De Europese AI-verordening: een praktische gids voor jouw kmo

Toch leeft bij veel kmo’s de overtuiging dat zij buiten schot blijven zolang zij zelf geen AI-systemen ontwikkelen. Dit is een wijdverbreid misverstand. De AI Act richt zich uitdrukkelijk ook tot ondernemingen die bestaande AI-oplossingen louter inzetten binnen hun eigen bedrijfsvoering, en de verplichtingen die daaruit voortvloeien zijn niet te onderschatten. In dit artikel lichten wij toe wat dit regelgevend kader concreet voor jouw kmo betekent en hoe je je er vandaag al op kunt voorbereiden.

Wat is de AI Act?

De AI Act is een Europese verordening die tot doel heeft de ontwikkeling en het gebruik van AI-systemen binnen de interne markt veilig, transparant en betrouwbaar te laten verlopen. Enerzijds beschermt de verordening burgers en ondernemingen tegen schadelijke of onverantwoorde AI-toepassingen, anderzijds creëert zij een voorspelbaar juridisch kader dat innovatie bevordert. De verordening is op 1 augustus 2024 in werking getreden, maar de verplichtingen gaan stapsgewijs van kracht.

Een eerste cruciale vraag is wanneer een softwaretoepassing als “AI-systeem” kwalificeert in de zin van de verordening. De AI Act richt zich op systemen die met een zekere mate van autonomie functioneren, die zich op basis van data kunnen aanpassen en die zelfstandig conclusies, voorspellingen of aanbevelingen genereren. Zuiver regelgebaseerde software – die uitsluitend vooraf geprogrammeerde instructies uitvoert zonder enig leer- of redeneervermogen – valt daarentegen buiten het toepassingsgebied.

Welke rol speelt jouw onderneming onder de AI Act?

De verordening maakt een fundamenteel onderscheid tussen twee categorieën van marktdeelnemers. Enerzijds zijn er de aanbieders (“providers”): organisaties die AI-systemen ontwerpen, ontwikkelen of onder hun eigen naam op de markt brengen. Anderzijds zijn er de gebruikers (“deployers”): organisaties die AI-systemen inzetten binnen hun eigen bedrijfsactiviteiten. Het merendeel van de kmo’s behoort tot deze tweede categorie. Zelfs wanneer je een kant-en-klare AI-oplossing aanschaft bij een externe leverancier, draag je als gebruiker een eigen verantwoordelijkheid. De omvang van jouw verplichtingen wordt bepaald door het type AI-systeem en de wijze waarop je het aanwendt.

Opgelet: jouw rol ligt niet noodzakelijk vast. Wanneer je een AI-oplossing substantieel aanpast, deze onder je eigen merknaam commercialiseert of inzet voor een wezenlijk ander doel dan waarvoor zij oorspronkelijk is ontworpen, kan je op grond van de AI Act als aanbieder worden geherkwalificeerd. Dat brengt aanzienlijk zwaardere verplichtingen met zich mee.

Een risicogebaseerde aanpak: vier niveaus

De ruggengraat van de AI Act is een classificatiesysteem dat AI-toepassingen indeelt op basis van het risico dat zij vormen voor de gezondheid, veiligheid en fundamentele rechten van personen. Hoe ingrijpender de mogelijke gevolgen, hoe strenger de toepasselijke regels. De verordening onderscheidt vier risiconiveaus.

Ten eerste zijn er AI-systemen met een onaanvaardbaar risico, die zonder meer verboden zijn – denk aan systemen die menselijk gedrag op subliminale wijze manipuleren of die door overheden worden ingezet voor sociale scoring. De Digitale Omnibus inzake AI (de “AI Omnibus”) heeft deze lijst van verboden praktijken bovendien uitgebreid met een expliciet verbod op AI-systemen die niet-consensuele, seksueel expliciete of intieme content genereren (zogenaamde “nudification”-toepassingen), tenzij de aanbieder afdoende technische maatregelen treft om het genereren van dergelijke content te verhinderen.

Ten tweede zijn er hoog-risico AI-systemen, die worden aangewend op gevoelige terreinen zoals personeelsselectie, kredietbeoordeling, onderwijs of gezondheidszorg. Voor deze categorie gelden de meest verregaande verplichtingen. Belangrijk hierbij is dat niet elke toepassing binnen deze domeinen automatisch als hoogrisico wordt aangemerkt – systemen die louter een ondersteunende of voorbereidende functie vervullen, vallen daar doorgaans buiten. In de praktijk wordt evenwel vaak onderschat hoe snel een toepassing in de hoogrisicocategorie terechtkomt zodra zij besluitvormingsprocessen mee beïnvloedt.

