EU AI Act — een praktische gids

Een praktische gids voor Verordening (EU) 2024/1689 voor teams die AI-systemen bouwen of inzetten in Europa. Hij legt de risicogebaseerde opzet van de Act uit, de verboden praktijken, de acht hoog-risicosectoren uit bijlage III, de compliance-eisen voor systemen met een hoog risico, de verplichtingen rond AI-modellen voor algemene doeleinden, de gefaseerde tijdlijn en de sancties, en sluit af met wat dit betekent voor engineeringwerk.

Trefwoorden EU AI Act · Verordening (EU) 2024/1689 · risicoklassen · hoog-risico AI · GPAI · compliance

De EU AI Act is wereldwijd de eerste bindende, horizontale regelgeving voor kunstmatige intelligentie.^[1] Hij geldt voor elke organisatie die AI-systemen ontwikkelt, inzet of op de markt brengt in de EU — ongeacht waar de organisatie is gevestigd. Als uw output EU-gebruikers bereikt, valt u eronder. De officiële tekst is Verordening (EU) 2024/1689 op EUR-Lex.

De wet hanteert een risicogebaseerde aanpak: niet alle AI wordt gelijk behandeld. Hoe groter de mogelijke schade die een systeem kan veroorzaken, hoe strenger de verplichtingen. Aan de ene kant staan regelrechte verboden; aan de andere kant minimale transparantieregels voor alledaagse chatbots en aanbevelingssystemen.

Voor bedrijven die AI in productie bouwen — LLM-API's, agentische systemen, RAG-pipelines, HR-automatisering — brengt de Act concrete eisen voor engineering en governance mee die in het ontwerp moeten zitten, niet achteraf worden toegevoegd.

Deze gids volgt de tekst van de Verordening^[1]. De wetenschappelijke literatuur helpt om die kritisch te lezen. Vroege analyse van het ontwerp vond de getrapte risicoopzet verstandig, maar waarschuwde dat sommige bepalingen verrassende juridische gevolgen hebben of grotendeels ineffectief kunnen blijken^[2]; die analyse gaat over het ontwerp uit 2021, dus details moeten worden gecontroleerd aan de vastgestelde tekst. De Act kent vier risicocategorieën, maar mist volgens later werk een duidelijke methode om risico in concrete situaties te beoordelen; daarvoor is een op scenario's gebaseerde, proportionele methode voorgesteld^[3].

Wat handhaving betreft werden conformiteitsbeoordeling en monitoring na het in de handel brengen beschreven als de twee belangrijkste mechanismen van het voorstel en gelezen als de basis voor een Europees ecosysteem van AI-audits^[4]. Voor generatieve modellen stelt juridisch onderzoek dat plichten moeten passen bij de verschillende partijen in de waardeketen: ontwikkelaars, gebruiksverantwoordelijken, gebruikers en ontvangers van output^[5]. Dat onderscheid is de achtergrond van de onderdelen over AI voor algemene doeleinden hieronder.

Kader. De Act deelt elk AI-systeem in een van vier categorieën in. Uw klasse bepaalt uw verplichtingen.

Artikel 5 — Absoluut verbod. Deze acht toepassingen zijn volledig verboden. Geen zakelijke rechtvaardiging, geen uitzondering, geen overgangsperiode — verboden praktijken en de verplichting tot AI-geletterdheid gelden sinds 2 februari 2025.

• Manipulatieve AI. Systemen die subliminale technieken gebruiken of psychologische kwetsbaarheden uitbuiten om gedrag te verstoren op een manier die schade veroorzaakt.
• Uitbuiten van kwetsbaarheid. AI die zich richt op mensen op basis van leeftijd, handicap of sociaaleconomische positie om hun beslissingen tegen hun eigen belang te beïnvloeden.
• Sociale scoring. Natuurlijke personen beoordelen of indelen op basis van sociaal gedrag of persoonlijke kenmerken over langere tijd, wat leidt tot nadelige behandeling.
• Voorspellend politiewerk op basis van profielen. Risicobeoordeling van personen uitsluitend op basis van profilering om toekomstig crimineel gedrag te voorspellen.
• Databases voor gezichtsherkenning. Het internet of camerabeelden scrapen om biometrische databases op te bouwen zonder gerichte verzameling.
• Emotieherkenning op het werk of op school. De emotionele toestand van werknemers of leerlingen afleiden op de werkplek of in het onderwijs.
• Biometrische categorisering. Personen indelen naar ras, politieke opvatting, religie, seksuele geaardheid of vakbondslidmaatschap op basis van biometrische gegevens.
• Biometrische identificatie op afstand in realtime. Live gezichtsherkenning in openbaar toegankelijke ruimten door rechtshandhaving — alleen met smalle, omschreven uitzonderingen.

