Europa's definitieve AI-gedragscode: veiligheid, auteursrecht en transparantie in aanloop naar 2 augustus 2025

Op 2 augustus 2025 gaan de verplichtingen uit de AI-verordening in voor aanbieders van AI-modellen voor algemene doeleinden. In aanloop naar het nieuwe wettelijke kader heeft het Europese AI Office onlangs de definitieve versie van de gedragscode gepubliceerd: een niet-verplichte, maar wel invloedrijke leidraad die bedrijven helpt bij hun naleving. Grote spelers zoals OpenAI en Microsoft hebben de gedragscode al ondertekend. Meta weigert dit en stelt dat Europa innovatie zou onderdrukken. In dit artikel bespreken we de achtergrond, juridische inhoud en betekenis van deze gedragscode, die op drie fundamentele pijlers rust: transparantie, auteursrecht en veiligheid.

Een vrijwillige code met juridische impact

Het gaat om The General-Purpose AI Code of Practice. De timing van de publicatie is cruciaal: op 2 augustus 2025 treden de eerste verplichtingen uit de AI-verordening in werking voor aanbieders van algemene AI-modellen, waaronder de transparantie- en documentatieverplichtingen uit artikel 53. De gedragscode biedt bedrijven een gestructureerde route om hieraan te voldoen. Of een model in de eerste plaats wordt aangemerkt als model voor algemene doeleinden, moet worden beoordeeld aan de hand van artikel 3 lid 63 van de AI-verordening. Doorslaggevend is de vraag of een model op competente wijze een brede set aan taken kan uitvoeren.

Hoewel het ondertekenen van de code niet verplicht is, worden bedrijven hiervoor wel beloond. Het AI Office hanteert een samenwerkingsgericht kader: naleving van de gedragscode geeft bedrijven duidelijke handvatten en maakt het toezichtproces vlotter. Bedrijven die de code niet ondertekenen, moeten op alternatieve wijze aantonen dat ze voldoen aan de AI-verordening. Een route die naar verwachting meer tijd, documentatie en juridische aandacht vereist.

Het AI Office heeft bedrijven opgeroepen om de code te ondertekenen. Inmiddels hebben onder andere OpenAI, Microsoft en Anthropic daaraan gehoor gegeven. Meta heeft daarentegen publiekelijk geweigerd, met het argument dat de gedragscode “juridische onzekerheid” schept en innovatie zou afremmen. Of Meta alsnog op een andere wijze aan de wet zal voldoen, is onduidelijk.

De drie juridische pijlers van de gedragscode

De gedragscode is opgedeeld in drie afzonderlijke hoofdstukken, elk met een specifiek thema: transparantie, auteursrecht en veiligheid. Het laatste hoofdstuk is alleen verplicht voor aanbieders van modellen met een systeemrisico (art. 55 AI-verordening). In de woorden van de Commissie gaat het dan over “the small number of providers of the most advanced models”. Elk hoofdstuk bevat juridische toelichtingen en een aantal concrete “measures” waarmee bedrijven kunnen aantonen dat ze aan de AI-verordening voldoen. Tegelijkertijd wordt meermaals benadrukt dat naleving van de gedragscode geen garantie geeft voor wettelijke naleving. Met andere woorden, de wet is leidend.

1. Transparantie: technische documentatie en toegang

Onder artikel 53 lid 1 sub a en b van de AI-verordening zijn bedrijven verplicht om technische documentatie op te stellen ten aanzien van hun modellen voor algemene doeleinden. De gedragscode biedt hiervoor een specifiek formulier (Model Documentation Form), dat bedrijven kunnen invullen.

Daarbij gelden de volgende verplichtingen (measures):

• Measure 1.1: Bedrijven moeten vóór plaatsing op de markt alle vereiste informatie documenteren, zoals modelarchitectuur, input/outputmodaliteiten, trainingsdata, energiebesparing, gebruiksvoorwaarden en licenties. Ze moeten deze informatie up-to-date houden, ook bij nieuwe versies van het model. Documentaties van oudere versies moeten tot tien jaar bewaard blijven.
  
