De EU AI-verordening: Wat Nederlandse Bedrijven Moeten Weten in 2026

De EU AI-verordening — officieel Verordening (EU) 2024/1689 — is het eerste uitgebreide wettelijke kader voor kunstmatige intelligentie ter wereld. Na inwerkingtreding op 1 augustus 2024 worden de bepalingen gefaseerd uitgerold. Sinds 2 februari 2025 zijn de verboden op onaanvaardbaar-risico-AI-praktijken afdwingbaar, en per augustus 2026 gelden de volledige verplichtingen voor hoog-risico-AI-systemen.

Voor Nederlandse organisaties is dit geen ver-van-mijn-bedshow. Nederland telt meer dan 3.600 AI-bedrijven en behoort tot de top vijf Europese AI-ecosystemen volgens Dealroom-data. Of u nu AI-producten bouwt of modellen van derden integreert in klantgerichte workflows: inzicht in uw verplichtingen is essentieel.

Hoe de AI-verordening Risico Classificeert

De verordening hanteert een vierlaagsmodel op basis van risico:

1. Onaanvaardbaar Risico — Verboden

Deze AI-praktijken zijn sinds 2 februari 2025 verboden:

• Social scoring door overheden
• Real-time biometrische identificatie in openbare ruimten voor rechtshandhaving (met beperkte uitzonderingen)
• Subliminale manipulatie die schade veroorzaakt
• Misbruik van kwetsbaarheden van specifieke groepen (leeftijd, handicap)
• Emotieherkenning op de werkvloer en in het onderwijs
• Ongericht scrapen voor gezichtsherkenningsdatabases

Let op voor Nederlandse werkgevers: AI inzetten om emoties van medewerkers via webcams te analyseren — een functie die sommige remote-monitoringtools aanboden — is nu illegaal.

2. Hoog Risico — Zware Verplichtingen

AI-systemen in deze domeinen krijgen verplichte conformiteitsbeoordelingen, menselijk toezicht en incidentrapportage:

• Werving en HR: CV-screeningtools, geautomatiseerde interviewbeoordeling, personeelsbeheer
• Kredietscore en verzekeringen: Geautomatiseerde kredietbeslissingen, risicoprofilering
• Onderwijs: Examenproctoring, toelatingsscoringen
• Kritieke infrastructuur: AI voor energienetbeheer, waterzuivering
• Rechtshandhaving: Predictive policing, bewijsbeoordeling
• Migratie en grenscontrole: Visumaanvraagbeoordeling

Voor hoog-risicosystemen moeten organisaties:

• Het systeem registreren in de [EU AI-database](https://ec.europa.eu/digital-building-blocks/sites/pages/viewpage.action?pageId=712377447)
• Een Fundamental Rights Impact Assessment (FRIA) uitvoeren voor inzet
• Technische documentatie onderhouden over trainingsdata, modelarchitectuur en prestatiemetrieken
• Menselijk toezicht garanderen — een gekwalificeerd persoon moet het systeem kunnen overrulen of uitschakelen
• Datagovernance waarborgen — trainingsdata moet relevant, representatief en vrij van bekende biases zijn
• Alle systeembeslissingen loggen voor traceerbaarheid en auditing

3. Beperkt Risico — Transparantieverplichtingen

Systemen die met mensen interacteren, synthetische content genereren of geautomatiseerde beslissingen nemen, moeten dat duidelijk melden:

• Chatbots: Moeten gebruikers informeren dat ze met AI communiceren
• Deepfakes en AI-gegenereerde media: Moeten als kunstmatig gegenereerd worden gelabeld
• Emotieherkenningssystemen (waar toegestaan): Gebruikers moeten worden geinformeerd

4. Minimaal Risico — Geen Specifieke Verplichtingen

AI-spamfilters, aanbevelingsengines op webshops of interne analytics-dashboards vallen doorgaans hier. Geen wettelijke last, maar vrijwillige gedragscodes worden aangemoedigd.

Tijdlijn

| Datum | Mijlpaal | |-------|----------| | 2 feb 2025 | Verboden op onaanvaardbaar-risico-AI van kracht | | 2 aug 2025 | Regels voor general-purpose AI (GPAI) modellen gelden | | 2 aug 2026 | Volledige verplichtingen voor hoog-risico-AI-systemen | | 2 aug 2027 | Regels voor hoog-risico-AI in gereguleerde producten (medische apparaten, machines) |

De Nederlandse Context: Nationale Implementatie

De Nederlandse overheid heeft de Autoriteit Persoonsgegevens (AP) — al de toezichthouder voor gegevensbescherming — aangewezen als nationale toezichthouder voor de AI-verordening. De AP publiceerde eind 2025 haar AI-toezichtstrategie en gaf aan prioriteit te geven aan:

• AI bij de overheid (algoritmen in de bijstand, fraudedetectie bij gemeenten)
• AI in werving en selectie (geautomatiseerde kandidaatselectie)
• AI in financiele dienstverlening (kredietrisicomodellen, verzekeringspremies)

Nederland heeft hier een pijnlijke geschiedenis. De SyRI-uitspraak in 2020 — waarbij de rechter een overheidsfraudedetectie-algoritme verbood wegens schending van mensenrechten — en het toeslagenschandaal liggen nog vers in het geheugen. Toezichthouders zullen niet mild zijn.

