De EU AI Act wordt op meerdere punten afgezwakt en uitgesteld. De regels voor hoog-risico AI-toepassingen gaan pas in december volgend jaar gelden, en voor AI die in producten is geïntegreerd zelfs pas op 2 augustus 2028. Dit geeft MKB’ers die AI in hun producten of diensten verwerken de tijd om zich voor te bereiden, maar het is geen reden om stil te zitten.

Wat er aan de hand is

In de nacht van woensdag op donderdag bereikten de EU-lidstaten en het Europarlement overeenstemming over aanpassingen in de EU AI Act, die in augustus 2024 werd aangenomen. De beperkingen voor AI-toepassingen met een hoog risico, zoals kritieke infrastructuur, worden uitgesteld tot december volgend jaar. Regels over hoog-risico AI-systemen die in een product geïntegreerd zijn, gaan pas gelden vanaf 2 augustus 2028. Aanvankelijk zouden deze regels al in augustus aanstaande van kracht worden. De standaarden en richtlijnen voor naleving zijn nog niet klaar, en het is zelfs niet duidelijk welke toepassingen precies in de categorie ‘hoog risico’ vallen. Op aandringen van Duitsland komen er minder regels voor AI in industriële applicaties, met name waar overlap is met andere AI-regelgeving voor machinebouwers. Medische apparatuur valt wel onder de AI-wet. Nieuwe eisen voor het detecteren en watermerken van AI-gegenereerde afbeeldingen en video gaan per 2 december aanstaande gelden, drie maanden later dan gepland. De EU-lidstaten en het Europarlement moeten nog hun finale goedkeuring geven, maar het compromis is bijna definitief.

Wat dit betekent

Voor MKB’ers betekent dit uitstel concreet dat je meer tijd hebt om je voor te bereiden op de regels voor hoog-risico AI-toepassingen. Maar het is geen vrijbrief om niets te doen. De regels komen eraan, en de komende maanden kun je gebruiken om je processen en documentatie op orde te brengen. Voor bedrijven die AI in producten integreren, zoals software of hardware met AI-functionaliteit, is de deadline 2028. Dat lijkt ver weg, maar het opbouwen van een compliance-structuur kost tijd. Voor bedrijven die AI gebruiken voor het genereren van afbeeldingen of video, gelden de watermerkregels al over een half jaar. De bredere scope voor het verwerken van gevoelige persoonsgegevens om vooroordelen op te sporen, biedt kansen, maar alleen als het strikt noodzakelijk is. De tech-lobby heeft volgens burgerrechtenorganisatie Bits of Freedom de grootste invloed gehad op het uitstel.

Hoe je dit kunt toepassen

Als je AI gebruikt in een product dat je verkoopt, zoals een softwaretool of een fysiek apparaat. Je zou nu al kunnen beginnen met het in kaart brengen van welke AI-functionaliteit je product bevat en of die onder de definitie van hoog risico valt. Een mogelijke aanpak is om een eenvoudige risicomatrix op te stellen: welke data gebruik je, wat doet de AI, en wat zijn de gevolgen als het fout gaat. Overweeg om een register bij te houden van je AI-systemen, zodat je later eenvoudig kunt aantonen dat je aan de regels voldoet.

Als je AI inzet voor het genereren van content, zoals afbeeldingen, video of tekst. De watermerkregels gaan al per 2 december aanstaande gelden. Je zou kunnen onderzoeken of de AI-tools die je gebruikt al watermerken toevoegen, en zo niet, of je die functionaliteit kunt inschakelen of een alternatief kunt vinden. Een optie is om nu al een protocol op te stellen voor hoe je AI-gegenereerd materiaal markeert, zodat je straks niet voor verrassingen komt te staan.

Als je AI gebruikt voor het verwerken van persoonsgegevens, bijvoorbeeld in HR- of klantensystemen. De nieuwe regels staan het verwerken van gevoelige gegevens toe voor het opsporen van vooroordelen, maar alleen als het strikt noodzakelijk is. Je zou kunnen overwegen om nu al te documenteren waarom je bepaalde gegevens nodig hebt en welke vooroordelen je precies aanpakt. Dit helpt niet alleen voor compliance, maar kan ook de kwaliteit van je AI verbeteren.

Als je een machinebouwer bent of AI in industriële toepassingen gebruikt. De Duitse lobby heeft ervoor gezorgd dat er minder regels komen voor fysieke AI, vooral waar overlap is met andere regelgeving. Je zou kunnen nagaan of jouw toepassing onder die uitzondering valt, en zo ja, of je al voldoet aan de bestaande regels voor machinebouw. Overweeg om contact op te nemen met je brancheorganisatie voor specifieke richtlijnen.

Als je nog niet begonnen bent met voorbereidingen. Het uitstel is een kans, maar geen reden om te wachten. Een praktische eerste stap is het aanwijzen van iemand binnen je bedrijf die verantwoordelijk is voor AI-compliance. Die persoon kan een overzicht maken van alle AI-toepassingen die je gebruikt of ontwikkelt, en beoordelen of ze onder de aankomende regels vallen. Dit kost nu weinig tijd, maar bespaart straks veel hoofdpijn.

Bron: Computable