Wat is de Europese AI Act?
De AI Act is de Europese regelgeving voor artificiële intelligentie. De verordening trad eigenlijk al op 1 augustus 2024 in werking en wordt stapsgewijs toegepast. En sinds augustus 2026 wordt het dus al concreter. Moest je daar meer over willen lezen: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
De Europese regels vertrekken niet van één identieke verplichting voor iedere AI-tool. Ze kijken vooral naar het risico van de toepassing (zie tabel hieronder).
Een tool die helpt om een titel voor een blog te bedenken, vormt bijvoorbeeld een veel kleiner risico dan een systeem dat automatisch beslist welke sollicitanten worden uitgenodigd.
Hoe groter de mogelijke impact op mensen, hun rechten of hun veiligheid, hoe strenger de regels. De Europese Commissie onderscheidt vier grote risiconiveaus:
- onaanvaardbaar risico,
- hoog risico,
- transparantierisico
- minimaal of geen risico.
Je hoeft niet iedere keer een juridisch dossier te openen wanneer iemand ChatGPT gebruikt om een mail duidelijker te formuleren. Maar zodra AI zelfstandig mensen gaat beoordelen, beïnvloeden of misleiden, wordt het een ander verhaal.
De vier risiconiveau's van AI
(Van laag naar hoog risico).
| Risiconiveau | Wat betekent het? | Voorbeelden | Wat moet je doen? |
|---|---|---|---|
| Minimaal of beperkt risico | De AI ondersteunt een gewone taak en neemt geen belangrijke beslissing over mensen. | Teksten herschrijven, ideeën bedenken, samenvatten, vertalen, codevoorstellen of conceptbeelden maken. | Je mag deze toepassingen meestal gewoon gebruiken. Bescherm vertrouwelijke gegevens en controleer de output altijd. |
| Transparantierisico | Mensen kunnen denken dat ze met een echte persoon communiceren of dat kunstmatige content echt is. | Chatbots, realistische AI-beelden, gekloonde stemmen, AI-teksten over belangrijke onderwerpen, synthetische video en deepfakes. | Maak duidelijk dat AI werd gebruikt. De melding moet zichtbaar en begrijpelijk zijn. |
| Hoog risico | De AI kan een grote invloed hebben op iemands kansen, rechten of toegang tot diensten. | Sollicitanten selecteren, werknemers beoordelen, kredietwaardigheid inschatten of toegang tot bepaalde diensten bepalen. | Gebruik deze systemen niet zomaar. Zorg voor een grondige risicoanalyse, menselijke controle, documentatie en gespecialiseerd advies. |
| Onaanvaardbaar risico | De toepassing vormt een te groot risico voor mensen en hun grondrechten. | Bepaalde vormen van manipulatie, sociale scoring, biometrische categorisering en emotieherkenning op het werk. | Niet gebruiken. Deze toepassingen zijn geheel of gedeeltelijk verboden onder de AI Act. |
Zeven praktische AI-regels voor je bedrijf
Wat moet je als gemiddelde KMO nu concreet doen?
Je hoeft niet te beginnen met een handleiding van honderd pagina’s. Met enkele duidelijke afspraken kom je al een heel eind.
1. Zorg dat medewerkers begrijpen wat AI wel en niet kan
Sinds 2 februari 2025 moeten organisaties die AI-systemen aanbieden of gebruiken maatregelen nemen om de AI-geletterdheid van hun medewerkers en andere betrokken personen te ondersteunen.
Dat betekent niet dat iedereen programmeur of AI-jurist moet worden. Medewerkers moeten wel voldoende begrijpen:
- welke AI-systemen ze gebruiken;
- waarvoor ze die mogen gebruiken (en waarvoor niet);
- welke fouten AI kan maken;
- welke informatie ze niet mogen invoeren;
- wanneer menselijke controle nodig is;
- wanneer een toepassing extra risico’s inhoudt.
De opleiding of begeleiding mag afgestemd worden op de functie en de gebruikte systemen. Een copywriter heeft bijvoorbeeld andere kennis nodig dan een developer die AI integreert in een klantenplatform.
Er is geen verplicht standaardcertificaat en er is ook geen vaste opleidingsvorm. Een interne briefing, praktische richtlijnen en aangepaste opleiding kunnen deel uitmaken van de aanpak.
De Europese Commissie vermeldt expliciet dat ook bedrijven waarvan medewerkers ChatGPT gebruiken voor advertentieteksten of vertalingen rekening moeten houden met risico’s zoals verzonnen informatie of zogenaamde hallucinaties. Maar, zoals je in bovenstaande tabel kon zien: dit is een beperkt risico. Je moet dus sowieso de output controleren.
