Wat betekent de AI Act?
De AI Act biedt kansen voor ontwikkelaars en ondernemers én waarborgen voor Europese burgers. In het akkoord zijn onder meer basisafspraken gemaakt over de werking van AI in producten en diensten, worden er eisen gesteld aan mogelijk risicovolle toepassingen en vindt er ondersteuning van ontwikkelaars plaats om binnen deze kaders producten en diensten te ontwikkelen. Dit geeft AI in Europa en Nederland een belangrijke impuls gericht op economische kansen én publieke waarden.
Overzicht compromissen
Onderstaand een overzicht van de compromissen die voor zover bij ons bekend tijdens het goedkeuringstraject zijn bereikt. Deze zullen worden verwerkt in de definitieve tekst van de AI Act:
AI-systeemdefinitie
De definitie van Artificial Intelligence is aangepast naar de OECD-definitie; “machine-gebaseerd systeem met variërende autonomie, adaptiviteit na implementatie, en genereert outputs (zoals voorspellingen of beslissingen) die fysieke of virtuele omgevingen kunnen beïnvloeden”.
Categorisering
Behouden is het systeem van risico gebaseerde indeling en een tweeledige benadering voor General Purpose AI (GPAI). Er is een bijgewerkte lijst waarin uitzonderingen worden genoemd voor systemen die niet aan hoog-risico vereisten hoeven te voldoen.
Hoog risico categorieën
De lijst met hoog risico AI-systemen is gedeeltelijke aangepast; uitsluitingen voor bepaalde biometrische verificatiesystemen, toevoegingen van AI systemen voor biometrische categorisatie en emotieherkenning. Er is wel een drempel toegevoegd. Een hoog risico AI-systeem is vrijgesteld wanneer dit niet leidt tot een significant risico op schade aan gezondheid, veiligheid of fundamentele rechten van natuurlijke personen.
Verboden toepassingen
De opsomming van verboden toepassingen is tevens aangepast. Verboden zijn:
- Systemen die individuen categoriseren op basis van biometrische gegevens om persoonlijke kenmerken af te leiden.
- AI voor risicobeoordelingen van personen gebaseerd op profilering voor het voorspellen van crimineel gedrag.
- Het creëren of uitbreiden van gezichtsherkenningsdatabases via ongericht scrapen.
- Emotiedetectie bij werk of onderwijs, behalve voor medische of veiligheidsredenen.
Verplichtingen voor hoog risico AI
Hoog risico AI-systemen zullen moeten voldoen aan verplichtingen zoals:
- Geavanceerde risicobeheersystemen.
- Aanpakken van bias.
- AI-geletterdheid.
- Menselijk toezicht.
- Melden én aanpakken van AI-incidenten.
General purpose AI (GPAI)
Deze AI-systemen zullen moeten voldoen aan vereisten voor technische documentatie, openbaar maken van informatie, naleving auteursrecht wetgeving, en extra verplichtingen voor GPAI met “systeemrisico’s”.
Open source GPAI
Deze zijn vrijgesteld van bepaalde transparantievereisten, behalve wanneer deze een systeemrisico vormen.
Europese AI-bureau
Dit wordt een nieuwe toezichthoudende autoriteit voor uitvoering en handhaving van de AI Act. Het AI-bureau zal een sleutelrol spelen bij de uitvoering van de AI-wet, met name voor AI voor algemene doeleinden, en de ontwikkeling en het gebruik van betrouwbare AI en internationale samenwerking bevorderen. Kijk hier voor meer informatie.
Boetes
- Verboden toepassingen: €35 miljoen of 7% van wereldwijde omzet.
- GPAI: €15 miljoen of 3% van wereldwijde omzet.
- Onjuiste informatie: €7,5 miljoen of 1% van wereldwijde omzet.
- Andere overtredingen: €15 miljoen of 3% van wereldwijde omzet.
De tijdslijn van de AI Act is als volgt:
- Voor de meeste verplichtingen geldt dat deze van kracht worden 24 maanden na inwerkingtreding van de AI Act.
- Voor de verboden toepassingen geldt dat deze niet meer zijn toegelaten op de EU markt 6 maanden na inwerkingtreding van de AI Act.
- Voor GPAI-modellen gelden de verplichtingen 12 maanden na inwerkingtreding van de AI Act.
- Voor specifieke hoog risico AI systemen gelden de verplichtingen 36 maanden na inwerkingtreding van de AI Act.
Wat zou een organisatie/bedrijf nu al kunnen/moeten doen:
- Voer een AI-systeembeoordeling uit. Inventariseer of u AI-systemen gebruikt (ga dit bijvoorbeeld na bij leveranciers van software/apparaten waar software in zit). Laat vervolgens deze AI-systemen beoordelen om te bepalen in welke risicocategorie deze valt en krijg inzicht in de specifieke verplichtingen die van toepassing zijn.
- Werk beleid bij. Pas uw privacy- en gegevensbeschermingsbeleid aan, zodat het voldoet aan de eisen van de AI Act. Dit geldt voor alle systemen waarin persoonsgegevens worden verwerkt. Het is ook raadzaam om een AI-beleid te implementeren.
- Overweeg het raadplegen van juridische en technische experts om volledige naleving te garanderen en de gevolgen van de AI Act voor uw bedrijf volledig te begrijpen.
- Ontwikkel een compliance strategie. Het is verstandig om een uitgebreide strategie voor compliance op te stellen en deze te implementeren. Hier valt ook het doen van technische aanpassingen en trainen van personeel onder.
- Controleer sectorspecifieke vereisten. Afhankelijk van de sector waarin u opereert, kunnen er specifieke of aanvullende vereisten gelden vanuit de AI Act. Bovendien moet je begrijpen hoe de AI Act zich verhoudt tot sectorspecifieke regelgeving.
- Blijf op de hoogte van voortdurende updates, interpretaties en best practices met betrekking tot de AI Act.
Meer informatie
U kunt ook dit overzicht raadplegen dat door het European AI Forum is samengesteld. Uiteraard is de definitieve tekst van de AI Act leidend. Deze wordt in april 2024 verwacht. We zullen u informeren als de AI Act is gepubliceerd. Op het NL AI congres op 24 april 2024 komt de AI Act ook aan bod. Wilt u hierbij aanwezig zijn? Kijk hier voor meer informatie over het programma van het congres en hoe u zich kunt aanmelden.
Vervolgtraject
De NL AIC gaat haar deelnemende organisaties wegwijs maken in de Europese AI Act en de daarmee samenhangende wet- en regelgeving en hun toepassing. Dit betekent het delen van best practices, ervaringen en inzichten. En niet alleen met betrekking tot de AI Act, maar ook tot de overige digitaliseringsregelgeving uit Europa. De AI Act kan niet los worden gezien van de AVG, de Data Act, de Data Governance Act en de Cyber Resilience Act.
