VCTE

Verslag

door Marike Dijksterhuis

​​​​​​​AI-Act en toezicht: strategie – compliance – ethiek

Joris Hutter, 8 december 2025

Zo’n 35 VCTE-leden woonden op 8 december 2025 de online special bij over de AI-Act en de implicaties voor commisarissen en toezichthouders. Joris Hutter, partner van Privacy Management Partners en co-auteur van het boek ‘Grip op de AI-Act’ nam ons in een aantal stappen mee door het onderwerp.

De AI-Wet is een Europese wet die regels stelt voor de ontwikkeling en het gebruik van AI-systemen. Ook geeft de wet rechten aan burgers die in aanraking komen met AI-systemen. Doel is dat AI-systemen die in de EU worden gebruikt veilig, transparant, traceerbaar, niet-discriminerend en milieuvriendelijk zijn, en altijd onder menselijk toezicht moeten staan om schadelijke gevolgen te kunnen voorkomen. De wet is in augustus 2024 aangenomen en wordt gefaseerd van kracht. Het is een horizontale wet die geldt voor alle publieke en private sectoren, met een beperkt aantal uitzonderingen: defensie en nationale veiligheid, huishoudelijk gebruik, wetenschappelijk onderzoek (onder voorwaarden), ontwikkelfase AI (onder voorwaarden) en open source AI (onder voorwaarden). De boetes voor overtreding zijn pittig: tot € 35 miljoen of 7% van de omzet.

De wet is gericht op machine learning /deep learning AI, dus op AI-modellen met een zekere autonomie die zich kunnen aanpassen op basis van veranderende input. De AI-Act is neergezet als productwetgeving, waarbij onderscheiden verantwoordelijkheden zijn neergelegd bij de aanbieders en de gebruiksverantwoordelijken.

In de gebruikelijke risico-inventarisatie en evaluatie zullen sommige bedrijven en organisaties al wel risico’s benoemen als verlies van vertrouwelijkheid, verlies van vertrouwen door onbetrouwbaarheid van de modellen, discriminatie van personen, verlies van vertrouwen in instituties en negatieve ecologische impact (hoog energie- en water verbruik). De AI-Act classificeert een lange lijst risico’s in verboden, hoog risico, beperkt risico en minimaal risico en koppelt bepaalde verplichtingen voor aanbieders en gebruikers aan elke risico-categorie. Dit alles wel met een disclaimer: inmiddels heeft de Europese Commissie alweer voorstel ingediend voor een ‘Digitale omnibusverordening inzake AI’. Die moet meerdere onderdelen van de AI-Act aanpassen om de concurrentiekracht van de EU op dit gebied te vergroten, en in te spelen op geopolitieke spanningen (lees druk uit de VS).

Verboden zijn bijvoorbeeld emotieherkenning op de werkplek en in onderwijsinstellingen, gezichtsherkenning op afstand in real time in openbare ruimten en risicobeoordeling of voorspelling van individuele strafbare feiten. Dit deel van de wet is al in februari 2025 ingegaan.

Hoog risico zijn producten en toepassingen die gezondheid, veiligheid of grondrechten raken. Denk aan veiligheidscomponenten in infrastructuur en ziekenhuisapparatuur, scoren van examens en kredietwaardigheid en voorbereiden van rechterlijke uitspraken. Hiervoor geldt volledige naleving van de AI-Act en dit deel van de wet gaat verspreid over 2026 en 2027 in. Daarnaast zijn gehele AI-systemen met een hoog risico onderworpen aan strikte verplichtingen voordat zij in de handel kunnen worden gebracht

Beperkt risico vraagt om transparantie. De AI-Act voert specifieke openbaarmakingsverplichtingen in om ervoor te zorgen dat mensen worden geïnformeerd wanneer dat nodig is om het vertrouwen te behouden. Denk aan klantenservice chatbots, synthetische kunst en manipulatie van beeld- en geluidsmateriaal die een AI-label of watermerk moeten krijgen. Dit onderdeel gaat in augustus 2026 in.

Voor toepassingen met een minimaal risico zoals spamfilters zijn geen AI-regels. Wel kunnen andere regels gelden, zoals de AVG.

Aanbieders van AI-modellen zijn o.a. verantwoordelijk voor AI-geletterdheid, een systeem voor risicobeheer, data governance en maatregelen en instructies op menselijk toezicht. Gebruiksverantwoordelijken zijn o.a. ook verantwoordelijk voor AI-geletterdheid, voor risicoanalyse, databeheer op inputdata en uitvoeren van bekwaam menselijk toezicht.

Het gebruik van AI-modellen door organisaties en bedrijven heeft impact op juridisch (boetes), financieel (compliance en audits), operationeel en strategisch gebied, en op ethiek en reputatie. Dat maakt toezichthouders verantwoordelijk om de directie te vragen naar een inventarisatie van alle AI-toepassingen en hun risico (co-pilot voor teksten bijvoorbeeld is een laag risico, maar gebruikt voor HR-beoordelingen een hoog risico), een AI-governance framework, monitoring van compliance (ook van leveranciers, best lastig nog) en incidenten, AI en risk appetite, interne audits, borgen van ethiek en transparantie, en een opleidingsplan voor bestuur en management.

Relevante informatie dus voor elke Raad van Toezicht en Raad van Commissarissen. Interessant in dit kader is ook het artikel in De Ingenieur: Toezicht op AI is balanceeract [i].

De special met Joris Hutter wordt op een nader te bepalen moment in 2026 herhaald.

[i] https://deingenieur.nl/artikelen/toezicht-op-ai-is-balanceer-act