AI Act

De AI Act (AI-verordening) is een Europese wet die ten doel heeft innovatie te bevorderen en tegelijkertijd de risico’s die AI met zich meebrengt te beheersen. Hierbij wordt speciale aandacht gevestigd op fundamentele rechten en waarden van de burgers binnen de Europese Unie, waaronder privacy. Conform artikel 4 van de AI Act moeten organisaties zorgdragen voor een voldoende kennisniveau van medewerkers op het gebied van AI. Het kennisniveau moet passend zijn bij de werkzaamheden van medewerker. Dit betekent dat hoe groter de risico’s en het effect van de AI toepassing zijn, hoe hoger het niveau van de medewerkers dient te zijn op het gebied van vaardigheden, kennis en begrip.

AI toepassingen in kaart brengen

AI-geletterdheid is duidelijk geen one-size-fits-all model. Iedere organisatie moet inschatten welk niveau van AI-geletterdheid passend is. In praktijk begint het met het in kaart brengen van de AI toepassingen binnen de organisatie. Op welke wijze wordt AI ingezet en wil de organisatie in de nabije toekomst AI gaan inzetten? Vervolgens dient per toepassing bepaald te worden wat het risiconiveau is en welk effect de toepassing heeft op de betrokken personen.

4 risiconiveaus

De AI Act gaat uit van vier risiconiveaus. Veel organisaties maken gebruik van toepassingen met geen of een minimaal risico voor de veiligheid en fundamentele rechten van de betrokken personen. Denk hierbij aan spamfilters of games. Ook toepassingen met beperkt risico komen vaak voor. Een voorbeeld hiervan is een chatbot. De derde categorie zijn systemen met hoog risico. Dit zijn toepassingen die grotere gevolgen hebben voor de betrokken personen. Bijvoorbeeld een AI-systeem dat automatisch cv’s selecteert voor een volgende ronde in een wervingsprocedure. Ook software die bepaalt of iemand wel of geen lening krijgt valt binnen deze categorie. In dergelijke gevallen kunnen bias, uitsluiting of schending van privacyrechten reële risico’s vormen. Ten slotte zijn er systemen met onaanvaardbaar risico. Een voorbeeld hiervan is ‘social scoring’ op basis van bepaald sociaal gedrag op persoonlijke kenmerken. Dit laatste type AI is verboden.

AI-geletterdheid

In welke categorie het AI-systeem valt, bepaalt welke verplichten vanuit de AI Act van toepassing zijn. Als het gaat om AI-geletterdheid zijn bij hoog-risicotoepassingen meer vaardigheden, kennis en begrip nodig dan bij een lager risiconiveau. Naast risiconiveau zijn ook de context van de AI toepassing, rol van de specifieke medewerker en beschikbare middelen van de organisatie van belang. Grotere organisaties zullen waarschijnlijk meer middelen ter beschikking hebben dan kleinere organisaties.

De AI-geletterdheid betreft niet alleen de technische werking, maar gaat ook over de sociale, ethische en praktische aspecten. De medewerker die met het systeem werkt moet begrijpen hoe de output van de AI toepassing geïnterpreteerd moet worden en welke invloed dit heeft op de betrokken personen. Ten slotte is periodiek evalueren essentieel. Ontwikkelingen gaan snel, zeker op het gebied van AI. Dit maakt AI-geletterdheid geen eenmalige exercitie maar een doorlopend proces.

In praktijk

Begin met het bespreekbaar maken van het onderwerp AI binnen de organisatie. Organiseer een training of e-learning of bespreek het onderwerp tijdens een medewerkersbijeenkomst. Zorg voor bewustwording door berichten te posten op het interne nieuwskanaal en zet het onderwerp op de agenda van teamoverleggen. Betrek medewerkers uit verschillende teams en breng een gesprek op gang waarbij nagedacht wordt over de wijze waarop AI gebruikt wordt en wat de mogelijke gevolgen zijn voor de betrokkenen. Om ervoor te zorgen dat ook bij toepassingen in de toekomst tijdig nagedacht wordt over de risico’s kan een werkgroep opgezet worden van AI-ambassadeurs. Zij kunnen de knelpunten signaleren, vragen ophalen en de AI-geletterdheid binnen de eigen teams bevorderen.

Over de auteurs

  • Ronalda van Roekel

    Ronalda van Roekel is privacy consultant bij DMCC Nederland. In deze functie is zij verantwoordelijk voor het adviseren en begeleiden van opdrachtgevers bij vraagstukken op het gebied van privacy en gegevensbescherming. Daarnaast gaat zij op bezoek bij organisaties voor het afnemen van audits waarin ze onderzoekt of compliance aantoonbaar in de bedrijfsprocessen is belegd. Ronalda werkt vanuit het doel organisaties verder te helpen met realistische oplossingen. Haar jarenlange ervaring als compliance officer en projectmanager geeft haar een praktische kijk op de implementatie van wet- en regelgeving.

Gerelateerd nieuws

Waar eindigt de mens en begint de machine?

In deze zaak kreeg het Amtsgericht München de vraag voorgelegd hoe auteursrechtelijke bescherming moet worden toegepast op AI‑gegenereerde content. Waar mijn collega Luuk Jonker eerder schreef over AI‑gegenereerde songteksten, richt deze nieuwe zaak zich op iets visueels: drie door AI gemaakte logo’s.

Data & Privacy

AI onder de loep: de dunne lijn tussen innovatie en verboden praktijken

In april 2021 presenteerde de Europese Commissie het wetsvoorstel voor de AI-verordening. De noodzaak van deze regelgeving werd duidelijk door de snelle technologische ontwikkelingen en de risico’s die AI met zich meebrengt voor de veiligheid van producten en de grondrechten van EU-burgers. Toen het voorstel werd geïntroduceerd, kon niemand voorspellen hoe generatieve AI, zoals ChatGPT, in 2023 de wereld zou veranderen. Haast was dus geboden. Nu is haast in het juridische domein iets anders van aard dan in het IT-domein. Ruim drie jaar na indiening van het wetsvoorstel trad de AI-verordening in augustus 2024 in werking. De verboden uit de AI-verordening en de vereisten voor AI-geletterdheid zijn op dit moment al van toepassing, de vereisten voor hoog risico-systemen nog niet.

Online drogisterijen en webshops delen gevoelige gezondheidsdata met Big Tech

Dat blijkt uit onderzoek van Investico, in samenwerking met De Groene Amsterdammer en tv-programma Radar. Privacy First dringt aan op actie om deze praktijken te stoppen.

Nederland als privacygidsland: voorbij het DPIA-infuus

Tijdens de Nationale Privacy Conferentie op 28 januari 2026 opende Bart Schellekens met een prikkelende vraag: kan Nederland zich positioneren als privacygidsland? In zijn lezing – en in het gesprek dat PONT | Data & Privacy daarna met hem voerde – schetste hij een land dat op een kantelpunt staat. “Ik denk dat we het in Nederland heel goed doen. Een ruim voldoende is denk ik terecht”. Maar dat betekent niet dat er geen werk meer aan de winkel is.