Welke wettelijke verplichtingen zijn van toepassing op gebruiksverantwoordelijke (‘deployer’) van hoog risico AI systemen?

Vanaf 2 augustus 2026 is Verordening (EU) 2024/1689 (“AI verordening”) volledig van toepassing in de gehele EU. De AI verordening is ’s werelds eerste bron van wettelijke verplichtingen ten aanzien van de ontwikkeling en het gebruik van AI systemen.

In dit artikel wordt toegelicht welke wettelijke verplichtingen zullen rusten op de gebruiksverantwoordelijke van een hoog risico AI systeem.

Waarschuwing: Veranderlijk wettelijk kader

De Europese AI-verordening is in beweging. Op 19 november 2025 stelde de Europese Commissie het 'digitale omnibus-pakket' voor om de digitale regels te vereenvoudigen. Dit leidde tot de aanname van Verordening (EU) 2026/1744 van 8 juli 2026 (de Digitale omnibus inzake AI). Hoewel deze wijzigingen al in werking zijn, is hiermee nog niet ieder wijzigingsvoorstel uit het digitale omnibus-pakket doorgevoerd. Verdere ingrijpende wijzigingen in de AI verordening zoals uitstel tijdens de gefaseerde inwerkingtreding zijn niet uitgesloten. De Europese Commissie wil het digitale toezicht minder concurrentieverstorend maken, wat gevolgen kan hebben voor het hele 'Digital Rulebook'.

Belangrijk bij het lezen:

Dit artikel is gebaseerd op wetgeving die inmiddels gewijzigd kan zijn. De definitieve impact van de vereenvoudigingsagenda (Commissie-von der Leyen II) is op dit moment nog onvoorspelbaar. Ook de Sociaal-Economische Raad (SER) uitte op 26 juni 2026 in een brief aan Kamercommissies en bewindspersonen al grote zorgen over de kwaliteit, snelheid en legitimiteit van het Europese wetgevingsproces sinds Commissie-von der Leyen I. Het is op het moment van schrijven nog niet voorspelbaar of de EU-lidstaten zullen ingrijpen in deze ontwikkeling.

1. Wettelijke definities

De AI verordening bevat ’s werelds eerste wettelijke definities voor ‘kunstmatige intelligentie’, op zichzelf een waaierbegrip voor meerdere technologieën. Europese wet- en regelgeving, zoals de AI verordening, kent eigen definities. Het autonome begrippenapparaat staat los van nationale wettelijke definities van EU lidstaten.

AI systeem

Een AI systeem is volgens de AI verordening:

“een op een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken en dat na het inzetten ervan aanpassingsvermogen kan vertonen, en dat, voor expliciete of impliciete doelstellingen, uit de ontvangen input afleidt hoe output te genereren zoals voorspellingen, inhoud, aanbevelingen of beslissingen die van invloed kunnen zijn op fysieke of virtuele omgevingen.”

Een AI systeem is niet hetzelfde als een AI model. Een AI model is volgens de AI verordening:

“een AI-model, ook wanneer het is getraind met een grote hoeveelheid data met behulp van self-supervision op grote schaal, dat een aanzienlijk algemeen karakter vertoont en in staat is op competente wijze een breed scala aan verschillende taken uit te voeren, ongeacht de wijze waarop het model in de handel wordt gebracht, en dat kan worden geïntegreerd in een verscheidenheid aan systemen verder in de AI-waardeketen of toepassingen verder in de AI-waardeketen, met uitzondering van AI-modellen die worden gebruikt voor onderzoek, ontwikkeling of prototypingactiviteiten alvorens zij in de handel worden gebracht.”

Een voorbeeld: de AI chat assistent ‘Claude’ als app op je smartphone is een AI systeem van de aanbieder van AI systemen, Anthropic PBC. Het groot taalmodel waar de chat assistent op draait, bijvoorbeeld Claude 5: Opus, is een AI model.

Gebruiksverantwoordelijke (‘deployer’)

Een gebruiksverantwoordelijke definieert de AI verordening als:

“een natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die/dat een AI-systeem onder eigen verantwoordelijkheid gebruikt, tenzij het AI-systeem wordt gebruikt in het kader van een persoonlijke niet-beroepsactiviteit.”

