AI Act

De AI Act is een Europese verordening. Dat betekent dat de AI Act rechtstreeks van toepassing is in alle lidstaten. De verordening volgt een risico gebaseerde benadering en stelt verplichtingen voor zowel aanbieders als gebruikers. Verplichtingen zijn afhankelijk van het risiconiveau dat een AI-systeem met zich meebrengt. De belangrijkste uitgangspunten en verplichtingen zijn de volgende:

• Verboden AI-praktijken: de AI Act verbiedt een aantal praktijken, waaronder emotieherkenning op de werkvloer of het categoriseren van mensen op basis van biometrische kenmerken (ras, seksuele geaardheid of religie). Op dergelijke praktijken geldt een verbod, omdat deze een te groot risico vormen voor de fundamentele rechten van personen.
• Duidelijkheid: het moet duidelijk zijn voor gebruikers dat zij met een AI-systeem en niet met een daadwerkelijk individu communiceren.
• AI-systemen met hoog risico: voor vijf categorieën (instanties, organisaties etc.), waaronder overheidsinstanties, geldt dat zij verplicht een Fundamental Rights Impact Assessment (FRIA) dienen uit te voeren bij AI-systemen die als hoog risico gekwalificeerd worden. Dit heeft als doel risico’s in kaart te brengen voor zes onderwerpen: procesbeschrijving, periode en frequentie, categorieën betrokkenen, specifieke risico’s, implementatie maatregelen en beheersmaatregelen.
• Transparantie en aansprakelijkheid: de AI Act bevat regels voor transparantie en aansprakelijkheid voor AI-systemen, algoritmes en machine learning, zodat gebruikers inzicht hebben in de logs (die 6 maanden worden bewaard) en hoe beslissingen zijn gemaakt. Daarnaast bevat het bepalingen ten aanzien van verantwoordelijkheid voor eventuele schade.
• Gegevensgebruik en privacy: de AI Act kijkt ook naar het gebruik van persoonsgegevens door AI en benadrukt het belang van privacy en informatiebeveiliging.
• Conformiteitsbeoordeling: de Act kijkt naar een AI-systeem als een product en past hier productvoorschriften en regels voor markttoelating op toe. Zo wordt een systeem voor conformiteitsbeoordeling geïntroduceerd met een CE-logo die organisaties krijgen toegewezen wanneer zij compliant zijn volgens de AI Act.
• Systeem inregelen: organisaties dienen een systeem in te richten om in de praktijk zorg te dragen voor data kwaliteit en risico beheersing.
• Menselijk toezicht: dit verwijst naar een adequaat getraind persoon vanuit de organisatie, die onderdeel is van de besluitvorming (in-the-loop) of minstens nauw toezicht (in-command) houdt, bij AI-praktijken.
• Toezicht en handhaving: de AI Act bepaalt dat elk land zijn eigen toezichthouder krijgt die er zorg voor draagt dat de AI Act wordt gevolgd en toegang heeft tot de documentatie, bindende aanwijzingen kan geven, bevelen om AI te stoppen bij risico’s en boetes kan opleggen. De Autoriteit Persoonsgegevens (AP) is sinds 2023 coördinerend toezichthouder van algoritmes en AI en regisseur van de Algoritme en AI Kamer (AAK). Hoe de toezicht functie naar aanleiding van de AI-verordening in Nederland wordt ingericht is nog niet duidelijk.

Organisaties kunnen AI op diverse manieren inzetten; zowel ten aanzien van verschillende onderwerpen als binnen verschillende divisies binnen de organisatie. Zo kan het onder meer ingezet worden ten behoeve van sales, klantcontact, onderzoek en HR.

De regels uit de AI Act gelden zowel voor ontwikkelaars van AI, als voor diegene die AI op de markt brengen of inzetten. Denk hierbij aan gebruikers, producenten of importeurs. De locatie speelt hierbij geen factor; de AI Act geldt voor alle aanbieders, ongeacht waar zij zijn gevestigd, zolang:

• het AI-systeem van invloed is op gebruikers binnen de EU; of
• de output van het AI-systeem binnen de EU wordt gebruikt.

In al deze gevallen zal aantoonbaar moeten zijn dat de AI-systemen voldoen aan de regels uit de AI Act.

