De AI Act en het gebruik van AI door kmo’s
AI wordt steeds vaker gebruikt in onder meer chatbots, factuurverwerking, tekstgeneratie en HR-processen. Met de AI Act voert de Europese Unie een geharmoniseerd kader in voor de ontwikkeling en het gebruik van AI. De regels kunnen niet alleen relevant zijn voor ondernemingen die AI ontwikkelen, maar ook voor organisaties die bestaande AI-oplossingen inzetten.
Gefaseerde invoering
De AI Act trad in werking op 2 augustus 2024. De verplichtingen worden stapsgewijs ingevoerd. Vanaf 2 februari 2025 gelden onder meer een verbod op bepaalde AI-toepassingen en een verplichting rond voldoende AI-kennis en opleiding voor betrokken medewerkers. Op 2 augustus 2025 volgen bijkomende verplichtingen voor aanbieders van General Purpose AI-modellen. De meeste verplichtingen, waaronder die voor hoog-risico AI-systemen, worden van kracht op 2 augustus 2026.
AI-systemen en rollen
Volgens de wet gaat het om systemen die met een zekere autonomie werken, zich kunnen aanpassen en op basis van data conclusies of voorspellingen maken. Software die uitsluitend vooraf ingestelde regels volgt, zonder leer- of redeneervermogen, valt buiten het toepassingsgebied.
De AI Act maakt een onderscheid tussen aanbieders en gebruikers. Aanbieders ontwikkelen AI-systemen of brengen ze onder hun eigen naam op de markt. Gebruikers zetten AI-systemen in binnen hun eigen activiteiten. Een organisatie die een AI-oplossing aanpast, onder eigen naam commercialiseert of voor een ander doel gebruikt dan voorzien, kan volgens de AI Act als aanbieder worden beschouwd.
Risicogebaseerde regels
De AI Act hanteert een risicogebaseerde aanpak. Toepassingen met een onaanvaardbaar risico, zoals systemen die gedrag manipuleren of sociale scoring toepassen, zijn verboden. Hoog-risico AI-systemen kunnen een aanzienlijke impact hebben op personen, bijvoorbeeld in HR, kredietverlening, onderwijs of gezondheidszorg. Niet elke toepassing in die domeinen is automatisch hoog risico; systemen die uitsluitend ondersteunend of voorbereidend werken, vallen vaak buiten deze categorie.
Voor toepassingen met een beperkt risico, zoals chatbots, AI-assistenten en generatieve AI-tools, gelden vooral transparantieverplichtingen. Bij minimaal risico, zoals spamfilters of spellingscontrole, gelden geen specifieke verplichtingen.
Verwachtingen voor organisaties
De AI Act verwacht een bewust en verantwoord gebruik van AI. Daarbij kunnen onder meer opleiding, gebruik volgens het beoogde doel, menselijk toezicht, kritische beoordeling van AI-resultaten, documentatie en samenwerking met leveranciers aan de orde zijn. Dezelfde technologie kan, afhankelijk van de toepassing, in een andere risicocategorie terechtkomen.