De EU AI-wet uitgelegd
De EU AI-wet uitgelegd: waarom AI-governance een verantwoordelijkheid van de directie wordt
Organisaties zetten AI in bij klantenservice, marketing, werving, documentverwerking, analyse, softwareontwikkeling, fraudedetectie, compliance, operations en besluitvorming. In veel gevallen zit AI al ingebouwd in de tools die bedrijven dagelijks gebruiken, van CRM- en ERP-systemen tot Microsoft 365, Salesforce, HR-platformen en clouddiensten.
Kunstmatige intelligentie verschuift van experiment naar bedrijfskritisch gebruik.
De EU AI-wet creëert kansen. Maar ook risico’s.
De vraag voor directieteams is niet langer simpelweg:
“Mogen we AI gebruiken?”
De belangrijkere vraag wordt:
“Kunnen we aantonen dat we AI verantwoord, veilig en beheerst gebruiken?”
Dat is de context waarin de EU AI-wet relevant wordt.
De EU AI-wet is het Europese wettelijk kader voor kunstmatige intelligentie. De wet trad op 1 augustus 2024 in werking en wordt gefaseerd toegepast: het grootste deel van het kader geldt vanaf 2 augustus 2026, met daarna nog verdere verplichtingen voor specifieke categorieën AI-systemen.
Voor veel organisaties betekent dit dat AI-governance niet langer een informeel onderwerp kan blijven dat alleen bij IT, data-teams of innovatieafdelingen ligt. Het wordt een kwestie van risicomanagement, compliance, inkoop, informatiebeveiliging, operationele veerkracht en bestuurlijke verantwoording.
Wat is de EU AI-wet?
De EU AI-wet is een risicogebaseerde verordening voor kunstmatige intelligentie.
Het doel is te waarborgen dat AI-systemen die in de Europese Unie worden gebruikt veilig, transparant, traceerbaar en niet-discriminerend zijn, en onder passend menselijk toezicht staan.
De verordening behandelt niet alle AI hetzelfde. In plaats daarvan classificeert zij AI-systemen op risico. Hoe groter het potentiële risico voor mensen, veiligheid, grondrechten of de samenleving, hoe zwaarder de verplichtingen.
In de praktijk vraagt de AI-wet organisaties om inzicht in:
- welke AI-systemen zij gebruiken
- waarvoor die systemen worden ingezet
- welke risico’s daarbij ontstaan
- wie ervoor verantwoordelijk is
- welke beheersmaatregelen er zijn
- of gebruikers voldoende worden geïnformeerd
- of menselijk toezicht mogelijk is
- of besluiten en uitkomsten uit te leggen, te loggen en te toetsen zijn
Daarmee is de AI-wet veel meer dan technologieregelgeving. Het is een governancevraagstuk.
De risicogebaseerde aanpak van de EU AI-wet
De EU AI-wet hanteert een aantal brede risicocategorieën.
1. Verboden AI-praktijken
Sommige AI-praktijken worden onaanvaardbaar geacht en zijn verboden. Denk aan bepaalde vormen van manipulatieve AI, social scoring en andere praktijken die onaanvaardbare risico’s vormen voor rechten en veiligheid van mensen.
De verboden en de verplichtingen rond AI-geletterdheid gelden sinds 2 februari 2025.
Voor organisaties betekent dit dat AI-gebruik niet onbeheerd mag blijven. Ook vóór het volledige kader van kracht wordt, zouden bedrijven al moeten weten of AI-tools of -processen onaanvaardbaar risico opleveren.
2. AI-systemen met hoog risico
AI-systemen met een hoog risico vormen voor veel organisaties de belangrijkste categorie.
Het gaat om AI-systemen die significante impact kunnen hebben op het leven, de rechten, de toegang tot diensten, het werk, het onderwijs, de veiligheid of essentiële processen van mensen.
