De EU AI Act: wat deze wetgeving betekent voor Nederlandse bedrijven

Terwijl beleggers en ondernemers de aandacht vooral richten op rentebesluiten en beursresultaten, verandert er in de achtergrond iets dat minstens zoveel impact heeft op de bedrijfsvoering: de EU AI Act. Deze Europese wetgeving verplicht bedrijven om inzicht te hebben in de AI-systemen die binnen hun organisatie worden gebruikt, ongeacht of die systemen zelf zijn ontwikkeld of extern zijn aangeschaft. Voor veel Nederlandse ondernemingen betekent dit een nieuwe compliance-verplichting bovenop bestaande regelgeving rond data en privacy. Dit artikel legt uit wat de wet inhoudt, wie ermee te maken krijgt en hoe bedrijven zich hierop kunnen voorbereiden.

Wat de EU AI Act voor bedrijven verandert

De EU AI Act hanteert een risicogebaseerde aanpak, waarbij AI-toepassingen worden ingedeeld naar de mate van risico die ze vormen voor gebruikers en de samenleving. Systemen met een hoog risico, zoals toepassingen in personeelsselectie of kredietbeoordeling, krijgen strengere eisen op het gebied van documentatie, transparantie en menselijk toezicht. Bedrijven die dergelijke systemen inzetten, worden aangemerkt als “deployer” en dragen daarmee eigen verantwoordelijkheden, los van de leverancier van de technologie.

Voor veel organisaties ligt de grootste uitdaging niet in het beoordelen van één specifiek systeem, maar in het simpelweg weten welke AI-tools er binnen de eigen organisatie actief zijn. Afdelingen nemen vaak zelfstandig nieuwe AI-hulpmiddelen in gebruik zonder dit te melden bij IT of compliance, waardoor een compleet overzicht ontbreekt. Op https://joingrasp.com/ is te lezen hoe organisaties dit overzicht kunnen opbouwen door AI-gebruik binnen het netwerk zichtbaar te maken in plaats van te vertrouwen op zelfrapportage door medewerkers.

Zonder dat overzicht is het vrijwel onmogelijk om aan de documentatieverplichtingen van de wetgeving te voldoen, simpelweg omdat compliance-teams niet kunnen rapporteren over systemen waarvan ze het bestaan niet kennen. Deze kloof tussen wat de wet vereist en wat organisaties daadwerkelijk weten, vormt de kern van de huidige uitdaging voor veel Nederlandse bedrijven.

Welke bedrijven onder de nieuwe regels vallen

De reikwijdte van de EU AI Act is breder dan veel ondernemers aanvankelijk aannemen. De verplichtingen gelden niet alleen voor technologiebedrijven die AI-systemen ontwikkelen, maar ook voor elke organisatie die dergelijke systemen binnen haar bedrijfsvoering toepast. Dit betekent dat een marketingbureau dat een AI-tool gebruikt voor klantsegmentatie, of een financiële dienstverlener die AI inzet bij risicobeoordeling, evengoed onder de wetgeving valt als de ontwikkelaar van die tool.

Ook de grootte van de organisatie speelt een rol in de precieze verplichtingen, waarbij kleinere ondernemingen doorgaans met minder zware administratieve lasten te maken krijgen dan grote ondernemingen met hoogrisicotoepassingen. Toch blijft de verplichting om inzicht te hebben in het eigen AI-gebruik voor vrijwel elke organisatie relevant, ongeacht de omvang.

Sectoren waarin gevoelige persoonsgegevens of financiële beslissingen een rol spelen, zoals de financiële dienstverlening en de zorg, krijgen doorgaans te maken met strengere eisen. Voor deze sectoren is het extra belangrijk om vroegtijdig te beginnen met het inventariseren van AI-gebruik binnen de organisatie.

De risico’s van ongecontroleerd AI-gebruik binnen organisaties

Wanneer medewerkers zelfstandig AI-tools kiezen zonder afstemming met IT of compliance, ontstaat een fenomeen dat vaak wordt aangeduid als schaduw-AI. Bedrijfsgegevens, klantinformatie of financiële cijfers kunnen op deze manier terechtkomen in systemen waarvan de dataverwerking en opslag niet zijn getoetst door de organisatie zelf.

Dit risico is niet alleen theoretisch. Een enkele medewerker die vertrouwelijke contractdetails invoert in een niet-goedgekeurde AI-tool kan onbedoeld gevoelige informatie buiten de grenzen van de organisatie brengen, zonder dat daar enige controle op is uitgeoefend.

Naast de directe gegevensrisico’s brengt ongecontroleerd AI-gebruik ook reputatieschade met zich mee. Klanten en zakenpartners verwachten in toenemende mate dat organisaties kunnen aantonen hoe zij met AI-systemen omgaan, en het ontbreken van dat overzicht kan het vertrouwen in een organisatie ondermijnen.

Hoe bedrijven zich voorbereiden op naleving

Voorbereiding begint met een grondige inventarisatie van alle AI-tools die momenteel binnen de organisatie worden gebruikt, inclusief tools die buiten de officiële IT-inkoop om zijn geïntroduceerd. Deze inventarisatie vormt de basis waarop risicoclassificatie en documentatie kunnen worden opgebouwd.

Vervolgens is het van belang om duidelijke interne richtlijnen op te stellen over welke AI-tools zijn goedgekeurd en onder welke voorwaarden nieuwe tools kunnen worden aangevraagd. Medewerkers hebben zo een legitieme weg om nieuwe technologie te introduceren, in plaats van dit buiten het zicht van compliance te doen.

Organisaties die deze aanpak structureel inbedden, in plaats van als eenmalig project te behandelen, staan sterker wanneer toezichthouders of zakenpartners om verantwoording vragen. Naarmate de handhaving van de EU AI Act de komende jaren verder vorm krijgt, wordt dit continue overzicht steeds meer een vast onderdeel van verantwoord ondernemen.