Naleving EU AI-verordening: vanaf 2 augustus 2026 gelden de GPAI-boetes

De EU AI-verordening (EU AI Act, Verordening (EU) 2024/1689) is de eerste integrale AI-regulering ter wereld. Deze trad op 1 augustus 2024 in werking en is gefaseerd van toepassing: 2 februari 2025 (AI-geletterdheid + verboden praktijken), 2 augustus 2025 (GPAI-verplichtingen + governance), 2 augustus 2026 (hoog-risico AI onder Bijlage III en boetes tegen GPAI-aanbieders) en 2 augustus 2027 (hoog-risico AI in Bijlage I-producten). Van toepassing op elke organisatie die AI levert of gebruikt op de EU-markt.

Ze geldt voor elke organisatie die AI-systemen ontwikkelt, levert of gebruikt op de EU-markt, of ze nu in Europa gevestigd is of niet. Ze maakt geen onderscheid naar sector of omvang: een mkb-bedrijf dat een chatbot gebruikt, een bank die kredietscoring doet of een Amerikaans bedrijf met Europese klanten vallen er allemaal onder. De concrete verplichtingen variëren naar je rol (aanbieder of deployer) en het risiconiveau van het systeem, maar AI-geletterdheid (Art. 4) geldt overkoepelend.

De volledige eisen voor hoog-risico AI-systemen onder Bijlage III gelden: risicobeheer, datakwaliteit, technische documentatie, menselijk toezicht en robuustheid. Op dezelfde dag worden de boetes tegen aanbieders van GPAI-modellen van toepassing; hun verplichtingen gelden al sinds 2 augustus 2025. Voor hoog-risico AI die is geïntegreerd in gereguleerde producten onder Bijlage I is de deadline 2 augustus 2027.

De boetes overtreffen die van de AVG: tot €35M of 7% van de wereldwijde jaaromzet (het hoogste bedrag geldt) voor verboden praktijken. Voor de meeste overige overtredingen, inclusief hoog-risico- en GPAI-aanbiederverplichtingen: tot €15M of 3%. Voor het verstrekken van onjuiste of misleidende informatie aan autoriteiten: tot €7,5M of 1%. Voor het mkb en start-ups geldt het laagste van de twee bedragen.

Het is een AI-systeem dat volgens Bijlage III de veiligheid of grondrechten van personen kan raken. Hieronder vallen AI in selectie en HR-management (CV-filtering, prestatiebeoordelingen), kredietscoring en verzekeringen, rechtspraak, grenscontrole, kritieke infrastructuur, onderwijs (toelatingen, beoordelingen) en gezondheid (diagnose, triage). Als je AI beslissingen beïnvloedt die rechten van personen raken, is het waarschijnlijk hoog risico.

Een general-purpose AI-model (GPAI) is een grootschalig getraind model dat voor veel verschillende taken dient, zoals GPT, Claude of Gemini. De aanbieders ervan hebben sinds 2 augustus 2025 verplichtingen (technische documentatie, transparantie, copyright-naleving), en de bijbehorende boetes worden op 2 augustus 2026 van toepassing. Als je bedrijf een van deze modellen via API integreert, ben je deployer en heb je eigen verplichtingen, ook al ben je niet de modelaanbieder.

Ook als je alleen AI van derden gebruikt (ChatGPT, Copilot, een chatbot, een HR-tool), ben je deployer en heb je al verplichtingen. Sinds 2 februari 2025 moet je de AI-geletterdheid van je team garanderen (Art. 4) en geen verboden praktijken gebruiken. Is het systeem hoog risico, dan komen menselijk toezicht, transparantie en impactbeoordeling erbij. Deze verplichtingen kunnen niet worden gedelegeerd aan de modelaanbieder. Controleer in twee minuten welke op je van toepassing zijn met onze EU AI Act-zelftest.

Het is de verplichting, van kracht sinds 2 februari 2025, voor elke organisatie die AI-systemen gebruikt of daarop toezicht houdt om te zorgen dat haar personeel voldoende kennis van AI heeft: wat het is, hoe het werkt, de risico's en het verantwoorde gebruik. Een algemene presentatie volstaat niet: ze moet worden afgestemd op de rol van elke persoon en worden gedocumenteerd. Het is de eerste verplichting die vrijwel elk bedrijf treft, of het nu AI ontwikkelt of niet.

Begin met weten wat je hebt: onze EU AI Act-zelftest plaatst je in twee minuten, gratis. Voor het volledige overzicht: onze AI-nalevingsdiagnose inventariseert al je AI-systemen, classificeert ze per risiconiveau (Bijlage III), detecteert de gaten ten opzichte van de verordening en levert een geprioriteerd actieplan in 2-3 weken. Vanaf daar weet je precies wat te doen en in welke volgorde, zonder voortijdig uit te geven. Wil je dieper op de architectuur ingaan, dan begeleiden we het met AI-advies.

We hebben een volledige gids over de EU AI-verordening voor bedrijven gepubliceerd met de toepassingstijdlijn, de risiconiveaus, de verplichtingen per rol en de concrete stappen om je voor te bereiden. Als je het liever toegepast op je eigen situatie wilt, geeft de AI-nalevingsdiagnose je de werkelijke stand van je organisatie ten opzichte van de verordening.