Hoe de risicocategorieën en rollen in de EU AI Act werken
De Europese AI-verordening (EU AI Act) introduceert een risicogebaseerde benadering om kunstmatige intelligentie binnen de Europese Unie te reguleren. Het uitgangspunt is dat de wetgevingsdruk en verplichtingen evenredig stijgen met het potentieele schaderisico van de AI-toepassing voor de veiligheid, gezondheid of grondrechten van burgers.
De vier risicocategorieën in vogelvlucht
- Verboden praktijken (Onaanvaardbaar risico): AI-toepassingen die een duidelijke bedreiging vormen voor mensenrechten of veiligheid. Hieronder vallen onder meer social scoring door overheden, schadelijke gedragsmanipulatie, ongerichte scraping van gelaatsafbeeldingen en emotieherkenning op het werk en in de onderwijsomgeving.
- Hoog risico (High-Risk): AI-systemen die worden ingezet in kritieke sectoren zoals de gezondheidszorg, biometrische identificatie, beheer van infrastructuur, onderwijs, werving & personeelsbeheer en toegang tot essentiële voorzieningen. Hiervoor gelden strenge kwaliteits- en transparantie-eisen.
- Transparantieverplichting: Systemen met een specifiek transparantierisico, zoals chatbots die direct met mensen communiceren of AI-modellen die synthetische mediacontent genereren (zoals deepfakes). Gebruikers moeten hier expliciet worden geïnformeerd over de inzet van AI.
- Minimaal risico: Toepassingen zoals spamfilters, AI in videospellen of eenvoudige aanbevelingssystemen. Voor deze categorie gelden geen aanvullende wettelijke verplichtingen onder de verordening.
Waarom de rol (Aanbieder vs Gebruiksverantwoordelijke) cruciaal is
Bij het bepalen van uw verplichtingen volstaat het niet om alleen naar de categorie van het systeem te kijken. De EU AI Act maakt een strikt juridisch onderscheid tussen de Aanbieder (Provider) en de Gebruiksverantwoordelijke (Deployer):
Een Aanbieder is de partij die het AI-systeem ontwikkelt (of laat ontwikkelen) en dit onder de eigen merknaam op de markt brengt of in gebruik neemt. Aanbieders dragen het zwaarste pakket aan verplichtingen: zij moeten onder meer risicobeheersystemen inrichten, datagovernance waarborgen, technische documentatie opstellen, conformiteitsbeoordelingen uitvoeren en de CE-markering aanbrengen.
Een Gebruiksverantwoordelijke is de organisatie die een extern ingekocht of beschikbaar gesteld AI-systeem inzet in haar professionele activiteiten. Hun taak ligt primair in het correct toepassen van het systeem volgens de instructies van de aanbieder, het inrichten van menselijk toezicht tijdens het operationele gebruik en het monitoren van eventuele risico's op de werkvloer.
Integratie in uw organisatie en governance
Het bepalen van de categorie is de eerste stap in een verantwoorde implementatie. Voor organisaties die AI-oplossingen inzetten is het opbouwen van een structurele AI-governance voor het MKB essentieel om compliance en operationele continuïteit te garanderen.
Bij hoge-risico AI-toepassingen is daarnaast dikwijls een voorafgaande AI-risicoanalyse en DPIA vereist om mogelijke impact op grondrechten en privacy tijdig te signaleren. Om medewerkers duidelijke kaders te bieden over wat wel en niet is toegestaan, is het vastleggen van een intern AI-beleid onmisbaar. Zorg er eveneens voor dat afspraken met externe softwareleveranciers helder zijn gecontracteerd.
Voor een uitgebreide achtergrond over de opbouw van de wetgeving kunt u tevens de EU AI Act uitleg op nieuws.llmnet.nl raadplegen.
