EU AI-verordening: verboden toepassingen, hoog-risico eisen en Nederlandse handhaving

De Europese Unie heeft met de AI-verordening de eerste wet ter wereld aangenomen die kunstmatige intelligentie reguleert. Het Europees Parlement stemde op 13 maart 2024 in met 523 stemmen voor en 46 tegen. De wet geldt als Europese verordening rechtstreeks in alle lidstaten, dus ook in Nederland. De regels worden gefaseerd ingevoerd tussen februari 2025 en augustus 2027.

Tijdlijn: gefaseerde invoering

De AI-verordening wordt in vier fasen ingevoerd. Het verbod op bepaalde AI-toepassingen geldt al sinds 2 februari 2025. De volledige handhaving voor hoog-risico AI begint op 2 augustus 2026.

Vier risicocategorieen

De AI-verordening deelt AI-systemen in vier risicocategorieen in. Hoe hoger het risico, hoe strenger de eisen.

Verboden AI-toepassingen

Sinds 2 februari 2025 zijn acht AI-toepassingen verboden in de EU. De Europese Commissie publiceerde op 4 februari 2025 richtsnoeren over de interpretatie van deze verboden.

Hoog-risico AI-systemen: acht domeinen

AI-systemen die als hoog risico worden aangemerkt, moeten aan strenge eisen voldoen voordat ze op de markt mogen worden gebracht. De verordening onderscheidt twee routes: AI als veiligheidscomponent van producten die al onder EU-productveiligheidswetgeving vallen (Annex I), en AI-systemen in acht specifieke domeinen (Annex III).

• Biometrie – identificatie op afstand, biometrische categorisering, emotieherkenning (waar toegestaan)
• Kritieke infrastructuur – AI als veiligheidscomponent in digitale infrastructuur, wegverkeer, water-, gas- en elektriciteitsvoorziening
• Onderwijs en beroepsopleiding – AI die toegang tot onderwijs bepaalt, leerresultaten beoordeelt of gedrag van studenten monitort tijdens toetsen
• Werkgelegenheid – AI voor werving en selectie, cv-screening, promotiebesluiten, prestatiemonitoring en taaktoewijzing
• Toegang tot diensten – AI voor beoordeling van aanspraken op uitkeringen, kredietwaardigheid, risicobeoordeling bij levens- en zorgverzekeringen
• Rechtshandhaving – individuele risicobeoordeling, beoordeling van bewijsmateriaal, profiling bij opsporing
• Migratie en asiel – AI bij risicobeoordeling, behandeling van asiel- en visumaanvragen, identificatie van personen
• Rechtspraak en democratie – AI die rechterlijke autoriteiten ondersteunt bij het interpreteren van feiten en recht, of die verkiezingen kan beinvloeden

Eisen voor hoog-risico AI

Aanbieders van hoog-risico AI-systemen moeten aan zeven kernvereisten voldoen.

• Risicobeheersysteem – doorlopend risico’s identificeren, analyseren en beperken gedurende de gehele levenscyclus
• Data-governance – trainings- en testdata moet relevant, representatief en vrij van fouten zijn
• Technische documentatie – volledig dossier dat naleving aantoont voor marktplaatsing
• Registratie en logging – automatische registratie van gebeurtenissen tijdens gebruik van het systeem
• Transparantie – duidelijke gebruiksaanwijzing voor gebruikers, inclusief mogelijkheden en beperkingen
• Menselijk toezicht – het systeem moet zo ontworpen zijn dat mensen kunnen ingrijpen, overrulen en stopzetten
• Nauwkeurigheid, robuustheid en cyberveiligheid – het systeem moet bestand zijn tegen fouten en beschermd tegen ongeautoriseerde toegang

Daarnaast geldt een conformiteitsbeoordeling (voor de meeste systemen een zelfevaluatie), CE-markering, een EU-conformiteitsverklaring en registratie in de openbare EU-database. Voor biometrische identificatiesystemen is een beoordeling door een onafhankelijke instantie verplicht.

General-purpose AI-modellen (GPAI)

Sinds 2 augustus 2025 gelden aparte regels voor general-purpose AI-modellen, zoals grote taalmodellen (LLM’s). Alle aanbieders van dergelijke modellen moeten technische documentatie bijhouden, informatie verstrekken aan partijen die het model integreren, een samenvatting publiceren over de trainingsdata en zich houden aan het EU-auteursrecht.

AI-modellen met een systeemrisico – modellen die zijn getraind met meer dan 10 tot de macht 25 FLOPS aan rekenkracht – moeten aan aanvullende eisen voldoen. Zij moeten modelevaluaties uitvoeren (inclusief tegengestelde tests), systeemrisico’s beoordelen en beperken, ernstige incidenten melden en zorgen voor cyberveiligheid. De Europese Commissie kan ook modellen met minder rekenkracht als systeemrisico aanmerken op basis van hun mogelijkheden en bereik.

Op 1 augustus 2025 is de GPAI Code of Practice goedgekeurd. Ondertekening is vrijwillig, maar biedt een vermoeden van naleving. De handhaving met boetes begint op 2 augustus 2026.