Ten derde zijn er AI-systemen met een beperkt risico, zoals chatbots, AI-assistenten en generatieve AI-tools, waarvoor hoofdzakelijk transparantieverplichtingen gelden: eindgebruikers moeten steeds duidelijk kunnen vaststellen dat zij met een AI-systeem interageren of dat content door AI is gegenereerd.

Ten vierde zijn er AI-systemen met een minimaal risico – zoals spamfilters, videospelletjes of spellingscontrole – waarvoor geen specifieke verplichtingen gelden.

Het is belangrijk om te begrijpen dat eenzelfde technologie, afhankelijk van de concrete toepassing, in een andere risicocategorie kan belanden.

Gefaseerde inwerkingtreding: de AI Omnibus brengt uitstel

De verplichtingen uit de AI Act worden geleidelijk uitgerold, en de AI Omnibus heeft een aantal belangrijke deadlines verschoven. Sinds 2 februari 2025 geldt het verbod op onaanvaardbare AI-praktijken. Sinds 2 augustus 2025 zijn de bijkomende regels voor aanbieders van AI-modellen voor algemene doeleinden (zogenaamde “General Purpose AI”) van toepassing. Vanaf 2 december 2026 treedt het nieuwe verbod op nudification-AI in werking. De oorspronkelijk voor 2 augustus 2026 voorziene verplichtingen voor hoog-risico AI-systemen zijn door de AI Omnibus uitgesteld: voor AI-systemen die worden ingezet in risicodomeinen zoals biometrie, personeelsselectie, onderwijs of migratie geldt de nieuwe deadline van 2 december 2027, terwijl voor AI-systemen die geïntegreerd zijn in gereguleerde producten, zoals auto’s, medische hulpmiddelen of speelgoed, de verplichtingen pas vanaf 2 augustus 2028 afdwingbaar worden. Dit uitstel is er gekomen omdat ondernemingen onvoldoende tijd, middelen en ondersteuning hadden om de oorspronkelijke deadline te halen. De Europese Commissie zal in de tussentijd bijkomende richtsnoeren publiceren om de naleving te vereenvoudigen. Ondanks het uitstel blijft het evenwel essentieel om nu reeds een overzicht te maken van alle AI-systemen binnen de organisatie en de nodige voorbereidingen te treffen.

De sancties bij niet-naleving zijn niet gering. Overtredingen van de verboden AI-praktijken kunnen worden bestraft met administratieve geldboetes tot 35 miljoen euro of 7% van de wereldwijde jaaromzet. Voor andere inbreuken gelden boetes tot 15 miljoen euro of 3% van de jaaromzet. De verordening voorziet weliswaar in aangepaste boeteplafonds voor kmo’s en startups om de evenredigheid te waarborgen, maar de materiële verplichtingen gelden onverkort, ongeacht de omvang van de onderneming. Opmerkelijk is dat de AI Omnibus de vereenvoudigingen die de AI Act toekent aan kmo’s, uitbreidt naar zogenaamde “small mid-cap enterprises” (SMC’s) – ondernemingen met 250 tot 750 werknemers die net buiten de klassieke kmo-definitie vallen. Concreet genieten zij onder meer van vereenvoudigde documentatieverplichtingen, verwachtingen die worden afgestemd op hun omvang en middelen, en lagere drempels bij toezicht en handhaving.

Wat verwacht de AI Act concreet van kmo’s?

Hoewel de verordening geenszins veronderstelt dat elke kmo een AI-expert in huis haalt, verwacht zij wel dat ondernemingen bewust en zorgvuldig met AI omgaan. In de praktijk betekent dit dat ondernemingen die louter als gebruiker optreden, een structureel AI-beleid dienen uit te werken. De kernverplichtingen laten zich als volgt samenvatten: AI-systemen mogen uitsluitend worden aangewend voor het doel waarvoor zij zijn bestemd; bij beslissingen die een wezenlijke weerslag kunnen hebben op personen, moet steeds een afdoende mate van menselijke controle gewaarborgd zijn; de output van AI-toepassingen dient systematisch op juistheid en betrouwbaarheid te worden getoetst; toepassingen met een hoger risicoprofiel moeten zorgvuldig worden gedocumenteerd; en tot slot is het belangrijk dat organisaties in overleg treden met hun softwareleveranciers om zicht te krijgen op de naleving van de AI-verordening door de ingezette AI-oplossingen.