Voorbeelden kunnen zijn AI die wordt gebruikt voor:
- werving of kandidaatselectie
- medewerkersbeoordeling of personeelsplanning
- toegang tot onderwijs of opleiding
- kredietwaardigheidsbeoordelingen
- toegang tot essentiële private of publieke diensten
- bepaalde veiligheidscomponenten
- kritieke infrastructuur
- rechtshandhaving, migratie of justitiële context
Voor AI-systemen met hoog risico gelden strengere eisen. Denk aan risicomanagement, datagovernance, technische documentatie, logging, transparantie, menselijk toezicht, nauwkeurigheid, robuustheid en cybersecurity.
Voor bedrijven betekent dit dat AI niet zomaar kan worden ingevoerd omdat het efficiënt of commercieel aantrekkelijk is. Raakt een AI-systeem mensen of kritieke besluiten, dan moet het beheerst worden.
3. AI-systemen met beperkt risico
Sommige AI-systemen zijn toegestaan, maar vragen om transparantie.
Zo moeten gebruikers er soms op gewezen worden dat zij met een chatbot praten. In bepaalde gevallen moet door AI gegenereerde of gemanipuleerde content gelabeld worden.
Deze categorie is bijzonder relevant voor klantenservice, marketing, contentcreatie en digitale communicatie.
De praktische vraag is simpel:
Zou een klant, medewerker of burger redelijkerwijs willen weten dat hier AI wordt gebruikt?
Is het antwoord ja, dan kunnen transparantieverplichtingen gelden.
4. AI-systemen met minimaal risico
Veel AI-toepassingen vallen in een lagere risicocategorie. Denk aan spamfilters, eenvoudige aanbevelingssystemen of interne productiviteitstools.
Maar minimaal risico onder de AI-wet betekent niet: helemaal geen governance.
Andere wetten en verplichtingen kunnen nog steeds gelden, waaronder de AVG, cybersecurityeisen, contractuele verplichtingen, sectorspecifieke regelgeving en intern risicobeleid.
Waarom de EU AI-wet ertoe doet voor bestuurders
Veel organisaties onderschatten hoezeer AI al in hun bedrijf aanwezig is.
AI kan ingebouwd zitten in:
- HR-systemen
- CRM-platformen
- marketingautomatiseringstools
- chatbots voor klantenservice
- fraudedetectiesystemen
- cloudplatformen
- analysetools
- productiviteitssoftware
- documentmanagementsystemen
- inkoopplatformen
- cybersecuritytooling
- ERP-systemen
- low-code- en automatiseringsplatformen
De AI-wet is dus niet alleen relevant voor bedrijven die AI-producten bouwen.
Zij is net zo goed relevant voor organisaties die AI gebruiken.
Dat onderscheid doet ertoe, omdat de AI-wet verplichtingen creëert voor verschillende rollen, waaronder aanbieders en gebruiksverantwoordelijken van AI-systemen. Een bedrijf dat een AI-oplossing inkoopt en gebruikt, kan wel degelijk verantwoordelijkheden hebben, zeker wanneer de AI in gevoelige of impactvolle bedrijfsprocessen zit.
Voor directieteams draait het in de kern om beheersing.
- Weten we welke AI-systemen we gebruiken?
- Weten we welke bedrijfsprocessen worden geraakt?
- Begrijpen we de risico’s?
- Hebben we onze leveranciers beoordeeld?
- Hebben we eigenaarschap belegd?
- Kunnen we uitleggen hoe het systeem wordt gebruikt?
- Kunnen we bewijs leveren?
Blijft het antwoord op deze vragen onduidelijk, dan heeft de organisatie een gat in haar AI-governance.
Het verband tussen de EU AI-wet, NIS2 en ISO 27001
De EU AI-wet moet niet behandeld worden als een losstaand complianceproject.
Zij sluit van nature aan op andere governance- en veerkrachtthema’s, in het bijzonder NIS2 en ISO 27001.
NIS2 richt zich op cybersecurity en digitale veerkracht. De richtlijn verplicht organisaties in essentiële en belangrijke sectoren om cyberrisico’s te beheersen, kritieke diensten te beschermen, incidenten af te handelen en de ketenbeveiliging te verbeteren.
ISO 27001 biedt een managementsysteem voor informatiebeveiliging. Het helpt organisaties risicomanagement, beheersmaatregelen, eigenaarschap, bewijs, audits en continue verbetering te structureren.