Bijlage III — Hoog-risicodomeinen. AI-systemen die in een van deze gebieden werken, worden als hoog-risico ingedeeld. Volgens de actuele tijdlijn van de Commissie geldt het hoog-risicokader van bijlage III vanaf 2 december 2027 — de bewijslaag moet toch nu al worden ontworpen.

Uitzondering in artikel 6, lid 3: ook als een AI-systeem onder bijlage III valt, kan het als niet-hoog-risico worden ingedeeld als het een beperkte procedurele taak uitvoert (bijvoorbeeld documenten indexeren of spam filteren), een al voltooide menselijke beslissing verbetert, alleen afwijkingen opspoort voor menselijke beoordeling, of een voorbereidende stap is (vertalen, zoeken, classificeren) — tenzij er profilering bij komt kijken; dan is het altijd hoog-risico.

Artikelen 9–17 — Verplichtingen van de aanbieder. Aanbieders van AI-systemen met een hoog risico moeten aan alle elf eisen voldoen voordat ze een systeem in de handel brengen of in gebruik nemen.

Gebruiksverantwoordelijken — organisaties die een hoog-risico AI-systeem beroepsmatig gebruiken — hebben eigen verplichtingen onder art. 26: gebruiksinstructies volgen, betrokken werknemers informeren, output monitoren, waar vereist een beoordeling van de gevolgen voor grondrechten (FRIA) uitvoeren en logs bewaren voor inspectie.

Artikelen 51–55 — AI voor algemene doeleinden. Als uw systeem is gebouwd op of een AI-model voor algemene doeleinden integreert (GPT, Claude, Llama, Mistral…), gelden aanvullende verplichtingen, zowel voor de modelaanbieder als voor u als downstream-integrator.

Voor de meeste zakelijke AI-teams die foundation models van derden integreren, is de belangrijkste verplichting ervoor te zorgen dat de overeenkomst met de leverancier toegang geeft tot de informatie die nodig is voor de eigen risicobeoordeling — en te documenteren hoe het model is geëvalueerd voor de specifieke toepassing waarin het wordt ingezet.

Implementatieschema. De Act wordt gefaseerd ingevoerd. De algemene toepassing begon in fasen, en volgens de actuele tijdlijn van de Commissie volgen de hoog-risico-eisen in 2027/2028 — niet als één datum voor "volledige toepassing" op 2 augustus 2026.

Artikel 99 — Sancties. Boetes staan in artikel 99 van Verordening (EU) 2024/1689 en zijn het hoogste van een vast bedrag of een percentage van de wereldwijde jaaromzet. Voor het mkb geldt de laagste van de twee drempels.

Mkb-bedrijven en start-ups vallen onder het laagste van het toepasselijke vaste bedrag en de berekening als percentage van de omzet.

Bouw compliance met de AI Act vanaf het begin in.

Compliance is in de eerste plaats een engineeringprobleem. De logging, aanknopingspunten voor menselijk toezicht, cyberbeveiliging en documentatie die de Act vraagt, worden het efficiëntst in de systeemarchitectuur ingebouwd — niet achteraf toegevoegd. Wij ontwerpen standaard infrastructuur die klaar is voor de AI Act.

• Soevereine infrastructuur. On-prem of in de EU gehoste deployments waarin data, modellen en inferentie nooit uw beheerde grens verlaten — zodat aan art. 15 en de AVG tegelijk wordt voldaan.
• Logging die klaar is voor audits. Observability op gebeurtenisniveau in elke pipeline — gestructureerde logs, trace-ID's en bewaarbeleid in lijn met de eisen van art. 12.
• Risicoclassificatie en gapanalyse. We leggen uw AI-inventaris naast bijlage III, passen de analyse van de uitzondering in art. 6, lid 3 toe en leveren de basis voor de technische documentatie die u nodig hebt.

Wat de deliverable bevat · Bespreek uw compliancepositie

Meer detail nodig? Stel uw vragen over de EU AI Act aan de juridische AI-assistenten van Savion — verplichtingen, risicoklassen en checklists voor documentatie.

Open Savion

• Hoog-risicoclassificatie
• Artikel 50
• GPAI-aanbieder of integrator
• Veelgestelde vragen