Regels voor betrouwbare artificiële intelligentie in de EU

KERNPUNTEN

Wat is een AI-systeem?

Een AI-systeem is een op machines gebaseerd systeem dat is ontworpen om te werken met een bepaald autonomieniveau dat:

• zich kan aanpassen nadat het is ingezet; en
• output kan genereren, zoals voorspellingen, inhoud, aanbevelingen of beslissingen, uit input die het ontvangt (om expliciete of impliciete doelstellingen te bereiken).

Een risicogebaseerde aanpak

De wetgeving volgt een risicogebaseerde aanpak, wat betekent dat hoe groter het risico is om schade aan de samenleving te veroorzaken, hoe strenger de regels. In de verordening wordt het gebruik van AI gedefinieerd voor de volgende gebieden als hoog risico, vanwege de mogelijke gevolgen voor grondrechten, veiligheid en welzijn:

• veiligheidscomponenten in producten die vallen onder de harmonisatiewetgeving van de EU (of als zelfstandige producten) die krachtens dezelfde EU-harmonisatiewetgeving aan een conformiteitsbeoordeling door derden moeten worden onderworpen;
• biometrische gegevens, wanneer deze worden gebruikt voor externe identificatie, waarbij individuen worden gecategoriseerd aan de hand van gevoelige kenmerken (zoals ras of godsdienst) of het herkennen van emoties, behalve wanneer deze worden gebruikt om de identiteit te verifiëren;
• kritieke infrastructuur, wanneer de AI een veiligheidscomponent vormt op gebieden als digitale infrastructuur, verkeer, water, gas, verwarming en elektriciteit;
• onderwijs en beroepsopleiding, met inbegrip van de toegang tot onderwijszaken, de evaluatie van leerresultaten, de beoordeling van het opleidingsniveau of het toezicht op het gedrag tijdens tests;
• werkgelegenheid, met inbegrip van werving, het selecteren van kandidaten, het nemen van beslissingen over arbeidsvoorwaarden (promoties, ontslagen), toewijzing van taken of toezicht op de prestaties;
• essentiële diensten — AI-systemen die door overheidsinstanties worden gebruikt om na te gaan of zij in aanmerking komen voor openbare diensten (gezondheidszorg, uitkeringen), kredietscores, beoordeling van verzekeringsrisico's en het bepalen van prioriteiten voor de inzet van hulpdiensten;
• Rechtshandhaving — systemen voor de beoordeling van criminaliteitsrisico's, leugendetectors, het evalueren van de betrouwbaarheid van bewijzen, het voorspellen van recidivisme of het profileren van personen voor strafrechtelijke onderzoeken;
• migratie en grenscontrole — AI-systemen die worden gebruikt voor het beoordelen van risico's in verband met migratie-, asiel- en visumaanvragen, of voor het opsporen en identificeren van personen in migratiecontext;
• rechtsbedeling en democratische processen — AI-systemen die door justitiële autoriteiten worden gebruikt voor juridisch onderzoek en juridische interpretatie of voor systemen die de resultaten van verkiezingen kunnen beïnvloeden.

De verordening verbiedt de volgende AI-praktijken met een onaanvaardbaar risiconiveau:

• Subliminale of misleidende technieken om het gedrag van personen of groepen te manipuleren, wat hun vermogen om geïnformeerde beslissingen te nemen schaadt en mogelijk schade toe te brengen.
• Het uitbuiten van kwetsbaarheden op basis van leeftijd, handicap of sociaaleconomische situaties om personen of groepen te manipuleren, wat tot mogelijke schade kan leiden.
• Sociale beoordeling, evaluatie of indeling van mensen op basis van gedrag of kenmerken, wat leidt tot oneerlijke behandeling in de context waarin de gegevens werden verzameld of op een wijze die niet in verhouding staat tot de ernst van het gedrag.
• Strafrechtelijke risicobeoordeling, waarbij de waarschijnlijkheid wordt voorspeld dat een misdrijf wordt gepleegd uitsluitend op basis van profilerings- of persoonlijkheidseigenschappen, behalve in objectieve, op feiten gebaseerde strafrechtelijke onderzoeken.
• Scraping op basis van databanken voor gezichtsherkenning van internet of beveiligingscamera's zonder specifieke doelgerichtheid.
• Afleiden van emoties in kwetsbare gebieden, zoals werkplekken of onderwijsinstellingen, tenzij gebruikt voor medische of veiligheidsdoeleinden.
• Biometrische identificatie op basis van gegevens om gevoelige kenmerken zoals ras, godsdienst of politieke meningen af te leiden, met uitzondering van rechtmatig gebruik bij rechtshandhaving.
• Real time biometrische identificatie in het openbaar voor rechtshandhaving, tenzij dit strikt noodzakelijk is voor bepaalde situaties (bijv. het opsporen van vermiste personen, het voorkomen van dreigende gevaren of het identificeren van verdachten van ernstige strafbare feiten). Hiervoor moeten strikte juridische procedures worden gevolgd, waaronder voorafgaande toestemming, een beperkt toepassingsgebied en waarborgen om rechten en vrijheden te beschermen.

