EU AI Act uitgelegd: risiconiveaus, deadlines en boetes

De EU AI Act is een Europese verordening die AI-systemen indeelt naar het risico dat ze vormen, en daar passende regels aan koppelt. Hij trad op 1 augustus 2024 in werking en wordt over meerdere jaren stapsgewijs van toepassing. De verboden, de verplichting tot AI-geletterdheid en de regels voor AI-modellen voor algemeen gebruik (GPAI) gelden al. De regels voor systemen met een hoog risico zijn door een wijziging, de zogenoemde Digital Omnibus, in 2026 aangenomen en uitgesteld naar december 2027 en augustus 2028.

Deze gids geeft de situatie weer per oktober 2026. Enkele details van de herziene tijdlijn worden nog verduidelijkt. Controleer voordat u compliancebeslissingen neemt de tekst in het Publicatieblad van de EU en de eigen AI Act-pagina's van de Europese Commissie.

Wat is de EU AI Act?

De AI Act is een verordening en geen richtlijn. Dat betekent dat hij rechtstreeks in elke lidstaat geldt en dat nationale overheden hem niet in hun eigen wetgeving hoeven om te zetten. Het officiële referentienummer is Verordening (EU) 2024/1689, en hij werd in juli 2024 gepubliceerd. De onderzoeksdienst van het Europees Parlement wees erop dat de wet was ontworpen om minstens drie jaar nodig te hebben voordat hij volledig van toepassing is.

Hij wordt breed omschreven als het eerste algemene, horizontale juridische kader voor AI, wat betekent dat hij sectoroverstijgend werkt en niet op één industrie is gericht. AI-systemen worden gereguleerd op basis van risico, terwijl algemene modellen worden gereguleerd op basis van hun capaciteiten. Richtsnoeren, geharmoniseerde normen en vrijwillige gedragscodes leveren de technische details.

Welke risicocategorieën kent de AI Act?

De tekst van de wet onderscheidt vier risiconiveaus voor AI-systemen, plus een apart spoor voor algemene modellen. Het onderstaande overzicht volgt de structuur van de wet. De precieze grenzen worden bepaald in artikel 5, artikel 6, bijlagen I en III, en artikel 50.

Onacceptabel risico (verboden): Dit omvat sociale scoring en AI die mensen manipuleert of hun kwetsbaarheden misbruikt. Het ongericht verzamelen van gezichtsafbeeldingen is verboden, net als emotieherkenning op het werk en in scholen, met uitzonderingen. Bepaalde biometrische categorisering, voorspellend politiewerk uitsluitend op basis van profilering, en realtime biometrische identificatie op afstand in openbare ruimten door wetshandhavers (met smalle uitzonderingen) zijn eveneens verboden.

Hoog risico: Er zijn twee soorten. Bijlage I omvat AI die fungeert als veiligheidscomponent in producten die al onder de productwetgeving van de EU vallen, zoals machines, medische hulpmiddelen of speelgoed. Bijlage III omvat zelfstandige systemen die worden gebruikt op gevoelige terreinen. Daaronder vallen biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid, essentiële diensten en kredietverlening, rechtshandhaving, migratie en grenscontrole, en justitie en democratische processen.

Aanbieders van systemen met een hoog risico moeten risicobeheer, databeheer en technische documentatie opzetten. Ook zijn logging, menselijk toezicht en voldoende nauwkeurigheid en robuustheid nodig. Daarnaast komen een conformiteitsbeoordeling, CE-markering en registratie in een EU-databank.

Beperkt risico (transparantie, artikel 50): Mensen moeten worden verteld wanneer zij met een chatbot communiceren, en deepfakes moeten worden gelabeld. AI-gegenereerde content moet bovendien een machineleesbaar kenmerk dragen. Minimaal risico: Alledaagse tools zoals spamfilters of videogames krijgen geen nieuwe verplichtingen.

AI-modellen voor algemeen gebruik: Elke aanbieder van een GPAI-model moet documentatie bijhouden en een auteursrechtbeleid hebben. Modellen die als "systeemrisico" worden beschouwd, krijgen extra verplichtingen. De wet gaat uit van systeemrisico boven een drempelwaarde voor rekenkracht bij training van 10^25 FLOPs.

Wanneer is de EU AI Act van toepassing? De huidige tijdlijn

Volgens het oorspronkelijke schema traden de verboden en de verplichtingen rond AI-geletterdheid in werking op 2 februari 2025. De GPAI-regels, bepalingen over governance en sancties volgden op 2 augustus 2025. De meeste overige bepalingen, waaronder de regels voor systemen met een hoog risico uit bijlage III, zouden op 2 augustus 2026 ingaan. De regels voor systemen met een hoog risico uit bijlage I stonden gepland voor 2 augustus 2027.

