kennisbank — de wet uitgelegd
De Europese AI-verordening bepaalt sinds 2024 welke regels gelden voor kunstmatige intelligentie in de EU. Hier lees je in gewone taal wat de wet inhoudt, voor wie ze geldt en wat ze van je vraagt.
Laatst geverifieerd:
Bekijk de tijdlijn01 — de wet in het kort
Geen juridisch jargon, wel de kern. Van eenmanszaak tot multinational: zodra je AI ontwikkelt of professioneel gebruikt, kan de verordening je raken.
De AI-verordening (formeel Verordening (EU) 2024/1689) is de eerste brede wet ter wereld die regels stelt aan kunstmatige intelligentie. Ze werkt rechtstreeks in heel de EU — in Nederland dus zonder aparte omzetting.
De verordening telt 13 hoofdstukken en 113 artikelen, maar voor de meeste organisaties draait het om een klein aantal: artikel 5 (verboden), artikel 6 (hoog risico), artikel 50 (transparantie) en artikel 4 (AI-geletterdheid).
De wet is niet iets voor 'later'. De strengste verboden en de plicht tot AI-geletterdheid gelden al sinds begin 2025 — ongeacht wanneer je een systeem in gebruik nam.
De verplichtingen treden gefaseerd in werking, niet allemaal tegelijk. Zo gelden de regels voor AI-modellen zoals ChatGPT sinds augustus 2025, terwijl het zwaardere hoog-risicoregime later volgt.
02 — de anatomie van de wet
De AI Act lijkt groot, maar rust op een eenvoudig bouwwerk. Scroll mee: de piramide van risico, de rollen eromheen, de laag met AI-modellen eronder en het toezicht erboven — laag voor laag opgebouwd.
a — het fundament
Het hart van de wet is een risicobenadering. Hoe groter de kans op schade voor mensen, hoe strenger de regels — van volledig verboden bovenaan tot vrijwel vrij onderaan. De meeste alledaagse AI zit onderin.
b — de rollen
Dezelfde regels landen anders per rol. Een aanbieder maakt een AI-systeem en brengt het op de markt; een gebruiksverantwoordelijke zet het onder eigen gezag in voor werk. Gebruik je AI alleen privé, dan val je buiten de wet.
c — de laag eronder
Onder de systemen ligt een aparte laag: de AI-modellen, zoals die achter ChatGPT of Claude. Een model is de bouwsteen, een systeem de toepassing die jij gebruikt. Voor die modellen gelden eigen regels sinds augustus 2025.
d — het toezicht
Boven alles staat het toezicht. Op de AI-modellen ziet het Europese AI Office toe. In Nederland houden bestaande toezichthouders — elk binnen hun eigen domein — toezicht op de rest. Hoe dat precies is verdeeld, lees je op de toezichtpagina.
03 — het mentale model
Elke AI-toepassing valt in één van vier bakjes. Het niveau bepaalt hoeveel de wet van je vraagt — van een streng verbod tot geen extra regels.
Social scoring, emotieherkenning op werk en school, manipulatieve technieken, ongerichte gezichtsdatabases. Verboden sinds 2 februari 2025.
AI met grote impact op mensen: werving, kredietbeoordeling, onderwijs, kritieke infrastructuur. Volledige verplichtingenset voor aanbieders én gebruikers.
Chatbots, deepfakes en AI-gegenereerde content: mensen moeten weten dat ze met AI te maken hebben.
Verreweg de meeste AI — spamfilters, spellingscontrole, aanbevelingen. Vrijwillige gedragscodes mogelijk.
