AI Act: wat verandert er vanaf 2 augustus 2026 voor ondernemingen die AI gebruiken?

Wat zijn de verschillende risiconiveaus en de bijbehorende verplichtingen?

De AI Act introduceert vier risiconiveaus voor AI-systemen. Hoe groter het risico van een toepassing, hoe zwaarder de vereisten:

1. Onaanvaardbaar risico: Een beperkt aantal AI-toepassingen ondermijnt de fundamentele rechten en waarden van de EU. Het gaat bijvoorbeeld om AI-tools die personen beoordelen op basis van hun sociaal gedrag of die het gedrag van mensen manipuleren op een wijze die aanzienlijke schade kan veroorzaken. Die AI-systemen zijn verboden sinds 2 februari 2025. In december 2026 komt daar nog een verbod bij op toepassingen die niet-consensuele intieme beelden genereren.

2. Hoog risico: Een AI-systeem dat aanzienlijke schadelijke gevolgen kan hebben voor de gezondheid, de veiligheid en de grondrechten van personen in de EU. Denk aan AI-tools die cv's evalueren bij rekrutering, die worden ingezet bij de evaluatie, promotie of het ontslag van werknemers, of die de kredietwaardigheid van consumenten beoordelen. Voor deze systemen gelden strenge verplichtingen, zoals menselijk toezicht, monitoring en documentatie. De zogenaamde digitale omnibus stelde de toepassing daarvan recent uit tot 2 december 2027 en tot 2 augustus 2028 voor AI die in gereglementeerde producten is ingebouwd.

3. Beperkt risico: AI-systemen die ontworpen zijn voor rechtstreekse interactie met mensen en AI-systemen die beelden, audio, video of tekst genereren of bewerken, zijn vanaf 2 augustus 2026 onderworpen aan specifieke transparantieverplichtingen. Zo moeten de personen die met een chatbot praten, weten dat ze met een machine te maken hebben en niet met een mens. Wie met AI realistische marketingbeelden, productvisuals of bedrijfsfilmpjes maakt, moet in bepaalde gevallen vermelden dat de content door AI werd gegenereerd of gemanipuleerd.

4. Minimaal risico: De restcategorie betreft AI-systemen die niet onder een van de vorige categorieën vallen. Denk aan spamfilters, spellingscontroles of vertaaltools. Voor deze toepassingen gelden er in principe geen specifieke verplichtingen.

Let wel, sinds 2 februari 2025 moet elke onderneming al de AI-geletterdheid ondersteunen van medewerkers die met AI-systemen werken, ongeacht het risiconiveau. Ondernemingen die AI gebruiken, moeten medewerkers en andere betrokkenen voldoende vertrouwd maken met de werking, mogelijkheden en risico’s van de gebruikte AI-systemen. De vereiste maatregelen hangen af van hun kennis en ervaring, de concrete toepassing en de context waarin zij wordt gebruikt.

Wie moet de vermelding plaatsen?

De transparantieverplichtingen zijn verdeeld over twee rollen. Wie een AI-systeem ontwikkelt en op de markt brengt, is aanbieder. Wie het systeem professioneel gebruikt, is gebruiksverantwoordelijke.

Bij een chatbot rust de verplichting in de eerste plaats bij de aanbieder, die het systeem zo moet ontwerpen dat de gebruiker weet dat hij met AI praat. Die plicht valt weg wanneer het voor een normaal oplettend persoon al duidelijk is dat hij met een machine te maken heeft, al leest de Europese Commissie die uitzondering eng. Hoe menselijker het systeem oogt of klinkt, hoe minder ze opgaat. Bij kwetsbare doelgroepen zoals kinderen en ouderen kan er niet op worden gesteund. Bij een chatbot van een externe leverancier blijft de leverancier in beginsel aanbieder en is de onderneming gebruiksverantwoordelijke. Dat kan anders zijn wanneer de onderneming de chatbot laat ontwikkelen of wijzigt en vervolgens onder haar eigen naam of merk in gebruik neemt.

Het zichtbaar labelen van AI-beelden, audio en video is daarentegen wel een plicht van de gebruiksverantwoordelijke, dus van de onderneming zelf. De onzichtbare technische markering die de softwareleverancier in het bestand inbouwt, volstaat daarvoor niet.

Nieuwe transparantieplicht: wat betekent dit voor de praktijk?

Veel ondernemers vragen zich af wanneer een AI-beeld nu precies een vermelding vereist.

Vanaf 2 augustus 2026 moeten AI-beelden die gelijkenis vertonen met bestaande personen, voorwerpen, plaatsen of gebeurtenissen en ten onrechte voor echt kunnen doorgaan, duidelijk als AI-gegenereerd worden gelabeld.

Op 20 juli 2026 keurde de Europese Commissie richtsnoeren goed die een ruime invulling geven aan de nieuwe transparantieplicht. Het volstaat dat de content lijkt op iets dat werkelijk bestaat, redelijkerwijze kan bestaan of had kunnen bestaan. Ook fictieve maar realistisch ogende beelden kunnen dus onder de vermeldingsplicht vallen. Duidelijk onrealistische content, zoals een surrealistische compositie die niemand voor echt kan aanzien, valt er in beginsel buiten. Loutere kleurcorrectie, ruisonderdrukking of compressie maakt een beeld in de regel evenmin tot een deepfake.

Even belangrijk is de vorm van de vermelding. Ze moet uiterlijk bij het eerste contact worden gegeven, duidelijk en als zodanig te onderscheiden. Een clausule in de algemene voorwaarden volstaat volgens de Commissie niet. Datzelfde geldt voor een algemene banner op de website of een markering die enkel technisch leesbaar is. Beelden die al voor 2 augustus 2026 werden gegenereerd, hoeven niet retroactief te worden gelabeld.

Wat zijn de mogelijke sancties?

Wie de regels naast zich neerlegt, riskeert administratieve geldboetes die kunnen oplopen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet, waarbij het hoogste van beide bedragen geldt. Voor verboden praktijken lopen ze zelfs op tot 35 miljoen euro of 7 procent. Voor kleinere ondernemingen en start-ups geldt telkens het laagste van beide plafonds.

Aanbevelingen

• Breng in kaart welke AI-tools binnen de onderneming worden gebruikt, door wie, voor welk doel en met welke gegevens.

• Op basis daarvan kan dan een compliance check worden gedaan, waarbij per toepassing de rol (aanbieder of gebruiksverantwoordelijke) en het risiconiveau worden bepaald en bijgevolg ook de relevante verplichtingen onder de AI Act.

• Laat je contracten met AI-leveranciers nakijken, onder meer wat betreft gegevensbescherming en het gebruik van input voor modeltraining. Leg daarbij ook vast wie de vermelding plaatst wanneer je met een externe dienstverlener of een distributiepartner werkt.

• Maak een interne bedrijfspolicy op die onder meer bepaalt welke gegevens medewerkers in AI-tools mogen invoeren, wie AI-output controleert en hoe AI-content wordt vermeld.

Heb je vragen hierover of hulp nodig bij de praktische implementatie hiervan? Contacteer ons gerust. We helpen je graag verder.