De EU AI-wet voegt daar een laag aan toe: verantwoorde AI-governance.
Deze onderwerpen overlappen op verschillende praktische vlakken:
- risicobeoordeling
- leveranciersmanagement
- toegangsbeheer
- cybersecurity
- incidentafhandeling
- logging en monitoring
- bedrijfscontinuïteit
- datagovernance
- bestuurlijke verantwoording
- documentatie en bewijs
- continue verbetering
Daarom zou AI-wetgereedheid geen aparte papieren exercitie moeten worden.
Voor de meeste organisaties is het beter om AI-governance te integreren in het bestaande managementsysteem voor risico, beveiliging, compliance en transformatie.
Waarom ISO 27001 een stevig fundament is voor AI-governance
ISO 27001 maakt een organisatie niet automatisch compliant met de EU AI-wet.
Maar het levert wel een bijzonder bruikbaar fundament.
AI-governance vraagt om veel van dezelfde managementdisciplines die ISO 27001 al stimuleert:
- inventarisatie van bedrijfsmiddelen
- risicobeoordeling
- selectie van beheersmaatregelen
- eigenaarschap
- leveranciersbeoordeling
- toegangsbeheer
- incidentmanagement
- verzamelen van bewijs
- directiebeoordeling
- continue verbetering
Dezelfde logica is uit te breiden naar AI.
In plaats van alleen te vragen “Welke informatiemiddelen hebben we?”, zouden organisaties ook moeten vragen:
“Welke AI-systemen gebruiken we, waar worden ze ingezet en welke risico’s brengen ze mee?”
In plaats van alleen beheersmaatregelen voor informatiebeveiliging te managen, zouden organisaties ook AI-maatregelen moeten managen.
In plaats van leveranciers alleen vanuit beveiligingsoogpunt te beoordelen, zouden organisaties ook AI-gerelateerde leveranciersrisico’s moeten beoordelen.
In plaats van zich alleen voor te bereiden op cyberincidenten, zouden organisaties zich ook moeten voorbereiden op AI-gerelateerde storingen, misbruik, bias, onjuiste uitkomsten of gebrek aan uitlegbaarheid.
Hier wordt ISO 27001 waardevol voorbij het certificaat. Het levert een werkbaar besturingsmodel voor beheersing, bewijs en verantwoording.
Praktische stappen naar AI-wetgereedheid
Organisaties hoeven niet te beginnen met een complex juridisch programma. Ze moeten beginnen met zicht en grip.
Een praktische eerste stap is het opstellen van een AI-inventarisatie.
1. Breng AI-toepassingen in kaart
Breng in kaart waar AI momenteel in de organisatie wordt gebruikt. Neem daarin zowel zelf ontwikkelde AI mee als AI die in tools van derden zit ingebouwd.
Kijk naar gebieden als HR, sales, marketing, klantenservice, operations, finance, juridische zaken, inkoop, IT en cybersecurity.
Het doel is een helder overzicht van het feitelijke AI-gebruik, niet alleen van de officiële AI-initiatieven.
2. Classificeer het AI-risico
Zijn de AI-systemen eenmaal in beeld, classificeer ze dan op risico.
Vraag:
- Is de toepassing verboden?
- Zou zij hoog risico kunnen zijn?
- Raakt zij rechten, werk, toegang tot diensten of kritieke processen van mensen?
- Is transparantie vereist?
- Is het slechts een productiviteitstool met laag risico?
Deze classificatie bepaalt het benodigde governanceniveau.
3. Bepaal uw rol
Organisaties moeten weten welke rol zij onder de AI-wet vervullen.
- Ontwikkelen zij AI-systemen?
- Zetten zij AI-systemen van een leverancier in?
- Integreren zij AI in een product of dienst?
- Gebruiken zij AI-tools voor algemene doeleinden in bedrijfsprocessen?
Verschillende rollen brengen verschillende verantwoordelijkheden mee.
4. Beoordeel leveranciers
Veel AI-risico’s komen via leveranciers de organisatie binnen. Dat maakt inkoop en leveranciersmanagement cruciaal. Organisaties zouden moeten weten of leveranciers AI gebruiken, hoe die AI wordt beheerst, welke documentatie beschikbaar is, waar data wordt verwerkt, hoe uitkomsten worden gecontroleerd en welke contractuele waarborgen er zijn.