Wat de AI-geletterdheid van medewerkers betreft, heeft de AI Omnibus een belangrijke versoepeling doorgevoerd: waar de oorspronkelijke verplichting organisaties ertoe verplichtte om de AI-kennis van alle medewerkers te waarborgen, wordt dit nuthans beschouwd als een inspanningsverbintenis. Organisaties moeten redelijke maatregelen nemen om AI-geletterdheid te bevorderen – bijvoorbeeld via opleidingen of informatiesessies – maar zijn niet langer aansprakelijk indien een individuele medewerker onvoldoende AI-kennis bezit. De Europese Commissie en de lidstaten zullen op hun beurt bijkomende ondersteuning bieden in de vorm van praktische richtsnoeren en opleidingsmateriaal. Een bijzonder aandachtspunt blijft dat AI steeds vaker onzichtbaar is ingebed in bestaande softwarepakketten, waardoor organisaties er soms onbewust gebruik van maken.

Innovatie en testomgevingen

Een belangrijk aspect van de AI Act is de bevordering van innovatie. De AI Act verplicht lidstaten om testomgevingen (zogenaamde “regulatory sandboxes”) op te richten waar ondernemingen hun AI-systemen onder reële omstandigheden kunnen ontwikkelen en testen, zonder dat tekortkomingen die binnen dat kader worden vastgesteld automatisch tot sancties leiden. De AI Omnibus gaat nog een stap verder en voorziet in de oprichting van een testomgeving op EU-niveau voor AI-systemen met een grensoverschrijdend karakter. Kmo’s krijgen daarbij met voorrang toegang tot deze Europese testomgeving, wat hen de mogelijkheid biedt om innovatieve AI-oplossingen te ontwikkelen in een gecontroleerde en juridisch veilige omgeving.

Vijf stappen om je vandaag al voor te bereiden

Afwachten tot de deadlines naderen, is geen verstandige strategie. Wie vandaag de eerste stappen zet, staat morgen sterker:

1. Begin met een grondige inventarisatie van alle toepassingen binnen jouw organisatie die AI-functionaliteiten bevatten – denk daarbij niet alleen aan voor de hand liggende tools zoals chatbots of tekstgeneratoren, maar ook aan minder zichtbare AI-componenten in bestaande software, bijvoorbeeld geautomatiseerde screeningmodules in HR-pakketten of voorspellende algoritmen in boekhoudprogramma’s.
2. Voer vervolgens per toepassing een risicoanalyse uit aan de hand van de door de EU gepubliceerde classificatierichtlijnen: bepaal het risiconiveau en breng de mogelijke impact op betrokken personen in kaart.
3. Evalueer daarnaast zorgvuldig jouw rol en verantwoordelijkheden onder de verordening – ben je louter gebruiker van een AI-systeem, of zou jouw organisatie door aanpassingen aan de software of door het aanbieden ervan aan derden als aanbieder kunnen worden gekwalificeerd?
4. Stem vervolgens jouw overeenkomsten, interne beleidsregels en documentatie af op de nieuwe timing die de AI Omnibus heeft ingevoerd.
5. Werk ten slotte aan een robuust AI-governancekader: leg interne verantwoordelijkheden vast, stel duidelijke richtlijnen op voor het gebruik van AI binnen jouw organisatie en voorzie in adequate opleiding en doorlopend toezicht.

De Europese AI-verordening is inmiddels een operationele realiteit. Een deel van de verplichtingen geldt reeds en hoewel de AI Omnibus ondernemingen meer tijd en ademruimte biedt voor de naleving van bepaalde verplichtingen, blijft de kern van de AI-verordening ongewijzigd. Voor kmo’s die AI-toepassingen inzetten, ook wanneer het om standaardsoftware van derden gaat, betekent dit dat zij zich niet langer kunnen verschuilen achter hun beperkte omvang of het feit dat zij geen AI ontwikkelen.

Transparantie, menselijk toezicht en adequate documentatie worden de nieuwe norm, ongeacht de schaalgrootte van de onderneming. Wie daar vandaag al werk van maakt, beperkt niet alleen het risico op mogelijke boetes, maar positioneert zich tegelijk als een betrouwbare partner in een markt waar verantwoord AI-gebruik steeds meer het verschil zal maken.

Onze PKF BOFIDI Legal advocaten staan voor jou klaar

Wil je weten in welke mate jouw onderneming voorbereid is op de AI-verordening en de AI Omnibus? Ons PKF BOFIDI Legal team helpt je graag bij het in kaart brengen van jouw AI-gebruik, het uitvoeren van een risicoanalyse en het uitwerken van een praktisch en werkbaar AI-governancekader. Neem gerust contact met ons op.

Voor een opfrissing van de AI-regelgeving kan je ons vorige artikel raadplegen.

Dit artikel werd geschreven door Lauranne Piotrowski.