Even snel een mailtje laten herschrijven door ChatGPT. Een sollicitant laten scoren door een AI-tool. Een spraakbericht beluisteren dat wellicht toch niet van de directeur blijkt te komen. Dit zijn geen uitzonderingen meer.

Met die dagelijkse praktijk komt nieuwe regelgeving mee. De Europese AI Act is al sinds augustus 2024 van kracht, en vanaf 2 augustus 2026 worden de eerste stevige verplichtingen ook echt gehandhaafd.

Wat betekent de AI Act precies voor jouw organisatie, hoe pakt Nederland het toezicht aan, en wat vraagt compliance in de praktijk? In dit artikel lees je het antwoord, met vier praktijkvoorbeelden die laten zien hoe het misgaat als niemand erop let.

Inhoudsopgave

Wat is de AI Act?
AI Act Nederland: wie houdt er toezicht?
AI Act compliance: hoe pak je dit aan?
AI-geletterdheid en de AI Act: artikel 4
Wat is AI awareness?
Vier voorbeelden uit de praktijk
Hoe herken je risicovol AI-gebruik?
Bewustwording is de basis van verantwoord AI-gebruik

Wat is de AI Act?

De AI Act is de Europese verordening die regels stelt aan de ontwikkeling en het gebruik van kunstmatige intelligentie binnen de EU. In plaats van AI in zijn geheel te reguleren, kiest de wetgeving voor een risicogebaseerde aanpak: hoe groter de impact van een AI-toepassing op mensen, hoe strenger de eisen.

De Europese AI Act onderscheidt vier niveaus:

Onaanvaardbaar risico: verboden toepassingen, zoals social scoring van burgers.
Hoog risico: bijvoorbeeld AI in werving & selectie, kredietbeoordeling of medische toepassingen.
Beperkt risico: zoals chatbots, met verplichte transparantie richting gebruikers.
Minimaal risico: de meeste overige AI-toepassingen, zoals spamfilters.

Belangrijk om te weten: de AI Act geldt niet pas over een paar jaar. Een deel van de wet is al in werking, en de verplichtingen worden gefaseerd strenger richting 2027. Voor de volledige, formele tekst van de verordening kun je terecht op de website van de Europese Commissie.

AI Act Nederland: wie houdt er toezicht?

Een Europese verordening geldt rechtstreeks in elke lidstaat, maar Nederland moet nog wel regelen wíe er precies gaat controleren of organisaties zich eraan houden. Daarvoor is de Uitvoeringswet AI-verordening in de maak, ingediend door staatssecretaris Willemijn Aerdts.

Nederland kiest niet voor één centrale AI-toezichthouder, maar voor een stelsel van in totaal tien markttoezichthouders, elk actief binnen hun eigen sector: denk aan De Nederlandsche Bank voor financiële instellingen of de NVWA voor voedselgerelateerde toepassingen. Voor de sectoren waar nog geen duidelijke toezichthouder bestaat, is de Autoriteit Persoonsgegevens (AP) aangewezen als vangnet, met een eigen AI-bestuurder. De AP en de Rijksinspectie Digitale Infrastructuur (RDI) krijgen daarnaast een coördinerende rol.

Twee data zijn voor Nederlandse organisaties het meest concreet:

2 augustus 2026: de AI Act wordt volledig van kracht, en Nederlandse toezichthouders beginnen met de handhaving van onder meer artikel 4 (AI-geletterdheid) en artikel 5 (verboden praktijken).
Eind 2027: de zwaarste verplichtingen voor hoog-risico AI-systemen, waaronder een verplichte Fundamental Rights Impact Assessment (FRIA), worden pas op dat moment volledig gehandhaafd.

Weet je niet zeker welke toezichthouder voor jouw organisatie geldt? De RDI fungeert in de praktijk als eerste aanspreekpunt en verwijst je zo nodig door.

AI Act compliance: hoe pak je dit aan?

AI Act compliance begint niet bij technologie, maar bij overzicht. Vier stappen die voor de meeste organisaties de basis vormen:

Inventariseer welke AI-tools daadwerkelijk gebruikt worden. Niet alleen de tools die officieel zijn aangeschaft, maar ook de tools die medewerkers er zelf bij zijn gaan gebruiken: de zogeheten schaduw-AI.
Classificeer per toepassing het risiconiveau. Een chatbot voor klantenservice vraagt iets anders dan een AI-tool die sollicitanten beoordeelt.
Leg verantwoordelijkheid en toezicht vast. Wie beoordeelt AI-output voordat die een besluit beïnvloedt? Wie mag welke tool goedkeuren?
Train medewerkers. Compliance staat of valt met mensen die risico’s herkennen: dit is precies waar AI-geletterdheid en AI awareness om de hoek komen kijken.

Bij hoog-risico-toepassingen komt daar een Fundamental Rights Impact Assessment bij: een toets, vergelijkbaar met een DPIA, maar dan gericht op grondrechten zoals privacy, non-discriminatie en het recht op informatie.

AI-geletterdheid en de AI Act: artikel 4

Een onderdeel van de AI Act dat nog te vaak over het hoofd wordt gezien: artikel 4 verplicht organisaties die AI-systemen gebruiken of aanbieden om te zorgen voor voldoende AI-geletterdheid bij hun medewerkers. Simpel gezegd: iedereen die met AI werkt, moet begrijpen wat een AI-systeem wel en niet kan, en welke risico’s daarbij horen.

Deze verplichting is niet nieuw: hij geldt formeel al sinds februari 2025: maar de handhaving door Nederlandse toezichthouders start pas vanaf 2 augustus 2026. Dat betekent niet dat je tot die datum kunt wachten: bij incidenten (een datalek, een fout AI-besluit) kan nu al aansprakelijkheid ontstaan, ook zonder dat een toezichthouder heeft ingegrepen.