Dat is extra belangrijk wanneer AI is ingebed in HR-, klant-, financiële, operationele of complianceprocessen.
5. Beleg eigenaarschap en beheersmaatregelen
Elk relevant AI-systeem hoort een eigenaar te hebben. Die eigenaar kent het doel van het systeem, de risicoclassificatie, de geldende beheersmaatregelen, de leveranciersafhankelijkheden, de vereiste documentatie en de beoordelingscyclus.
Beheersmaatregelen kunnen bestaan uit menselijk toezicht, toegangsbeperkingen, logging, goedkeuringsstappen, communicatie richting gebruikers, controle van uitkomsten, biastesten, datakwaliteitscontroles en incidentprocedures.
6. Bouw bewijs op
Net als bij NIS2 en ISO 27001 staat of valt AI-governance met bewijs. Het volstaat niet om te zeggen dat AI verantwoord wordt gebruikt. Organisaties moeten kunnen aantonen wat er is beoordeeld, besloten, geïmplementeerd en getoetst.
Dat betekent het vastleggen van AI-systemen, risico’s, eigenaren, beheersmaatregelen, leveranciersbeoordelingen, incidenten, besluiten en verbeteracties.
AI-governance gaat niet alleen over compliance
Compliance is belangrijk, maar het is niet de enige reden om AI-governance serieus te nemen.
Slecht beheerste AI levert bedrijfsrisico op.
Het kan leiden tot:
- onjuiste besluiten
- reputatieschade
- regulatoire blootstelling
- bevooroordeelde uitkomsten
- privacyschendingen
- zwakke plekken in beveiliging
- leveranciersafhankelijkheid
- operationele verstoring
- verlies van klantvertrouwen
- onduidelijke verantwoording
Goede AI-governance blokkeert innovatie niet. Het maakt innovatie veiliger en beter opschaalbaar.
Organisaties die governance vroeg opbouwen, staan sterker om AI met vertrouwen in te zetten. Zij weten waar AI waarde toevoegt, waar zij onaanvaardbaar risico creëert en waar aanvullende maatregelen nodig zijn.
Dat is een concurrentievoordeel.
Van AI-experiment naar AI-beheersing
Veel bedrijven zitten nu in de experimenteerfase. Teams testen AI-tools. Medewerkers gebruiken copilots. Leveranciers voegen AI-functies toe. Bedrijfsonderdelen verkennen automatisering. Data-teams bouwen modellen.
Dat is normaal.
Maar experimenteren zonder governance creëert risico. De volgende fase is niet om met AI te stoppen. De volgende fase is om het te professionaliseren.
Dat betekent de stap van versnipperd AI-gebruik naar beheerste AI-adoptie:
- van informeel gebruik naar geregistreerde toepassingen
- van onduidelijk eigenaarschap naar aanspreekbare eigenaren
- van leveranciersbeloften naar leveranciersbeoordelingen
- van algemeen beleid naar praktische beheersmaatregelen
- van losse experimenten naar overzicht op portfolioniveau
- van onzekerheid naar bewijs
Dit is waar organisaties structuur nodig hebben.
Hoe Oosterwal Consultancy kan helpen
Oosterwal Consultancy helpt organisaties structuur, beheersing en tempo te brengen in complexe trajecten rond digitale transformatie, ISO-gereedheid, NIS2-gereedheid en AI-governance.
Wij ondersteunen organisaties bij:
- readinessbeoordelingen voor de EU AI-wet
- AI-inventarisatie en risicoclassificatie
- besturingsmodellen voor AI-governance
- voorbereiding en implementatie van ISO 27001
- NIS2-gapanalyse en verbeterplanning
- analyse van leveranciers- en technologieafhankelijkheden
- risico- en beheersingsraamwerken
- portfolio- en programmagovernance
- werkbare managementsystemen voor auditgereedheid
Onze aanpak is pragmatisch.
Geen onnodige complexiteit. Geen papieren compliancetheater. Geen losse governancedocumenten die niemand gebruikt.
