Vanaf 2 augustus is de AI Act geen papier meer
Vanaf 2 augustus 2025 verandert de AI Act van theorie naar praktijk.
Voor partijen als ChatGPT, Google en Meta geldt dan de eerste echte plicht voor aanbieders van generieke AI-modellen. De wet loopt daarna gefaseerd door met extra eisen voor transparantie, auteursrecht en veiligheid.
De Europese Commissie heeft ook een European AI Office ingericht. Die helpt bij de uitvoering en handhaving rond GPAI-modellen.
De regels gelden direct in Nederland
Voor organisaties in Nederland is de kern simpel: de AI Act is een Europese verordening.
Die geldt dus rechtstreeks. Daar komt geen aparte Nederlandse vertaling tussendoor.
Lidstaten moeten wel eigen toezichthouders aanwijzen. In Nederland wijzen de AP en andere toezichthouders al langer op de noodzaak van een duidelijke toezichtstructuur.
De wet komt stap voor stap
De AI Act werkt in fases.
Eerst komen de verboden praktijken, daarna de regels voor generieke AI-modellen en daarna de zwaardere eisen voor hoogrisicosystemen. Zo pakt de wet eerst de schadelijkste toepassingen aan.
Voor generieke AI-modellen geldt 2 augustus 2025 als belangrijke datum. Dan moeten aanbieders voldoen aan transparantie- en auteursrechtregels en een voldoende gedetailleerde samenvatting van trainingscontent publiceren.
Voor modellen die al vóór die datum op de markt waren, geldt een overgangstermijn tot 2 augustus 2027.
Wat dit betekent voor ChatGPT, Gemini en Llama
De impact zit niet alleen in het model zelf, maar in de hele keten eromheen.
Aanbieders van GPAI-modellen moeten documenteren hoe het model werkt, een auteursrechtbeleid hebben en publiek laten zien welke data voor training is gebruikt. Dat vergroot de transparantie voor gebruikers, ontwikkelaars en rechthebbenden.
Bij systemen met systemisch risico komt daar meer bij. Denk aan standaardevaluaties, adversarial testing, het beperken van systemische risico’s, melding van ernstige incidenten en passende cybersecurity.
De AI Office speelt daarin een centrale rol.
Verboden praktijken krijgen meteen een streep
De AI Act trekt een harde grens bij toepassingen die fundamentele rechten direct raken.
Denk aan manipulatieve of uitbuitende AI, social scoring door overheden, bepaalde vormen van biometrische categorisatie, emotieherkenning op het werk en in het onderwijs, en ongerichte scraping van gezichten om databanken te bouwen.
Ook realtimed biometrische identificatie op afstand in publiek toegankelijke ruimtes door de politie is in principe verboden. Alleen in beperkte uitzonderingen mag dat.
De grootste verandering zit in governance
Voor veel organisaties draait de echte verandering niet om techniek, maar om sturing.
Wie is eigenaar? Wie beoordeelt risico’s? Wie controleert output? Wie bewaakt logging? Wie grijpt in bij incidenten?
De AI Act maakt die vragen explicieter en afdwingbaar. En als je AI inzet in klantprocessen, HR, selectie, zorg, onderwijs of besluitvorming, dan volstaat “we gebruiken gewoon een tool” niet meer.
Boetes zijn hoog, maar de echte schade zit breder
De sancties zijn fors.
Niet-naleving van verboden AI-praktijken kan leiden tot boetes tot €35 miljoen of 7% van de wereldwijde jaaromzet. Voor andere overtredingen kan dat oplopen tot €15 miljoen of 3%. Onjuiste informatie aan toezichthouders kan €7,5 miljoen of 1,5% kosten.
Maar de praktische schade zit vaak in iets anders: vertraging, productaanpassingen, contractheronderhandelingen, extra audits, reputatieschade en functies die je stil moet zetten.
Wat je nu moet doen
Pak dit nu aan in drie stappen:
- Breng alle AI-toepassingen in kaart.
- Leg verantwoordelijkheden en contracten scherp vast.
- Zet toezicht en menselijke controle in, zeker bij gevoelige processen.
De AVG blijft gewoon gelden. De AI Act komt daar bovenop.
Wie nu overzicht maakt van modellen, datastromen en verantwoordelijken, voorkomt later dure aanpassingen. Misschien is dit dus wel het juiste moment om je AI-beleid eens goed naast je praktijk te leggen.