De verordening introduceert een openbaarmakingsplicht wanneer er een risico bestaat dat voortvloeit uit een gebrek aan transparantie rond het gebruik van AI:

• AI ontworpen om mensen (zoals een chatbot) te impliceren, moet de mens informeren over de interactie ervan;
• de output van generatieve AI moet worden gemarkeerd als AI-gegenereerd op een machineleesbare wijze;
• in bepaalde gevallen moet de output van generatieve AI duidelijk worden aangegeven, zoals bij deepfakes en tekst die wordt gebruikt om het publiek te informeren over aangelegenheden van algemeen belang.

Alle andere AI-systemen worden geacht een beperkt risico te hebben en daarom worden bij de verordening geen verdere regels ingevoerd.

Betrouwbaar gebruik van grote AI-modellen

• AI-modellen voor algemene doeleinden zijn AI-modellen die zijn getraind met grote hoeveelheden gegevens en een breed scala aan taken kunnen uitvoeren. Dit kunnen componenten van AI-systemen zijn.
• De verordening introduceert transparantieverplichtingen voor aanbieders van dergelijke AI-modellen voor algemene doeleinden, namelijk technische documentatie, het verstrekken van informatie aan downstreamontwikkelaars van AI-systemen en het openbaar maken van gegevens die worden gebruikt voor het trainen van het model.
• De meest krachtige AI-modellen voor algemene doeleinden kunnen systeemrisico's met zich meebrengen. Als een model aan een bepaalde vermogensdrempel voldoet, moet de aanbieder van dat model voldoen aan aanvullende verplichtingen inzake risicobeheer en cyberbeveiliging.

Governance

• Bij de verordening worden verschillende bestuursorganen opgericht die vanaf 2 augustus 2025 actief zijn:
  • nationale bevoegde autoriteiten die toezicht houden op de regels voor AI-systemen en handhaven;
  • een AI-bureau binnen de Europese Commissie dat de coherente toepassing van de gemeenschappelijke regels in de hele EU coördineert en als toezichthouder optreedt voor AI-modellen voor algemene doeleinden.
• De EU-lidstaten en het AI-bureau werken nauw samen aan een AI-raad, bestaande uit vertegenwoordigers van de lidstaten, om te zorgen voor een consistente en doeltreffende toepassing van de verordening.
• Bij de verordening worden twee adviesorganen opgericht voor het AI-bureau en de AI-raad:
  • een wetenschappelijk panel van onafhankelijke deskundigen voor het verstrekken van wetenschappelijk advies;
  • een adviesforum voor belanghebbenden om technische deskundigheid te verschaffen aan de AI-raad en de Commissie.

Sancties

De geldboetes voor inbreuken worden vastgesteld als percentage van de jaaromzet van de overtredende onderneming, of van een vooraf bepaald bedrag, afhankelijk van wat hoger is. Kleine en middelgrote ondernemingen en start-ups worden aan evenredige administratieve boetes onderworpen.

Transparantie en bescherming van grondrechten

Er is sprake van verhoogde transparantie voor de ontwikkeling en het gebruik van AI-systemen met een hoog risico:

• voordat een AI-systeem met een hoog risico wordt ingezet door entiteiten die openbare diensten aanbieden, moet de impact op grondrechten worden beoordeeld;
• AI-systemen met een hoog risico en entiteiten die daar gebruik van maken, moeten worden geregistreerd in een EU-database.

Innovatie

De verordening voorziet in een innovatievriendelijk juridisch kader en heeft tot doel het op bewijzen gebaseerd leren van regelgeving te bevorderen. Deze verordening voorziet in AI-testomgevingen voor regelgeving om een gecontroleerde omgeving mogelijk te maken waarin innovatieve AI-systemen kunnen worden ontwikkeld, getest en gevalideerd, inclusief onder reële omstandigheden. De verordening maakt ook het mogelijk om onder bepaalde omstandigheden vast te stellen of AI-systemen met een hoog risico aan een bijzonder risico onderhevig zijn.

Evaluatie en toetsing

De Commissie beoordeelt elk jaar de noodzaak van wijzigingen in de lijst van gebruik van AI met een hoog risico en de lijst van verboden praktijken. Uiterlijk op 2 augustus 2028 en daarna om de vier jaar evalueert en brengt de Commissie verslag uit over het volgende:

• het toevoegen of uitbreiden van de lijst van hoogrisicocategorieën;
• wijzigingen in de lijst van AI-systemen waarvoor aanvullende transparantiemaatregelen nodig zijn;
• wijzigingen ter verbetering van het toezicht en de governance.