EU AI-verordening assessment

Een EU AI-verordening assessment is een uitgebreide evaluatie die bepaalt of je AI-systemen voldoen aan de Europese wet inzake kunstmatige intelligentie, ook bekend als de EU AI-verordening. De verordening is op 1 augustus 2024 in werking getreden.

Deze beoordeling identificeert je AI-systemen, classificeert ze op risiconiveau en zorgt ervoor dat ze voldoen aan alle wettelijke vereisten. Je hebt deze nodig omdat de verordening van toepassing is op elke organisatie die AI-systemen gebruikt in de EU-markt, met boetes tot €35 miljoen of 7% van de wereldwijde jaaromzet bij niet-naleving.

De wet classificeert AI-systemen in vier categorieën: onacceptabel risico, hoog risico, beperkt risico en minimaal risico. Voor hoog-risico-systemen gelden strenge eisen zoals het opzetten van risicobeheerprocessen, data governance, uitgebreide technische documentatie, en het waarborgen van menselijk toezicht. Organisaties moeten hun systemen registreren in een EU-database en vooraf conformiteit beoordelingen uitvoeren.

Hoogrisico-AI-systemen moeten volgens de EU AI Act aan strenge eisen voldoen om betrouwbaarheid en veiligheid te garanderen. Zo moet een risico beheersysteem gedurende de hele levenscyclus van het AI-systeem worden opgezet om mogelijke risico’s continu te monitoren en te beheersen. Daarnaast is het belangrijk dat er programma’s voor gegevensbeheer worden geïmplementeerd die waarborgen dat de trainingsdata van hoge kwaliteit, representatief en zo foutloos mogelijk zijn.

Er moet ook uitgebreide technische documentatie worden bijgehouden, zodat kan worden aangetoond dat het systeem aan alle eisen voldoet. Het systeem dient automatische logfunctie te hebben, zodat gebeurtenissen die relevant zijn voor risico’s duidelijk worden geregistreerd. Verder moeten gebruikers duidelijke instructies krijgen om het systeem correct te kunnen gebruiken, en moet het mogelijk zijn dat er altijd menselijk toezicht is. Ook moeten passende nauwkeurigheid niveaus en  cybersecurity maatregelen worden gehaald. Tot slot is het vereist om een kwaliteitsmanagementsysteem op te zetten dat zorgt voor consistente naleving van deze eisen.

Aanbieders van deze systemen zijn daarnaast verplicht om hun AI-systemen te registreren in een EU-database en vóór marktintroductie conformiteit beoordelingen uit te voeren om aan te tonen dat het systeem voldoet aan de regelgeving. Deze uitgebreide eisen zijn er om de veiligheid, transparantie en controleerbaarheid van hoogrisico AI-systemen te waarborgen.

De EU AI-verordening wordt gefaseerd ingevoerd. Systemen met een onacceptabel risico zijn al verboden sinds 1 februari 2025. Regels voor algemene AI-toepassingen gelden vanaf 1 augustus 2025. De meeste andere eisen worden vanaf 1 augustus 2026 van kracht, terwijl hoogrisico-systemen die al onder andere EU-regelgeving vallen tot 1 augustus 2027 uitstel krijgen. Organisaties doen er verstandig aan meteen te starten met de voorbereiding, want het voldoen aan de regels kan complex en tijdrovend zijn.

Ja, de EU AI-verordening heeft extraterritoriale werking.
Als je organisatie AI-systemen op de EU-markt brengt, in de EU in gebruik neemt, of als de output van je AI-systemen bedoeld is voor gebruik in de EU, dan val je onder de wet, ongeacht locatie.
Aanbieders van hoogrisico-AI-systemen buiten de EU moeten een gemachtigde vertegenwoordiger in de EU aanstellen. Dit is vergelijkbaar met hoe de AVG (GDPR) van toepassing is op organisaties buiten de EU die gegevens van EU-burgers verwerken.

Een aanbieder ontwikkelt, produceert of wijzigt een AI-systeem ingrijpend en brengt het op de markt of in gebruik onder hun eigen naam of merk. Een gebruiker past een AI-systeem toe onder eigen verantwoordelijkheid voor het beoogde doel. Aanbieders hebben uitgebreidere verplichtingen, waaronder conformiteit beoordelingen, CE-markering en registratie in de EU-database. Gebruikers moeten de gebruiksinstructies opvolgen, zorgen voor menselijk toezicht en kunnen verplicht zijn om impact beoordelingen over grondrechten uit te voeren voor bepaalde hoogrisico-systemen.

Boetes onder de EU AI Act zijn ingedeeld naar ernst van de overtreding:
Het gebruik van verboden AI-praktijken kan leiden tot boetes tot €35 miljoen of 7% van de wereldwijde jaaromzet (afhankelijk van wat hoger is), Het niet naleven van regels voor gegevensbeheer of transparantie kan boetes opleveren tot €7,5 miljoen of 1% van de wereldwijde omzet, Andere overtredingen kunnen leiden tot boetes tot €15 miljoen of 3% van de wereldwijde jaaromzet. Deze hoge boetes maken naleving en implementatie tot een cruciale prioriteit voor bedrijven.

Om aan de EU AI-verordening te voldoen, is uitgebreide technische documentatie noodzakelijk. Deze documentatie bevat onder meer de systeemspecificaties, ontwikkelingsmethoden, procedures voor risico- en databeheer, voorzieningen voor menselijk toezicht, testresultaten omtrent nauwkeurigheid en robuustheid, cybersecuritymaatregelen, kwaliteitsmanagement en plannen voor toezicht na de marktintroductie. Deze documentatie moet gedurende de volledige levenscyclus van het AI-systeem worden bijgehouden en op verzoek beschikbaar zijn voor toezichthouders.

Een EU AI Act-assessment verloopt meestal in verschillende fasen. Eerst wordt een inventaris gemaakt van alle AI-systemen binnen de organisatie. Daarna volgt een risicoclassificatie volgens de categorieën uit de wet, gevolgd door een analyse van compliance-hiaten ten opzichte van de wettelijke eisen. Op basis hiervan wordt een roadmap opgesteld die zicht geeft op de te nemen stappen om compliant te raken. De duur van een dergelijke assessment hangt af van de omvang en complexiteit van de organisatie en systemen, maar de meeste initiële evaluaties zijn binnen 4 tot 8 weken afgerond. Daarna varieert het implementatietraject afhankelijk van de uitkomsten.

Voor kleine en middelgrote ondernemingen (MKB) en startups zijn aparte ondersteuning en faciliteiten opgenomen in de EU AI Act. Zo krijgen zij prioriteit bij toegang tot regulatorische sandboxes en worden er gerichte bewustwordingsactiviteiten georganiseerd. Ook zijn er speciale communicatiekanalen voor begeleiding en worden de kosten van conformiteitsbeoordelingen verlaagd afhankelijk van de grootte en ontwikkelingsfase van het bedrijf. Ondanks deze steun blijven de verplichtingen voor naleving gelijk voor alle organisaties, waardoor het inschakelen van professionele assessmentdiensten vaak waardevol is voor organisaties met beperkte middelen.