Boetes

• Tot 35 miljoen euro of 7% van de wereldwijde jaaromzet voor schending van verboden praktijken
• Tot 15 miljoen euro of 3% voor non-compliance bij hoog-risicosystemen
• Tot 7,5 miljoen euro of 1% voor het verstrekken van onjuiste informatie aan autoriteiten

Praktische Stappen voor Nederlandse Organisaties

Stap 1: Inventariseer Uw AI-systemen

Maak een register van elk AI-systeem dat u ontwikkelt, inzet of inkoopt. Documenteer per systeem:

• Welke beslissingen het beinvloedt
• Welke data het verwerkt
• Wie geraakt wordt door de output
• Of het in een hoog-risicocategorie valt

Het IAMA (Impact Assessment Mensenrechten en Algoritmes) framework, ontwikkeld door de Nederlandse overheid, is hiervoor een praktisch hulpmiddel.

Stap 2: Classificeer Risiconiveaus

Toets elk systeem aan Bijlage III van de AI-verordening (hoog-risicocategorieen). Bij twijfel: schakel juridisch advies in — de kosten van verkeerde classificatie zijn hoog.

Stap 3: Dicht Governance-gaps

Zorg bij hoog-risicosystemen voor:

• Een aangewezen AI-officer of governanceteam
• Gedocumenteerde datagovernance-procedures voor trainingsdatasets
• Biastesting en fairness-evaluatieprotocollen
• Incidentresponsplannen voor AI-fouten
• Menselijk-toezichtprocedures met helder toegewezen verantwoordelijkheden

Stap 4: Werk Contracten Bij

Controleer leveranciersovereenkomsten voor AI-tools van derden. Onder de AI-verordening dragen gebruikers (niet alleen aanbieders) verplichtingen. Als uw recruitmentplatform een AI-scoringsengine gebruikt, deelt u de verantwoordelijkheid voor compliance.

Stap 5: Train Uw Teams

De AI-verordening vereist expliciet AI-geletterdheid (Artikel 4). Alle medewerkers die AI-systemen bedienen of er toezicht op houden, moeten voldoende begrip hebben van de technologie, haar beperkingen en de wettelijke vereisten.

General-Purpose AI Modellen (GPAI)

Sinds augustus 2025 moeten aanbieders van GPAI-modellen — inclusief grote taalmodellen zoals GPT-4, Claude, Gemini en open-sourcemodellen als Llama — het volgende doen:

• Een voldoende gedetailleerde modelsamenvatting publiceren
• Een auteursrechtbeleid onderhouden (relevant voor geschillen over trainingsdata)
• Voldoen aan transparantieverplichtingen richting downstream-gebruikers

Modellen met een systeemrisico (momenteel modellen getraind met meer dan 10^25 FLOPs) krijgen aanvullende verplichtingen: adversariele tests, incidentmonitoring en cybersecuritybeoordelingen.

Voor Nederlandse bedrijven die bovenop deze modellen bouwen via APIs is de kernvraag: maakt uw toepassing een general-purpose model tot een hoog-risicosysteem? Als u een LLM inzet voor het screenen van sollicitaties of het beoordelen van kredietwaardigheid, is het antwoord waarschijnlijk ja — en gelden de hoog-risicoverplichtingen voor u als gebruiker.

Wat Dit Betekent voor AI-innovatie in Nederland

De AI-verordening is niet bedoeld om innovatie te smoren. De wetgeving voorziet in AI-regulatory sandboxes — gecontroleerde omgevingen waarin bedrijven AI-systemen onder toezicht kunnen testen voor volledige inzet. Nederland heeft zich gecommitteerd aan minstens een sandbox, gecoordineerd door de AP.

Daarnaast profiteren mkb-bedrijven van verminderde documentatievereisten en vrijstellingen van kosten voor conformiteitsbeoordelingen.

De boodschap is helder: innoveer, maar doe het verantwoord. Nederlandse organisaties die nu vooroplopen in compliance hebben een concurrentievoordeel wanneer de volledige hoog-risicoverplichtingen per augustus 2026 van kracht worden.

Bronnen

• [EU AI Act volledige tekst](https://artificialintelligenceact.eu/the-act/)
• [Autoriteit Persoonsgegevens AI-richtlijnen](https://www.autoriteitpersoonsgegevens.nl/themas/algoritmes-en-ai)
• [IAMA-framework](https://www.rijksoverheid.nl/documenten/rapporten/2021/02/25/impact-assessment-mensenrechten-en-algoritmes)
• [Netherlands AI Coalition (NL AIC)](https://nlaic.com/)

Voor hulp bij het beoordelen van uw AI-systemen en het opzetten van een compliance-roadmap kunt u onze automatiserings- en DevOps-diensten bekijken of onze artikelen over DevOps- en AI-trends en databeheer lezen.