2. Maak afspraken over vertrouwelijke informatie
Dit is waarschijnlijk één van de belangrijkste dagelijkse aandachtspunten. Voer niet zomaar de volgende informatie in een publieke AI-tool in:
- klantendatabanken;
- lijsten met e-mailadressen;
- wachtwoorden;
- API-sleutels;
- contracten;
- financiële cijfers;
- medische informatie;
- cv’s en sollicitatiedossiers;
- ongepubliceerde bedrijfsinformatie;
- vertrouwelijke strategieën;
- broncode met gevoelige gegevens.
De AI Act vervangt de GDPR niet. Ook bestaande regels rond privacy, gegevensbescherming, vertrouwelijkheid, bedrijfsgeheimen en beveiliging blijven gelden. Controleer daarom welke tool je gebruikt, wat er met de ingevoerde gegevens gebeurt en of de gegevens eventueel gebruikt worden om het systeem verder te trainen.
Een eenvoudige test: Zou je deze informatie zonder toestemming doorsturen naar een externe leverancier? Is het antwoord nee of twijfelachtig? Dan zet je de informatie ook niet zomaar in een AI-tool. Zet dus niet zomaar financiële gegevens, of klantgegevens, in ChatGPT.
Verwijder waar mogelijk namen en gevoelige details. Gebruik alleen de informatie die echt nodig is.
3. Laat AI-output altijd door een mens controleren
AI-output is geen afgewerkt werk. Controleer minstens:
- namen;
- cijfers;
- data;
- bronnen;
- prijzen;
- producteigenschappen;
- wettelijke informatie;
- commerciële beloftes;
- vertalingen;
- technische claims.
Ook bij creatieve output blijft controle nodig. Past de tekst echt bij het bedrijf? Staat er iets concreets in? Of is het een verzameling generieke marketingzinnen die bij iedere onderneming zou kunnen passen?
Bij MaesMedia noemen we dit de kritische pet opzetten: je controleert je eigen werk, stelt vragen en neemt verantwoordelijkheid voor wat je oplevert. Dat principe geldt even goed wanneer AI hielp bij de eerste versie. AI mag meedenken. Een mens blijft verantwoordelijk.
4. Wees transparant wanneer AI mensen kan misleiden
Moet je bij iedere AI-tekst vermelden dat ChatGPT geholpen heeft? Nee.
Wanneer AI alleen gebruikt werd om te brainstormen, een zin te verbeteren of een eerste structuur te maken, is een publiek label doorgaans niet nodig. Transparantie wordt wel belangrijk wanneer iemand redelijkerwijs kan denken dat kunstmatige content echt is.
Denk aan:
- een websitebezoeker die denkt met een echte medewerker te chatten;
- een kunstmatig gegenereerd persoon die als echte klant wordt voorgesteld;
- een stem die klinkt als die van een echte bedrijfsleider;
- een video waarin iemand iets lijkt te zeggen wat nooit gezegd werd;
- een fictieve gebeurtenis die als werkelijk wordt voorgesteld;
- een AI-klantenreactie die eruitziet als een echte getuigenis.
Voor deepfakes en bepaalde andere kunstmatig gegenereerde of gemanipuleerde content gelden sinds 2 augustus 2026 specifieke transparantieverplichtingen. Ook bepaalde AI-teksten die gepubliceerd worden om het publiek over zaken van algemeen belang te informeren, kunnen onder die verplichtingen vallen.
Een vermelding kan bijvoorbeeld zijn: "Dit beeld werd met behulp van AI gegenereerd." Of bij een chatbot: "Je communiceert hier met een digitale AI-assistent." De boodschap moet duidelijk en begrijpelijk zijn. Niet ergens verstopt in de kleine lettertjes.
5. Laat AI niet zelfstandig over mensen beslissen
AI kan helpen om informatie te structureren. Maar wees heel voorzichtig zodra de technologie mensen gaat beoordelen, rangschikken of uitsluiten. Gebruik AI niet zomaar om:
- sollicitanten automatisch te weigeren;
- kandidaten een score te geven;
- werknemers te beoordelen;
- promoties of ontslagen voor te stellen;
- emoties of persoonlijkheid af te leiden;
- mensen in gevoelige categorieën te plaatsen.
Voor zulke toepassingen is “er kijkt achteraf nog iemand naar” niet automatisch voldoende. Je moet onder meer bekijken:
- op basis van welke gegevens de beoordeling gebeurt;
- hoe vooroordelen en discriminatie worden voorkomen;
- hoeveel invloed de AI-output op de beslissing heeft;
- wie werkelijk verantwoordelijk is;
- hoe menselijke controle georganiseerd wordt;
- of het om een hoogrisicotoepassing gaat.