Wij helpen organisaties regeldruk te vertalen naar een werkbaar systeem van risico’s, beheersmaatregelen, eigenaren, acties, bewijs en meetbare voortgang.
Voor organisaties die al werken aan ISO 27001 of NIS2 kan AI-governance als logische volgende laag worden toegevoegd. De onderliggende managementdiscipline is dezelfde: begrijp de risico’s, beleg eigenaarschap, implementeer beheersmaatregelen, verzamel bewijs en verbeter continu.
Conclusie
De EU AI-wet markeert een belangrijke verschuiving.
- AI is niet langer alleen een innovatieonderwerp. Het wordt een governanceonderwerp.
- Organisaties moeten weten waar AI wordt gebruikt, welke risico’s dat oplevert, wie eigenaar is, welke beheersmaatregelen er zijn en of verantwoord gebruik aantoonbaar is.
Voor besturen, CIO’s, CFO’s, juridische teams, risicoteams en transformatieleiders levert dat een heldere opgave op:
Kunnen we laten zien dat onze organisatie AI verantwoord en beheerst gebruikt?
De organisaties die deze vraag vroeg beantwoorden, zijn beter voorbereid op regelgeving, veerkrachtiger in de uitvoering en zekerder in het verantwoord opschalen van AI.
Het moment om te beginnen is nu 🙂
FAQ
Wat is de EU AI-wet?
De EU AI-wet is het Europese wettelijk kader voor kunstmatige intelligentie. De wet introduceert risicogebaseerde regels voor de ontwikkeling, inzet en het gebruik van AI-systemen in de EU.
Wanneer geldt de EU AI-wet?
De AI-wet trad op 1 augustus 2024 in werking en wordt gefaseerd toegepast. Verboden AI-praktijken en verplichtingen rond AI-geletterdheid gelden sinds 2 februari 2025. Governanceregels en verplichtingen voor AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2025. Het grootste deel van het kader geldt vanaf 2 augustus 2026, met enkele specifieke verplichtingen die later ingaan.
Geldt de EU AI-wet alleen voor bedrijven die AI bouwen?
Nee. De AI-wet is ook relevant voor organisaties die AI-systemen gebruiken, zeker wanneer AI wordt ingezet in impactvolle processen zoals werving, medewerkersbeoordeling, kredietbeoordeling, toegang tot diensten, veiligheid, beveiliging of kritieke operaties.
Wat is een AI-systeem met hoog risico?
Een AI-systeem met hoog risico is een AI-systeem dat de rechten, veiligheid, kansen of toegang tot essentiële diensten van mensen aanzienlijk kan beïnvloeden. Denk aan AI die wordt gebruikt bij werving, onderwijs, werk, kredietbeoordeling, kritieke infrastructuur of bepaalde gereguleerde producten.
Hoe verhoudt de AI-wet zich tot ISO 27001?
ISO 27001 levert niet automatisch compliance met de AI-wet, maar biedt wel een stevig managementfundament. Het helpt organisaties risicomanagement, beheersmaatregelen, eigenaarschap, leveranciersmanagement, incidentafhandeling, bewijs en continue verbetering te structureren. Dat zijn ook voor verantwoorde AI-governance belangrijke bouwstenen.
Hoe verhoudt de AI-wet zich tot NIS2?
NIS2 richt zich op cybersecurity en digitale veerkracht. De AI-wet richt zich op verantwoorde AI. Ze overlappen op vlakken als risicomanagement, cybersecurity, leveranciersbeheersing, incidentafhandeling, governance en bewijs. Organisaties kunnen ze het beste in samenhang aanpakken.
Wat moeten organisaties als eerste doen?
Begin met een AI-inventarisatie. Breng in kaart waar AI wordt gebruikt, welke leveranciers erbij betrokken zijn, welke bedrijfsprocessen worden geraakt en of de toepassingen mogelijk hoog risico zijn of transparantie vereisen. Bepaal van daaruit eigenaarschap, beheersmaatregelen en verbeteracties.
Hulp nodig om dit in de praktijk te brengen?
Van AI-ambitie naar beheerste, werkende processen — van pilot tot gecontroleerde adoptie.