Een gebruiksverantwoordelijke van een AI systeem is dus niet hetzelfde als de aanbieder van een AI systeem. Gebruikt uw bedrijf of organisatie bijvoorbeeld het AI systeem, de chat-assistent ‘ChatGPT’, voor bepaalde werkprocessen, dan is OpenAI Ireland Ltd aanbieder van het AI systeem. Op uw bedrijf of organisatie kunnen, mede afhankelijk van de aard en ernst van het risico dat uw gebruik van het AI systeem meebrengt, voortaan nieuwe wettelijke verplichtingen rusten.

Hoog risico AI systeem

De classificatie van een AI systeem als ‘hoog risico AI systeem’ is ingevolge de AI verordening onder elkaar gezet op een lijst in Bijlage I en Bijlage III van de AI verordening, welke de Europese Commissie zal bijhouden met gedelegeerde handelingen. Hoog risico AI systemen betreft vooralsnog in ieder geval inzet in de context van doeleinden voor:

• biometrie,
• kritieke infrastructuur,
• onderwijs- en beroepsopleiding,
• werkgelegenheid,
• personeelsbeheer en toegang tot zelfstandige arbeid,
• toegang tot en gebruik van essentiële particuliere en publieke diensten en uitkeringen,
• rechtshandhaving,
• migratie-, asiel- en grenstoezichtsbeheer,
• Rechtsbedeling en democratische processen.

Een in bijlage III bedoeld AI-systeem wordt niet als AI-systeem met een hoog risico beschouwd wanneer het géén significant risico op schade voor de gezondheid, veiligheid of de grondrechten van natuurlijke personen inhoudt, onder meer doordat het de uitkomst van de besluitvorming niet wezenlijk beïnvloedt. Niettegenstaande die uitzondering wordt een in bijlage III bedoeld AI-systeem altijd als een AI-systeem met een hoog risico beschouwd indien het AI-systeem profilering van natuurlijke personen uitvoert. De nieuwe AI office zal tevens de bevoegdheid krijgen te adviseren omtrent de classificatie.

Kort gezegd, waarschijnlijk kan worden gesteld dat een bepaald AI systeem in de context van uw bedrijf of organisatie een ‘hoog risico systeem’ zal zijn als een significant risico op schade voor de gezondheid, veiligheid of de grondrechten van natuurlijke personen inhoudt, onder meer doordat het de uitkomst van de besluitvorming wezenlijk beïnvloedt.

Risico definieert de AI verordening als;

de combinatie van de kans op schade en de ernst van die schade.

2. Wettelijke verplichtingen voor gebruiksverantwoordelijken van hoog risico AI systemen

Volgens artikel 26 van de AI-verordening gelden voor de gebruiksverantwoordelijke van een hoog-risico AI-systeem de volgende verplichtingen:

• Conform gebruik:
  • Gebruik het systeem strikt volgens de handleiding via passende technische en organisatorische maatregelen.
• Menselijk toezicht:
  • Wijs dit toe aan competente, opgeleide en ondersteunde personen.
• Datakwaliteit:
  • Zorg dat inputdata onder uw controle relevant en representatief zijn.
• Monitoring & incidenten:
  • Monitor de werking. Stop het gebruik bij productveiligheidsrisico's en meld incidenten direct aan de keten en toezichthouder (financiële instellingen volgen eigen sectorrecht).
• Logbestanden:
  • Bewaar automatische logs minstens 6 maanden, conform de AVG (financiële instellingen volgen eigen sectorrecht).
• Werknemers:
  • Informeer werknemers(vertegenwoordiging) vooraf over het gebruik op de werkplek volgens geldende procedures.
• Overheidsinstanties:
  • Registreer het gebruik in de EU-databank; gebruik een niet-geregistreerd systeem niet en meld dit gebrek aan registratie.
• DPIA:
  • Voer een Data Protection Impact Assessment uit conform de AVG.
• Biometrie:
  • Verkrijg voor biometrische identificatie op afstand bij strafrechtelijk onderzoek vooraf (of binnen 48 uur) toestemming van de rechter/instantie.
• Informatieplicht natuurlijke personen:
  • Informeer natuurlijke personen dat zij onderworpen zijn aan AI-gestuurde (of -ondersteunde) besluitvorming.
• Samenwerkingsplicht:
  • Werk verplicht mee met de bevoegde autoriteiten bij de uitvoering van de verordening.