Dat plan is gewijzigd. Op 19 november 2025 deed de Commissie het voorstel voor de "Digital Omnibus on AI", deels als reactie op zorgen over regeldruk die in het Draghi-rapport van 2024 waren geuit. Het Parlement en de Raad bereikten op 7 mei 2026 een voorlopig akkoord. Het Parlement keurde de tekst op 16 juni definitief goed en de Raad nam hem op 29 juni aan. De tekst werd op 8 juli ondertekend en trad op 27 juli 2026 in werking na publicatie in het Publicatieblad.

Volgens de herziene data gelden de regels voor zelfstandige systemen met een hoog risico uit bijlage III nu vanaf 2 december 2027. De regels voor AI in gereguleerde producten uit bijlage I beginnen nu in augustus 2028. Volgens de analyse van Formalize zijn de algemene verboden en de GPAI-regels niet uitgesteld.

Een aantal punten blijft open. Dit betreft onder meer de exacte datum na de Omnibus voor de transparantie- en watermerkverplichtingen van artikel 50, de vraag of er nieuwe verboden zijn toegevoegd, en de precieze reikwijdte van de verlichting voor kleinere bedrijven. Geharmoniseerde normen zouden ook achterlopen. Controleer deze punten in de officiële tekst.

Op wie is de AI Act van toepassing?

Volgens het artikel over het toepassingsbereik van de wet omvat hij aanbieders die AI-systemen op de EU-markt brengen, waar zij ook gevestigd zijn. Hij geldt ook voor gebruiksverantwoordelijken (organisaties die AI gebruiken) in de EU, evenals voor importeurs, distributeurs en productfabrikanten. Aanbieders en gebruiksverantwoordelijken buiten de EU vallen er ook onder wanneer het resultaat van hun systeem in de EU wordt gebruikt.

Die extraterritoriale reikwijdte werkt vergelijkbaar met de AVG. Een bedrijf in Turkije, de VS of elders dat AI in de EU verkoopt, of wiens AI-output daar wordt gebruikt, kan binnen het toepassingsbereik vallen. Aanbieders buiten de EU van systemen met een hoog risico en GPAI-modellen moeten een gemachtigde vertegenwoordiger in de EU aanwijzen.

Sommige toepassingen zijn uitgesloten: militair gebruik, defensie en nationale veiligheid; AI die uitsluitend voor wetenschappelijk onderzoek wordt gebruikt; en puur persoonlijk, niet-professioneel gebruik. Het meeste gratis en opensourcesoftware valt eveneens buiten het toepassingsbereik, met enkele uitzonderingen.

Welke boetes staan er in de EU AI Act?

Artikel 99 kent drie boetecategorieën. Overtreding van de verboden kan tot 35 miljoen euro of 7% van de wereldwijde jaaromzet kosten, afhankelijk van welk bedrag hoger is. Voor de meeste andere verplichtingen van exploitanten gelden maximaal 15 miljoen euro of 3%. Het verstrekken van onjuiste of misleidende informatie aan autoriteiten kan leiden tot boetes van maximaal 7,5 miljoen euro of 1%.

Voor mkb-bedrijven en startups geldt het lagere van de twee bedragen (artikel 99, lid 6). De Omnibus zou deze behandeling volgens berichten uitbreiden tot "small mid-caps". Lidstaten stellen de gedetailleerde nationale sanctieregels vast, en artikel 99 is van toepassing sinds 2 augustus 2025. GPAI-aanbieders kunnen door de Commissie worden beboet, met maximaal 15 miljoen euro of 3%.

Boetecategorieën die gekoppeld zijn aan uitgestelde verplichtingen gelden pas zodra die verplichtingen van toepassing worden. Sommige oudere artikelen vermelden nog dat boetes voor systemen met een hoog risico op 2 augustus 2026 ingaan. Dat klopt niet meer.

Wat moeten organisaties nu doen?

Het uitstel is geen reden om te stoppen met voorbereiden, want de verboden, de AI-geletterdheid en de GPAI-regels gelden al. Een praktische eerste stap is een inventaris maken van de AI-systemen die u bouwt, inkoopt of verkoopt, en elk systeem indelen in een risicocategorie.

Voor aanbieders van systemen met een hoog risico kost het opstellen van documentatie, databeheer en processen voor menselijk toezicht tijd, dus december 2027 komt dichterbij dan het lijkt. Voor betrouwbare details kunt u het best EUR-Lex, de AI Act-pagina's van de Commissie en het AI Office raadplegen in plaats van secundaire samenvattingen.