De AI Act hanteert een risico gebaseerde benadering door AI-systemen in vier niveaus te classificeren:

1. Onaanvaardbaar risico:
   AI-praktijken die als onaanvaardbaar worden beschouwd en verboden zijn omdat ze in strijd zijn met de waarden en fundamentele rechten van de EU.
   Voorbeelden: sociale scoring door overheden, exploitatie van kwetsbare mensen, gebruik van subliminale technieken om gedrag te manipuleren, realtime biometrische identificatie door wetshandhavingsinstanties in openbare ruimtes, voorspellende politietaken gericht op individuen, emotieherkenning op de werkplek en in onderwijsinstellingen.
2. Hoog risico:
   AI-systemen die mogelijk de veiligheid van individuen of hun fundamentele rechten kunnen beïnvloeden en daarom onderworpen zijn aan striktere vereisten zoals conformiteitsbeoordelingen, technische documentatie en risicomanagementmechanismen. Deze systemen zijn opgesomd in bijlage I (voor systemen ingebed in producten die al onder toezicht staan, zoals medische apparaten, speelgoed, voertuigen) en bijlage III (voor systemen gebruikt in acht specifieke domeinen).
   Voorbeelden: biometrische systemen, systemen gebruikt bij werving of selectieprocedures, AI voor wetshandhavingsdoeleinden zoals het voorspellen van crimineel gedrag.
3. Specifiek transparantierisico:
   De AI Act legt specifieke transparantieverplichtingen op voor AI-systemen, vooral wanneer er een duidelijk risico op manipulatie is.
   Voorbeelden: gebruik van chatbots die interacties met gebruikers sturen zonder dat ze zich ervan bewust zijn, AI-systemen die content genereren zoals deepfakes of gesimuleerde video’s.
4. Minimaal risico:
   Voor alle andere AI-systemen stelt de AI Act geen specifieke verplichtingen. Dit zijn de overgrote meerderheid van de AI-systemen die momenteel in de EU worden gebruikt of naar verwachting zullen worden gebruikt, volgens de Europese Commissie.
   Voorbeelden: eenvoudige AI-systemen zoals aanbevelingsalgoritmes voor producten in e-commerce, geautomatiseerde klantenservice via chatbots voor veelvoorkomende vragen.

De AI Act werd op 12 juli 2024 gepubliceerd in het Publicatieblad van de Europese Unie en treedt 20 dagen later in werking, op 1 augustus 2024. De toepassing van de wet zal vervolgens in verschillende fasen plaatsvinden:

• 2 februari 2025 (6 maanden na inwerkingtreding):
  De verboden op AI-systemen die onaanvaardbare risico’s met zich meebrengen, worden van kracht.

• 2 augustus 2025 (12 maanden na inwerkingtreding):
  De regels voor AI-modellen voor algemeen gebruik worden van kracht. Daarnaast worden op dit moment ook de bevoegde autoriteiten op lidstaatniveau aangewezen.

• 2 augustus 2026 (24 maanden na inwerkingtreding):
  Alle bepalingen van de AI Act worden van kracht, met name de regels voor AI-systemen met een hoog risico zoals vermeld in bijlage III. Dit omvat AI-systemen in de gebieden van biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid, toegang tot essentiële private en publieke diensten, wetshandhaving, migratie- en grenscontrolebeheer, democratische processen en het bestuur van justitie. Lidstaten moeten ook minimaal één AI-regulerende sandbox hebben geïmplementeerd.

• 2 augustus 2027 (36 maanden na inwerkingtreding):
  De regels voor hoog risico AI-systemen zoals vermeld in bijlage I worden van kracht. Dit omvat AI in speelgoed, radioapparatuur, in-vitro diagnostische medische hulpmiddelen, luchtvaartveiligheid, landbouwvoertuigen, enz.

  Daarnaast zal de toepassing van de wet gebaseerd zijn op “geharmoniseerde normen” op Europees niveau, die precies moeten definiëren welke eisen van toepassing zijn op de betrokken AI-systemen.

Ja indien de regels uit de AI Act niet worden nageleefd kunnen overtreders hoge boetes verwachten, namelijk tot 35 miljoen euro per overtreding of 7% van de wereldwijde omzet. Ook kleinere overtredingen worden beboet, tot 7,5 miljoen euro of 1,5% van de wereldwijde omzet.