3. De gebruiksverantwoordelijke van AI systemen die géén hoog risico AI systeem zijn

Gezien de omstandigheid dat zowel de stand van de techniek waaruit AI systemen voortkomen zeer nieuw is en zeer snel verandert is nog niet voorspelbaar in hoeverre de wettelijke verplichtingen die op gebruiksverantwoordelijken van hoog risico AI systemen rusten ook naar analogie voor de gebruiksverantwoordelijken van AI systemen die géén hoog risico AI systeem zijn relevante maatschappelijke (gedrags)normen met rechtsgevolgen zullen worden.

Het staat wel vast dat ingevolge de AI verordening de vrijwillige naleving van de normen die voor hoog risico AI systemen verplicht zijn expliciet wordt aangemoedigd voor alle andere AI systemen. Bijvoorbeeld door rekening te houden met de ethische beginselen voor de ontwikkeling van vrijwillige beste praktijken en normen in, al dan niet branche-specifieke, gedragscodes. Die ethische beginselen zijn: invloed en toezicht door mensen, technische robuustheid en veiligheid, privacy en datagovernance, transparantie; diversiteit, non-discriminatie en rechtvaardigheid, sociaal en ecologisch welzijn, en verantwoordingsplicht

Eerder schreven wij over het opstellen van AI beleid:

Deel II ai-recht Hoe maak ik ai-beleid voor mijn eigen bedrijf of organisatie

Anders gezegd, ook indien de wettelijke verplichtingen uit artikel 26 AI verordening niet van toepassing zijn kan het afhankelijk van de omstandigheden verstandig zijn hier aansluiting bij te zoeken, bijvoorbeeld in het kader van de invulling van open normen.

4. Gevolgen niet-naleving van de AI verordening

Volgens de AI verordening is de sanctie op een overtreding van artikel 26 AI verordening ingevolge artikel 99 lid 4 onder e AI verordening administratieve geldboeten tot maximaal €15 000 000,- of, indien de overtreder een onderneming is, tot 3% van haar totale wereldwijde jaarlijkse omzet voor het voorafgaande boekjaar, indien dat hoger is. De EU lidstaten stellen de sancties vast binnen deze maximale grenzen, op grond van hun eigen nationale wetgeving rondom administratieve boetes.

Op nationaal niveau zal nog moeten blijken welke bevoegde toezichthouder eventueel sanctiebevoegdheid krijgt van de nationale wetgever. Op moment van schrijven ligt er een wetsvoorstel voor de 'Uitvoeringswet AI verordening (UAIV)’ voor dat mogelijk duidelijkheid zal scheppen. Het is ook mogelijk dat vooralsnog het ministerie van Economische Zaken (EZ) verantwoordelijk zal zijn voor het toezicht op de naleving van de nieuwe wettelijke verplichtingen in Nederland.

De AI office bij de Europese Commissie heeft enorm verstrekkende bevoegdheden vanaf 2 augustus 2026, met name ten aanzien van de aanbieders van AI systemen en ontwikkelaars van AI modellen. Doorgaans zal de AI office naast algemene informatievoorziening over de AI verordening waarschijnlijk vooral haar aandacht richten grote multinationale (AI) tech bedrijven die in de Europese interne markt hun dienstverlening willen aanbieden.

5. Vragen?

Maakt uw bedrijf of organisatie gebruik van AI systemen? Zoekt u juridisch advies over hoe u voor uw organisatie grip kunt krijgen op het gebruik van AI binnen de grenzen van het recht?

Neem vandaag nog contact op met onze IT-advocaten. Zij staan u graag te woord.

Advies

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!