Transparantieverplichtingen

De AI-verordening bevat meerdere transparantieverplichtingen die gelden vanaf 2 augustus 2026.

• Chatbots en AI-interactie – gebruikers moeten duidelijk worden geinformeerd dat ze met een AI-systeem communiceren, tenzij dat vanzelfsprekend is.
• Deepfakes en synthetische content – AI-gegenereerde of gemanipuleerde beeld-, geluids-, video- of tekstcontent moet machineleesbaar worden gemarkeerd en als zodanig herkenbaar zijn.
• Emotieherkenning – waar toegestaan (buiten werkplek en onderwijs) moeten personen worden geinformeerd dat een emotieherkenningssysteem op hen wordt toegepast.

Boetes en handhaving

De AI-verordening kent drie boetecategorieen, afhankelijk van de ernst van de overtreding.

Toezichtstructuur

Op EU-niveau houdt het AI Office (opgericht in januari 2024 binnen DG CONNECT) toezicht, met meer dan 125 medewerkers. Het AI Office coacht en controleert direct de aanbieders van general-purpose AI-modellen. Daarnaast is er de European AI Board, een intergouvernementeel orgaan van nationale toezichthouders, en een wetenschappelijk panel van onafhankelijke deskundigen.

Nederlandse implementatie

In Nederland zijn twee toezichthouders aangewezen voor de handhaving van de AI-verordening.

• Autoriteit Persoonsgegevens (AP) – aangewezen als coordinerende toezichthouder. De AP heeft hiervoor de afdeling Coordinatie Algoritmisch Toezicht (DCA) opgericht, met een budget dat oploopt naar 3,6 miljoen euro in 2026.
• Rijksinspectie Digitale Infrastructuur (RDI) – verantwoordelijk voor markttoezicht en technische expertise, met name voor AI-systemen die onderdeel zijn van producten onder EU-productveiligheidswetgeving.

Daarnaast spelen sectorale toezichthouders een rol: de AFM en DNB voor financiele dienstverlening, en de IGJ voor de gezondheidszorg.

Uitvoeringswet AI-verordening

De Uitvoeringswet AI-verordening, die de verordening vertaalt naar Nederlandse wetgeving en de bevoegdheden van de toezichthouders vastlegt, is nog niet aangenomen. De wet was niet op tijd klaar voor de deadline van februari 2025 (verboden toepassingen) en ook niet voor de deadline van augustus 2025 (aanwijzing toezichthouders). Het kabinet-Jetten zal deze wet moeten afronden. Tot die tijd zijn de handhavingsbevoegdheden beperkt.

Algoritmeregister

Het Algoritmeregister (algoritmes.overheid.nl) is sinds 2022 operationeel. Overheidsorganisaties moeten hun algoritmen met directe impact op burgers per 1 juli 2026 hierin registreren. Het register heeft een bredere reikwijdte dan de EU-database: ook niet-AI-algoritmen vallen eronder. Daarnaast heeft het Ministerie van Binnenlandse Zaken het Algoritmekader gepubliceerd, een praktische handreiking voor verantwoord algoritmegebruik door de overheid.

Gevolgen per sector

Gezondheidszorg

AI voor diagnose op basis van medische beelden, behandelaanbevelingen of aansturing van medische apparatuur valt onder hoog risico. Hetzelfde geldt voor AI bij risicobeoordeling en prijsstelling van levens- en zorgverzekeringen. AI als onderdeel van een medisch hulpmiddel valt ook onder de Medical Device Regulation (MDR).

Werving en selectie

AI voor cv-screening, het filteren van sollicitanten, geautomatiseerde aannamebeslissingen, prestatiebeoordeling en taaktoewijzing is hoog risico. Organisaties moeten kandidaten en werknemers informeren over het gebruik van AI en individuen kunnen een toelichting vragen over de rol van AI bij besluiten.

Financiele dienstverlening

Kredietscoring en algoritmische kredietverlening vallen onder hoog risico. AI voor fraudedetectie is nadrukkelijk uitgezonderd van de hoog-risico categorie voor kredietwaardigheid. De AFM en DNB houden sectorspecifiek toezicht.

Overheid

AI die beoordeelt of iemand recht heeft op uitkeringen of publieke diensten is hoog risico. Overheidsorganisaties moeten naast de AI-verordening ook een grondrechteneffectbeoordeling (FRIA) uitvoeren en hun algoritmen registreren in het Algoritmeregister.

AI-geletterdheid

Sinds 2 februari 2025 moeten organisaties die AI ontwikkelen of gebruiken ervoor zorgen dat hun medewerkers over een voldoende niveau van AI-geletterdheid beschikken. De verordening schrijft geen specifiek trainingsformat voor, maar organisaties moeten kunnen aantonen dat medewerkers de werking, mogelijkheden en beperkingen van de AI-systemen begrijpen. De handhaving hierop begint op 2 augustus 2026.

Wat moet je doen als organisatie?

Veelgestelde vragen