  

• Measure 1.2: Bepaalde delen van deze informatie moeten op verzoek gedeeld worden met het AI Office en nationale toezichthouders. Ook moeten ze beschikbaar zijn voor downstream providers: bedrijven die het AI-model integreren in hun eigen systemen. De gedragscode moedigt verder aan om zo veel mogelijk van deze informatie te publiceren voor bredere transparantie.
  
  

• Measure 1.3: Bedrijven moeten zorgen voor de kwaliteit en beveiliging van hun documentatie, zodat deze betrouwbaar en controleerbaar blijft als bewijs van naleving.
  
  

Het bijgevoegde formulier is grondig: bedrijven moeten onder andere opgeven hoe het model wordt verspreid, wat de technische vereisten zijn, welke trainingsdata zijn gebruikt, hoe bias is vermeden, en welke energie is verbruikt tijdens training. 

Wat de gebruikte trainingsdata betreft, benadrukt het AI Office dat het formulier een aanvullende werking heeft op de samenvatting die bedrijven ook nog apart moeten publiceren, op basis van artikel 53 lid 1 sub d van de AI-verordening.

2. Auteursrecht: crawlers, voorbehoud en mitigatie

Een belangrijke verplichting is verankerd in artikel 53 lid 1 sub c van de AI-verordening: aanbieders moeten een beleid voeren om aan het auteursrecht te voldoen, inclusief het naleven van opt-outs door rechthebbenden bij tekst- en datamining (zie art. 4 lid 3 DSM-richtlijn). De gedragscode bouwt dit uit met zes concrete maatregelen.

• Measure 1.1: Bedrijven moeten een intern auteursrechtenbeleid opstellen en bijhouden, waarin verantwoordelijkheden zijn vastgelegd. Bij voorkeur maken ze dit beleid openbaar.
  
  

• Measure 1.2: Bedrijven mogen alleen rechtmatig toegankelijke content tekst- en dataminen. Ze mogen geen technische toegangsbeperkingen omzeilen (zoals paywalls of DRM), en mogen geen websites crawlen die herhaaldelijk inbreuk maken, mede gelet op een door de EU opgestelde zwarte lijst.
  
  

• Measure 1.3: Crawlers van bedrijven moeten instructies uit robots.txt-bestanden volgen en ook andere machineleesbare voorbehouden respecteren (zoals metadata), mits deze industrieel breed worden geaccepteerd. Het AI Office houdt de mogelijkheid open om nieuwe protocollen toe te voegen.
  
  

• Measure 1.4: Modellen moeten zodanig worden beveiligd dat ze geen inbreukmakende output genereren, zoals exacte reproductie van beschermde werken. Ook moet in de gebruiksvoorwaarden expliciet worden opgenomen dat inbreukmakend gebruik verboden is.
  
  

• Measure 1.5: Bedrijven moeten een klachtenprocedure en een aanspreekpunt voor rechthebbenden bieden. Klachten moeten digitaal kunnen worden ingediend, en op zorgvuldige en niet-arbitraire wijze worden afgehandeld.
  
  

• Measure 1.6: Voor bedrijven die ook zoekmachines beheren (zoals Google) geldt een bijzondere zorgplicht: het respecteren van een TDM-voorbehoud mag niet leiden tot lagere ranking van de rechthebbende in zoekresultaten.
  
  

De gedragscode maakt duidelijk dat deze maatregelen geen afbreuk doen aan het exclusieve verbodsrecht van rechthebbenden: ze blijven te allen tijde bevoegd om gebruik voor tekst- en datamining te verbieden, in welke vorm dan ook. In de praktijk zou dit nog flinke discussies kunnen opleveren.

Op de verplichting om een voldoende gedetailleerde samenvatting bij te houden van de gebruikte (beschermde) trainingsdata (art. 53 lid 1 sub d AI-verordening) wordt overigens, opvallend genoeg, niet ingegaan. De verplichting wordt wel kort benoemd in de inleiding, met de opmerking dat het AI Office bedrijven van een sjabloon zal voorzien voor de benodigde documentatie (wat ook al uit de wettekst blijkt).

