AI-verordening van de EU: de complete gids voor naleving (2026)

De AI-verordening is een op risico gebaseerde wet. In plaats van alle AI gelijk te behandelen, deelt zij systemen in categorieën in en koppelt zij verplichtingen aan het risico dat elk systeem vormt voor de gezondheid, de veiligheid en de grondrechten. Zij is extraterritoriaal: als personen in de EU uw AI-systeem gebruiken, of als de output ervan in de EU wordt gebruikt, valt u onder het toepassingsgebied — ook wanneer u buiten de EU bent gevestigd.

Elk AI-systeem valt in een van de vier categorieën:

• Verboden (art. 5) — verboden praktijken zoals sociale scoring of bepaalde manipulatieve toepassingen.
• Hoog risico (bijlage III) — systemen die worden gebruikt op gebieden zoals werkgelegenheid, onderwijs, essentiële diensten, rechtshandhaving en biometrie. Zij dragen de zwaarste verplichtingen.
• Beperkt risico (art. 50) — systemen die met mensen interageren (chatbots) of synthetische inhoud genereren, zijn onderworpen aan transparantieverplichtingen.
• Minimaal risico — al het overige, zonder bindende verplichtingen.

De verplichtingen hangen af van uw rol: aanbieder (art. 16), gebruiksverantwoordelijke (art. 26), importeur (art. 23) of distributeur (art. 24). Wie een AI-systeem met een hoog risico onder zijn eigen naam in de handel brengt of het ingrijpend wijzigt, wordt aanbieder (art. 25) — met het volledige pakket verplichtingen, inclusief de conformiteitsbeoordeling.

Aanbieders van AI met een hoog risico moeten met name zorgen voor:

• een systeem voor risicobeheer (art. 9)
• databeheer en controle op vertekening (art. 10)
• technische documentatie — bijlage IV (art. 11)
• registratie van logbestanden (art. 12)
• menselijk toezicht (art. 14)
• nauwkeurigheid, robuustheid en cyberbeveiliging (art. 15)
• de conformiteitsbeoordeling (art. 43), de CE-markering (art. 48) en de registratie in de EU-databank (art. 49)

De verordening is gefaseerd van toepassing:

• 2 februari 2025 — verbod op verboden praktijken + AI-geletterdheid (art. 4)
• 2 augustus 2025 — verplichtingen voor aanbieders van AI-modellen voor algemene doeleinden (GPAI)
• 2 augustus 2026 — de meeste verplichtingen voor een hoog risico (bijlage III) en transparantie (art. 50)
• 2 augustus 2027 — systemen met een hoog risico die veiligheidscomponenten van gereguleerde producten zijn

De verordening voorziet in gedifferentieerde boetes: tot 35 miljoen EUR of 7 % van de wereldwijde jaaromzet voor inbreuken op de verboden praktijken (art. 5), en tot 15 miljoen EUR of 3 % voor de meeste andere inbreuken. Voor kmo's en start-ups geldt het laagste van beide bedragen.