AI-geletterdheid is in de praktijk waar de AI Act en AI awareness samenkomen: de wet stelt de eis, awareness-training is de manier waarop je eraan voldoet.

Wat is AI awareness?

AI awareness gaat over het vergroten van kennis en bewustzijn bij medewerkers over veilig en verantwoord gebruik van kunstmatige intelligentie. Denk aan het herkennen van risico’s, het kritisch beoordelen van AI-output, en het beschermen van vertrouwelijke informatie.

Concreet draait AI awareness om:

Bewust en veilig gebruik van AI-tools zoals ChatGPT of Copilot;
Het herkennen van AI-gegenereerde phishing en deepfakes;
Het voorkomen van datalekken via AI-chatbots;
Het kritisch beoordelen van AI-output (hallucinaties);
Het naleven van interne AI-richtlijnen en de AI Act.

Het doel: medewerkers laten profiteren van AI, zonder dat ze onnodige risico’s binnenhalen voor de organisatie.

Vier voorbeelden uit de praktijk

1. De onbetrouwbare AI-chatbot

Een medewerker gebruikt een publieke AI-chatbot om snel een conceptmail voor een klant op te stellen:

“Kun je deze e-mail herschrijven? Hier zijn de contractgegevens en het klantnummer.”

Zonder het te beseffen deelt de medewerker vertrouwelijke klantgegevens met een extern platform. Die gegevens kunnen worden opgeslagen, gebruikt voor het trainen van het model, of in het ergste geval zichtbaar worden voor anderen.

Let op signalen zoals: het delen van klant- of bedrijfsgegevens in publieke AI-tools, het gebruik van niet-goedgekeurde AI-toepassingen, onduidelijkheid over waar ingevoerde data wordt opgeslagen, en het ontbreken van interne richtlijnen.

2. De overtuigende deepfake

Een financieel medewerker ontvangt een spraakbericht dat afkomstig lijkt van de algemeen directeur:

“Ik zit in het buitenland en kan je nu niet bellen. Kun je met spoed €12.500 overmaken naar de rekening die ik net heb doorgestuurd? Dit moet vandaag nog gebeuren.”

De stem klinkt overtuigend echt, maar is gegenereerd met AI op basis van eerder openbaar gedeelde audio-opnames. Een geavanceerde variant van CEO-fraude.

Controleer daarom altijd: past het verzoek binnen normale procedures, is de afzender via een ander kanaal bereikbaar, is een tweede controle mogelijk, en kloppen de betaalgegevens met bekende gegevens?

3. Het risicovolle AI-besluit

Een HR-afdeling gebruikt een AI-tool om sollicitaties automatisch te beoordelen:

“Op basis van de AI-score wordt deze kandidaat niet uitgenodigd voor een gesprek.”

Omdat dit een AI-toepassing is die invloed heeft op iemands toegang tot werk, valt dit onder de categorie ‘hoog risico’ binnen de AI Act. De organisatie moet dan zorgen voor menselijk toezicht, transparantie richting kandidaten, en het beperken van bias in het model.

Een vuistregel die hier direct uit volgt: laat AI nooit volledig autonoom besluiten nemen die grote impact hebben op mensen, zonder menselijke controle.

4. Ongeautoriseerde AI-tools binnen het team

Verschillende medewerkers binnen een team gebruiken, zonder overleg, allerlei losse AI-tools om hun werk te versnellen. Omdat niemand overzicht heeft van welke tools worden gebruikt en welke data erin wordt ingevoerd, ontstaat schaduw-AI binnen de organisatie.

Het gevolg: bedrijfsgevoelige informatie kan ongemerkt buiten de organisatie terechtkomen, zonder dat iemand zicht heeft op waar die data wordt opgeslagen of gebruikt. Dit voorbeeld laat zien waarom AI awareness op teamniveau minstens zo belangrijk is als op individueel niveau.

Hoe herken je risicovol AI-gebruik?

Let op deze signalen binnen je organisatie:

Het invoeren van vertrouwelijke of persoonsgegevens in publieke AI-tools;
Onduidelijkheid over welke AI-tools binnen een team worden gebruikt;
Volledig vertrouwen op AI-output zonder menselijke controle;
AI-toepassingen die impact hebben op mensen: zoals selectie of beoordeling: zonder toezicht;
Een ontbrekend goedkeuringsproces voor nieuwe AI-tools.

Twijfel je over een AI-toepassing? Bespreek dit met je IT-afdeling of security officer, vóórdat je vertrouwelijke informatie deelt of een tool structureel gaat inzetten.

Bewustwording is de basis van verantwoord AI-gebruik

Technische maatregelen en beleid zijn belangrijk, maar de medewerker is meestal de eerste én de laatste verdedigingslinie. Daarom hoort AI awareness thuis binnen elke bredere Security Awareness Training: en is het, dankzij artikel 4 van de AI Act, inmiddels ook geen vrijblijvende keuze meer.

Door medewerkers te trainen in het herkennen van AI-risico’s en het naleven van de AI Act, verklein je de kans op datalekken, imagoschade en boetes aanzienlijk. Hoe beter medewerkers begrijpen hoe AI werkt en welke risico’s erbij horen, hoe groter de kans dat onveilig of niet-conform gebruik op tijd wordt herkend en gemeld.

Wil je jouw medewerkers AI awareness bijbrengen en voorbereiden op de AI Act? Investeer dan in gerichte Security Awareness Training en versterk de digitale weerbaarheid van jouw organisatie.

AI awareness en de AI Act: zo maak je medewerkers AI-bewust