3. Veiligheid en systeemrisico's: alleen voor frontier models

Het derde hoofdstuk van de gedragscode is van toepassing op aanbieders van algemene AI-modellen met een systeemrisico, zoals gedefinieerd in artikel 3 lid 65 van de AI-verordening. Dit betreft alleen de meest geavanceerde, grootschalige modellen. In de praktijk gaat het om de modellen van een handjevol grote bedrijven zoals OpenAI en Meta. Aanbieders van zulke modellen moeten voldoen aan de aanvullende verplichtingen zoals vastgelegd in artikel 55 van de AI-verordening.

Dit hoofdstuk rust op enkele duidelijke uitgangspunten. AI-bedrijven moeten risico’s beoordelen over de volledige levenscyclus van hun model, van ontwikkeling tot gebruik. Daarbij wordt samenwerking met andere actoren in de waardeketen aangemoedigd, net als innovatie in het opsporen en beperken van risico’s. Transparantie en proportionaliteit zijn leidend: maatregelen moeten passen bij het risico en duidelijk onderbouwd zijn. 

De hoeveelheid measures in dit hoofdstuk gaat de bespreking van dit artikel te buiten, maar hierbij volgt een beknopte weergave van de “commitments” waaronder de measures worden geschaard:

• Commitment 1: Bedrijven moeten een Safety & Security Framework opstellen, implementeren en updaten. Hierin staan de maatregelen beschreven om systeemrisico’s te identificeren en te mitigeren.
  
  

• Commitments 2 t/m 4: Bedrijven moeten systeemrisico's identificeren, analyseren en bepalen of ze acceptabel zijn. Alleen als de risico’s aanvaardbaar zijn, mag het model op de markt worden gebracht.
  
  

• Commitments 5 en 6: Veiligheids- en beveiligingsmaatregelen moeten state-of-the-art zijn, afgestemd op het risicoprofiel en de dreigingen (zoals misbruik, datalekken of diefstal).
  
  

• Commitment 7: Er moet een Model Report worden opgesteld en gedeeld met het AI Office, waarin onder andere de risicoanalyse en geplande updates staan vermeld.
  
  

• Commitment 8: Bedrijven moeten binnen hun organisatie duidelijke verantwoordelijkheden toewijzen voor risicomanagement en daarbij voldoende middelen toekennen.
  
  

• Commitment 9: Ernstige incidenten moeten binnen vastgestelde termijnen worden gemeld aan het AI Office en relevante autoriteiten.
  
  

• Commitment 10: Documentatie moet zorgvuldig worden bijgehouden, en in sommige gevallen publiek worden gemaakt.
  
  

Voor een volledige weergave van de uitgangspunten en (kern)verplichtingen, kunt u het volledige document hier raadplegen.

Reflectie en conclusie

De hoofdstukken over transparantie en auteursrecht wijken inhoudelijk niet sterk af van eerdere conceptversies, maar brengen wel meer structuur en zekerheid (los van mogelijke onenigheid over de reikwijdte van de auteursrechtelijke opt-out). Met name het hoofdstuk over veiligheid en systeemrisico’s is ingrijpend en biedt voor het eerst een juridisch kader voor grote partijen om risico’s concreet te beheren.

De ondertekening van de gedragscode door grote spelers als OpenAI en Microsoft is bemoedigend: het laat zien dat naleving van de AI-verordening in de praktijk mogelijk wordt geacht. Meta vormt hierin een uitzondering. Hoewel haar weigering niet automatisch leidt tot onwettigheid, zal het bedrijf wel op alternatieve wijze moeten aantonen dat haar modellen voldoen aan de AI-verordening. Een uitdagend pad dat aandacht verdient van toezichthouders en beleidsmakers. Mogelijk biedt het ook inzicht in de verschillende manieren waarop aan de nieuwe verplichtingen kunnen worden voldaan.

De gedragscode onderstreept dat Europa serieus werk maakt van AI-regulering, maar tegelijk ook inzet op praktische samenwerking en uitvoerbaarheid. Voor bedrijven die zich aan de regels willen houden, biedt de code houvast. En voor toezichthouders schept het een brug tussen wetgeving en praktijk.

Vanaf 2 augustus 2025 zijn de verplichtingen voor aanbieders van modellen voor algemene doeleinden, zoals vastgelegd in de AI-verordening, officieel van kracht. De laatste ontwikkelingen volgt u zoals altijd hier op AI-Forum.nl.