Gebruik je AI voor rekrutering of werknemersbeheer? Laat de toepassing dan grondig beoordelen voordat je ermee start.
6. Vergeet de AI in bestaande software niet
Bij AI denken veel mensen onmiddellijk aan ChatGPT. Maar AI zit ondertussen in veel meer systemen:
- advertentieplatformen;
- CRM-software;
- designprogramma’s;
- boekhoudsoftware;
- HR-platformen;
- analysetools;
- zoekmachines;
- websitebeheersystemen;
- e-mailsoftware;
- chatbots.
Google of Meta kan bijvoorbeeld automatisch doelgroepen, beelden, teksten of campagne-instellingen voorstellen. Een HR-systeem kan kandidaten automatisch rangschikken. Een CRM kan voorspellen welke prospect waarschijnlijk zal kopen. Dat een functie standaard aanstaat, betekent niet dat ze automatisch geschikt is voor jouw bedrijf.
Bekijk daarom ook:
- welke automatische functies actief zijn;
- welke gegevens ze gebruiken;
- welke beslissingen ze beïnvloeden;
- of medewerkers de voorstellen controleren;
- of klanten, kandidaten of bezoekers geïnformeerd moeten worden.
7. Hou een eenvoudig overzicht bij
Je hoeft daarvoor geen ingewikkeld softwaresysteem te bouwen. Een eenvoudig document of een gedeelde tabel kan al voldoende zijn.
Noteer bijvoorbeeld:
- welke AI-tools jullie gebruiken;
- waarvoor ze gebruikt worden;
- welke medewerkers ermee werken;
- welke gegevens erin terechtkomen;
- wie de output controleert;
- welke toepassingen zichtbaar zijn voor klanten;
- of AI gebruikt wordt om mensen te beoordelen;
- wie intern het aanspreekpunt is.
Je kan daarnaast bijhouden welke briefing of begeleiding medewerkers kregen. De Europese Commissie geeft aan dat er geen verplicht certificaat nodig is. Een intern overzicht van opleidingen en andere maatregelen kan wel helpen om jullie aanpak te documenteren.
Wat betekent dit voor een gemiddelde KMO?
Gebruik je AI vooral om teksten te verbeteren, ideeën te verzamelen, informatie samen te vatten of repetitief werk te versnellen? Dan hoef je waarschijnlijk geen zwaar complianceproject op te starten.
Je moet wel:
- weten welke tools gebruikt worden;
- gevoelige gegevens beschermen;
- medewerkers duidelijke afspraken geven;
- AI-output controleren;
- transparant zijn wanneer mensen misleid kunnen worden.
Gebruik je AI om sollicitanten, werknemers, klanten of andere personen te beoordelen? Dan is een grondigere analyse nodig. Hetzelfde geldt wanneer je zelf AI-functionaliteiten bouwt, structureel aanbiedt aan klanten of integreert in een platform.
Snelle AI-checklist voor jouw bedrijf
Kan je deze vragen beantwoorden?
- Welke AI-tools gebruiken onze medewerkers?
- Weten zij welke informatie ze niet mogen invoeren?
- Wordt AI-output inhoudelijk gecontroleerd?
- Gebruiken we AI om mensen te beoordelen of te selecteren?
- Hebben we chatbots, AI-beelden of andere toepassingen die transparantie vragen?
- Zijn onze privacy- en beveiligingsafspraken nog correct?
- Wie is intern het aanspreekpunt bij twijfel?
Kan je op verschillende vragen geen duidelijk antwoord geven? Dan is het tijd om jullie AI-gebruik even in kaart te brengen.
Wat kan je vandaag al doen?
Begin met drie haalbare stappen.
Stap 1: maak een overzicht
Vraag welke AI-tools vandaag gebruikt worden. Kijk niet alleen naar ChatGPT, maar ook naar AI-functies in andere software.
Stap 2: maak duidelijke afspraken
Bepaal welke tools toegestaan zijn, welke informatie nooit mag worden ingevoerd en welke output altijd gecontroleerd moet worden.
Stap 3: brief je medewerkers
Leg uit welke risico’s bij hun werk horen. Een copywriter, developer, HR-medewerker en leidinggevende hoeven niet exact dezelfde briefing te krijgen.
Je hoeft AI niet ingewikkelder te maken dan nodig.
Maar helemaal zonder afspraken werken, is ondertussen ook geen goed idee.
