De EU AI Act wordt op een aantal punten afgezwakt en uitgesteld, waardoor ondernemers die AI in hun producten of diensten verwerken meer tijd krijgen om zich voor te bereiden. De regels voor hoog-risico AI-toepassingen gaan pas in december volgend jaar in, en voor AI in producten zelfs pas op 2 augustus 2028. Dit betekent dat je als MKB-ondernemer niet in paniek hoeft te raken, maar ook niet kunt stilzitten.

Wat er aan de hand is

De EU-lidstaten en het Europees Parlement hebben in de nacht van woensdag op donderdag overeenstemming bereikt over aanpassingen in de EU AI Act, die oorspronkelijk in augustus 2024 werd aangenomen. De belangrijkste wijzigingen: de regels voor hoog-risico AI-toepassingen, zoals systemen in kritieke infrastructuur, worden zestien maanden uitgesteld. Voor AI die in een product is geïntegreerd, geldt uitstel tot 2 augustus 2028. Aanvankelijk zouden deze regels al in augustus 2027 van kracht worden. De reden is dat de standaarden en richtlijnen voor naleving nog niet klaar zijn. Het is zelfs nog niet duidelijk welke toepassingen precies onder de categorie ‘hoog risico’ vallen. Ook de eisen voor het watermerken van AI-gegenereerde afbeeldingen en video worden met drie maanden uitgesteld, tot 2 december aanstaande. Op aandringen van Duitsland en industriële concerns als Siemens en Bosch komen er minder regels voor AI in industriële toepassingen, met name waar overlap is met andere regelgeving voor machinebouwers. Medische apparatuur valt wel onder de AI-wet.

Wat dit betekent

Voor MKB-ondernemers betekent het uitstel concreet dat de deadline voor compliance is opgeschoven, maar niet verdwenen. De onduidelijkheid over wat precies ‘hoog risico’ is, maakt het lastig om je nu al volledig voor te bereiden. Tegelijkertijd geeft het uitstel je de ruimte om stapsgewijs te werken aan naleving, zonder dat je overhaaste beslissingen hoeft te nemen. De aanpassingen laten ook zien dat de EU gevoelig is voor lobby vanuit de industrie. Volgens digitale-burgerrechtenorganisatie Bits of Freedom is de tech-lobby de grote winnaar bij het uitstel. Voor ondernemers die AI in hun producten of diensten verwerken, is het belangrijk om te beseffen dat de regels er uiteindelijk wel komen. Het tempo ligt lager, maar de richting is duidelijk: transparantie, veiligheid en het voorkomen van vooroordelen worden de norm.

Hoe je dit kunt toepassen

Als je een AI-tool bouwt voor klantenservice of personeelsselectie. Dit zijn toepassingen die mogelijk onder hoog risico kunnen vallen. Je zou nu al kunnen beginnen met het documenteren van hoe jouw AI-systeem werkt, welke data het gebruikt en hoe je vooroordelen opspoort. Overweeg om een eenvoudig logboek bij te houden van beslissingen die het systeem neemt. Dit maakt het later makkelijker om aan te tonen dat je aan de regels voldoet.

Als je AI in een fysiek product verwerkt, zoals een machine of meetapparaat. De deadline voor deze categorie is het verst weg, tot 2028. Een mogelijkheid is om nu al contact te leggen met een compliance-specialist of brancheorganisatie die de ontwikkelingen volgt. Je zou kunnen overwegen om een interne roadmap te maken voor de komende jaren, waarin je stap voor stap werkt aan het voldoen aan de eisen. Begin met het in kaart brengen van welke AI-componenten je gebruikt en of ze risicovol kunnen zijn.

Als je AI gebruikt voor het genereren van afbeeldingen of video’s. De regels voor watermerken gaan al in december dit jaar in. Je zou nu al kunnen testen welke watermerktechnieken beschikbaar zijn en hoe je ze in je workflow inbouwt. Overweeg om een pilot te draaien waarbij je een aantal gegenereerde contentstukken van een watermerk voorziet, zodat je ervaring opdoet voordat de verplichting ingaat.

Als je persoonsgegevens verwerkt om vooroordelen in AI op te sporen. De nieuwe regels staan dit toe, maar alleen als het ‘strikt noodzakelijk’ is en voor specifieke soorten vooroordelen. Een optie is om nu al een privacy-impact assessment uit te voeren voor je AI-systeem. Je zou kunnen overleggen met een jurist of privacy-officer om te bepalen of jouw gebruik van gevoelige data binnen de nieuwe kaders valt.

Bron: Computable