04 — hoog risico, concreet
De wet wijst acht gebieden aan waar AI grote gevolgen kan hebben voor mensen (Bijlage III). Valt een toepassing daarin, dan is ze kandidaat voor het hoog-risicoregime.
gezichtsherkenning, biometrische categorisering
AI in energie-, water- of verkeersnetten
toelating, beoordeling en fraudedetectie
werving, selectie, promotie, ontslag
kredietwaardigheid, zorg- en levensverzekeringen, uitkeringen
risicobeoordeling, bewijsanalyse
visumbeoordeling, asielondersteuning
ondersteuning van rechterlijke besluitvorming
het filterartikel · art. 6(3)
Niet elk systeem in een Bijlage III-categorie is automatisch hoog-risico: het 'filterartikel' 6(3) zondert systemen uit die bijvoorbeeld alleen een nauwe procedurele taak of voorbereidend werk doen, zonder significante risico's voor gezondheid, veiligheid of grondrechten.
Kortom: staat je toepassing in de lijst, maar doet ze alleen voorbereidend of routinematig werk zonder wezenlijke invloed op een besluit? Dan is ze mogelijk gewoon een systeem met beperkt risico. De precieze afbakening bepaalt of het zware regime van toepassing is.
05 — modellen versus systemen
Naast AI-systemen kent de wet een aparte categorie: de onderliggende modellen voor algemeen gebruik (general-purpose AI, kortweg GPAI).
De regels voor general-purpose AI-modellen (zoals de modellen achter ChatGPT en Claude) gelden sinds 2 augustus 2025 — inclusief documentatieplicht, auteursrechtbeleid en een publieke samenvatting van trainingsdata.
AI-agents zijn geen apart wettelijk begrip: ze vallen onder 'AI-systeem' en/of 'GPAI-model'. De mate van autonomie en tool-gebruik weegt wel mee bij de beoordeling van systeemrisico.
De AI Act werkt 'onverminderd' de AVG: bij verwerking van persoonsgegevens blijft de AVG het volledige toetsingskader. De AI Act legt daar een productveiligheids-laag overheen — je regelt dus beide, maar mag werk hergebruiken (een DPIA kan de basis zijn voor een FRIA).
veelgestelde vragen
Ja. Wie AI onder eigen gezag inzet voor werk, is 'gebruiksverantwoordelijke' — ook bij kant-en-klare tools zoals ChatGPT of Copilot. Twee plichten gelden dan nu al: zorgen dat medewerkers voldoende AI-geletterd zijn, en geen verboden toepassingen gebruiken. Zwaardere eisen komen pas in beeld bij hoog-risicogebruik. Puur privégebruik valt buiten de wet.
AI die grote impact kan hebben op mensen: denk aan systemen voor werving, kredietbeoordeling, onderwijs of kritieke infrastructuur. De wet somt acht gebieden op in Bijlage III. Belangrijk: niet elk systeem in zo'n gebied is automatisch hoog risico. Het 'filterartikel' 6(3) zondert toepassingen uit die alleen een beperkte, voorbereidende of procedurele taak doen zonder echt risico voor gezondheid, veiligheid of grondrechten.
Sinds 2 februari 2025 zijn 'onaanvaardbare' toepassingen verboden. Onder meer: social scoring, emotieherkenning op het werk en op school, manipulatieve technieken die mensen schaden, en het ongericht verzamelen van gezichten voor herkenningsdatabanken. Dit verbod geldt voor iedereen, ongeacht wanneer een systeem op de markt kwam, en valt onder de zwaarste sanctiecategorie van de wet.
De AVG beschermt persoonsgegevens; de AI Act is productveiligheidsrecht voor AI-systemen. Ze gelden naast elkaar. Verwerk je persoonsgegevens met AI, dan blijft de AVG onverkort het toetsingskader en legt de AI Act daar een extra laag overheen. Je regelt dus beide — maar mag werk hergebruiken: een bestaande gegevensbeschermingsbeoordeling (DPIA) kan de basis vormen voor een AI-effectbeoordeling.
Je weet nu wat de wet inhoudt. In een QuickScan vertalen we dat in twee weken naar jouw situatie: welke rol je hebt, welke regels gelden en wat je concreet oppakt.