AI-wetgeving: hier moet je op letten in 2025

Afgelopen zomer was het dan zover: de lang geanticipeerde AI-verordening is in werking getreden. Net op tijd om de rappe ontwikkeling van AI te reguleren. Maar wat betekent dit voor mensen en bedrijven in de praktijk? De nieuwe wetgeving is nog niet meteen voluit van kracht gegaan. Bovendien zijn vele normen in de wet opengelaten en is nadere specificering, bijvoorbeeld in de vorm van aanvullende wetgeving, vereist voor meer duidelijkheid. Toch zijn er ook nu al belangrijke aandachtspunten waar partijen die met AI te maken hebben op kunnen letten, met name ter voorbereiding op de (nabije) toekomst. Voor het gemak volgt in dit artikel een beknopte samenvatting van deze aandachtspunten. Immers, een goede voorbereiding is het halve werk!

2025 in een notendop

Het komende jaar staat in het teken van de implementatie van de AI-verordening. Enerzijds gaan de verschillende onderdelen van de wetgeving geleidelijk in werking; anderzijds verstrijken de deadlines voor Europese lidstaten om het toezicht op de wetgeving gereed te hebben. Hieronder volgen de belangrijkste data op een rijtje:

2 februari 2025:

• “Verboden” AI-systemen mogen niet langer worden ingezet (art. 5 AI-verordening). 

• Deadline voor de Europese AI-Office voor het publiceren van de richtlijnen voor de definitie van AI-systemen en verboden AI.

2 mei 2025:

• Deadline voor de Europese AI-Office voor het opstellen van gedragscodes voor aanbieders van AI voor algemene doeleinden (denk aan ChatGPT).

2 augustus 2025:

• Verplichtingen met betrekking tot AI voor algemene doeleinden gaan van kracht.

• Deadline voor lidstaten om de handhaving op orde te hebben. Er moeten toezichthouders zijn aangewezen en richtlijnen rond boetes zijn gepubliceerd. In een kamerbrief heeft het Nederlandse kabinet al aangegeven welke toezichthouders zij hiervoor waarschijnlijk willen aanwijzen.

• Organisaties die publieke taken uitvoeren krijgen één jaar de tijd om hun hoog risico AI-systemen te registreren in de Europese databank.

Naleving

De Autoriteit Persoonsgegevens (AP) werkt met een groot aantal organisaties samen ter voorbereiding op de naleving van de AI-verordening. In een advies geeft zij haar mening over de vraag welke toezichthouders verantwoordelijk moeten zijn voor het toezicht in verschillende sectoren:

Nederlandse Arbeidsinspectie (NLA):

• Controleert AI-systemen die te maken hebben met machines en beschermingsmiddelen in een professionele setting, en AI-systemen die in liften, explosiegevoelig materieel en drukapparatuur worden ingezet.

• Houdt toezicht op de inzet van AI op de werkvloer of bij het maken van overheidsbesluiten over personen.

Nederlandse Voedsel- en Warenautoriteit (NVWA):

• Werkt samen met de NLA bij het toezicht op machines en beschermingsmiddelen.

• Controleert AI-systemen die te maken hebben met (consumenten)producten zoals speelgoed en gasinstallaties.

Inspectie Leefomgeving en Transport (ILT):

• Houdt toezicht op AI-systemen die in voertuigen en bijbehorende systemen worden gebruikt.

• Controleert AI-systemen die kritieke infrastructuur beschermen.

Rijksdienst voor Identificatie en Registratie (RDI):

• Houdt toezicht op AI-systemen die in radioapparatuur worden geïntegreerd.

• Controleert AI-systemen die biometrie gebruiken of betrokken zijn bij emotieherkenning.

Inspectie Gezondheidszorg en Jeugd (IGJ):

• Verantwoordelijk voor sectoraal en producttoezicht op medische hulpmiddelen.

Inspectie op het Onderwijs (Onderwijsinspectie):

• Verantwoordelijk voor AI-systemen die binnen het onderwijs worden ingezet voor het beoordelen van scholieren en studenten.

De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM):

• Verantwoordelijk voor AI-systemen die voor het beoordelen van kredietwaardigheid van personen worden ingezet en voor het vaststellen van premies bij zorg- en levensverzekeringen.

Inspectie Justitie en Veiligheid (IJenV):

• Verantwoordelijk voor AI-systemen die binnen de rechtshandhavingsketen  worden ingezet (voor asiel, migratie en grensbewaking).

Voor al het overige is in beginsel de AP verantwoordelijk als brede en coördinerende markttoezichtautoriteit. Denk bijvoorbeeld aan de naleving van de transparantieverplichtingen (art. 50 AI-verordening) bij het toepassen van bepaalde AI-systemen. Ook de Europese AI-Office draagt mee in de algemene verantwoordelijkheid. De AP benadrukt het belang van onderlinge samenwerking tussen de verschillende toezichthouders. Zij beoogt een effectieve en efficiënte samenwerking te waarborgen in de praktijk. Het invoeren van een “multilaterale samenwerkingsovereenkomst” voor AI-toezicht enerzijds en “afzonderlijke bilaterale samenwerkingsafspraken” tussen toezichthouders anderzijds zouden daarbij kunnen helpen, aldus de AP.

Hoewel het nog niet volledig duidelijk is of het advies van de AP daadwerkelijk zal worden opgevolgd, is het raadzaam om de genoemde entiteiten en hun beleid goed in de gaten te houden. Met name als bedrijf kun je niet vroeg genoeg beginnen met AI-compliance; het laatste wat je wil is investeren in een AI-systeem dat niet is toegestaan in de praktijk. En onthoud: het uitgangspunt van de AI-verordening is in de kern dat ieder AI-systeem wettig, robuust en ethisch is. Laat deze speerpunten de doorslag geven in geval van onzekerheid.