gegevens gebeurt, met een rechtsgrond en een bewaartermijn (AVG).
De AI Act en KernChat
KernChat-assistenten stellen zich vanaf het begin van het gesprek voor als assistent, met de naam die de organisatie koos. De opzet omvat een voorstelling aan het team van wat de assistent doet, zijn grenzen en de overname van gesprekken. KernChat dient niet voor toepassingen met een hoog risico, zoals aanwerving of het scoren van personen.