AI veilig en verantwoord toepassen

De Europese AI Act is de eerste wet die het gebruik van kunstmatige intelligentie binnen de Europese Unie reguleert. De wet heeft als doel om AI veilig en verantwoord toe te passen, zonder innovatie onnodig af te remmen. Toch merken veel organisaties pas sinds kort dat de AI Act ook voor hen gevolgen heeft. Dat is opvallend, want een deel van de verplichtingen is al sinds 2025 van kracht. Volgens Walter, Security Consultant bij Nestor Security, is dit hét moment voor organisaties om werk te maken van AI-beleid en bewustwording. “Veel bedrijven denken dat ze weinig met AI doen, maar in de praktijk gebruiken medewerkers het vaak al dagelijks.” 

De AI Act kent grofweg twee belangrijke pijlers. Enerzijds moeten organisaties investeren in AI-geletterdheid: medewerkers moeten voldoende kennis hebben om AI verantwoord te gebruiken. Anderzijds worden AI-systemen ingedeeld in verschillende risicoklassen. Hoe groter de impact van een AI-systeem, hoe uitgebreider de eisen waaraan organisaties moeten voldoen. In dit artikel legt Walter uit welke regels nu al gelden, welke veranderingen eraan komen en welke stappen organisaties vandaag al kunnen zetten. 

AI-systemen worden ingedeeld op risico 

Een belangrijk uitgangspunt van de AI Act is dat niet iedere AI-toepassing hetzelfde risico met zich meebrengt. Daarom maakt de wet onderscheid tussen verschillende risicocategorieën. Sommige toepassingen zijn volledig verboden. Dat geldt bijvoorbeeld voor AI-systemen die mensen op een ongeoorloofde manier volgen of beoordelen. Dergelijke toepassingen vormen volgens de Europese wetgever een onaanvaardbaar risico voor de samenleving. 

Daarnaast zijn er hoogrisicosystemen. Hierbij gaat het bijvoorbeeld om AI die wordt ingezet voor besluitvorming over personen of systemen die gevoelige persoonsgegevens verwerken. Voor deze categorie gelden uitgebreide verplichtingen. Organisaties moeten kunnen uitleggen hoe een AI-systeem tot een beslissing komt, risico’s zorgvuldig in kaart brengen en passende beheersmaatregelen treffen. Ook blijft een mens altijd eindverantwoordelijk voor belangrijke beslissingen. “AI mag ondersteunen, maar uiteindelijk moet een medewerker de laatste afweging maken en kunnen onderbouwen waarom een bepaalde keuze is gemaakt”, legt Walter uit. 

Voor AI-toepassingen met een beperkt risico, zoals chatbots voor klantenservice, ligt de nadruk vooral op transparantie. Gebruikers moeten duidelijk weten dat zij met een AI-systeem communiceren.  

AI-geletterdheid begint bij bewustwording 

Een onderdeel van de AI Act dat volgens Walter vaak wordt onderschat, is AI-geletterdheid. Deze verplichting geldt al sinds februari 2025. Organisaties moeten ervoor zorgen dat medewerkers voldoende kennis hebben van de technische, maatschappelijke, sociale en ethische aspecten van AI. Volgens hem draait AI-geletterdheid niet alleen om weten hoe een chatbot werkt. Minstens zo belangrijk is dat medewerkers leren kritisch naar AI te kijken. “Je moet jezelf steeds afvragen: moet ik hier AI voor gebruiken, klopt de uitkomst en welke risico’s zijn eraan verbonden?” AI blijft immers een hulpmiddel en geen vervanging van menselijke verantwoordelijkheid. 

Toch ziet Walter dat veel organisaties hier nog weinig aandacht aan besteden. “Ik verwacht dat daar de komende tijd verandering in komt. Toezichthouders kunnen hier namelijk op controleren. AI-awareness en trainingen vormen daarom een logisch startpunt voor iedere organisatie.” 

Transparantie wordt steeds belangrijker 

De AI Act wordt stapsgewijs ingevoerd. Organisaties krijgen daardoor tijd om zich voor te bereiden op de verschillende verplichtingen. Vanaf augustus 2026 gaan de transparantieverplichtingen gelden. Dat betekent dat organisaties in bepaalde situaties duidelijk moeten maken dat AI wordt gebruikt. Dat geldt bijvoorbeeld voor chatbots waarmee klanten communiceren. 

Ook bij AI-gegenereerde content speelt transparantie een rol. Wanneer een gepubliceerde tekst grotendeels door AI is geschreven, moet dat worden vermeld. Is AI alleen gebruikt ter ondersteuning, bijvoorbeeld voor inspiratie, taalcontrole of advies, en heeft een medewerker de inhoud beoordeeld en daarvoor verantwoordelijkheid genomen, dan is een aparte AI-vermelding niet verplicht. Voor hoogrisicosystemen volgen de aanvullende verplichtingen op een later moment. Organisaties hebben daardoor meer tijd om processen, documentatie en risicobeheersing op orde te brengen. 

Inzicht is de eerste stap 

Volgens Walter begint verantwoord AI-gebruik niet bij ingewikkelde procedures, maar bij inzicht. Veel organisaties denken dat AI nauwelijks binnen hun bedrijf wordt gebruikt. In werkelijkheid blijkt vaak dat medewerkers al verschillende AI-tools inzetten om teksten te schrijven, code te genereren, documenten samen te vatten of analyses uit te voeren. “Je kunt pas beleid maken als je weet wat er binnen je organisatie gebeurt. Daarom adviseren wij altijd om eerst een inventarisatie te maken van alle AI-tools die worden gebruikt. Kijk welke licenties er zijn, welke afdelingen AI gebruiken en welke risico’s daarbij horen.” 

Vanuit die inventarisatie kan vervolgens AI-beleid worden opgesteld. Daarin leggen organisaties vast welke toepassingen zijn toegestaan, welke niet en onder welke voorwaarden medewerkers AI mogen gebruiken. 

Voorkom Shadow IT 

Volgens Walter schuilt het grootste risico niet in AI zelf, maar in ongecontroleerd gebruik ervan. Wanneer medewerkers zelf op zoek gaan naar AI-tools zonder dat de organisatie daarvan op de hoogte is, ontstaat zogenoemde Shadow IT. Daarom pleit hij ervoor om AI niet alleen te reguleren, maar ook te faciliteren. “Als je bepaalde AI-tools verbiedt, zorg dan ook voor een goed alternatief. Anders gaan medewerkers zelf op zoek naar andere oplossingen en verlies je juist de controle.” 

Een belangrijk aandachtspunt daarbij is het omgaan met gegevens. Medewerkers moeten weten dat vertrouwelijke bedrijfsinformatie en persoonsgegevens niet zomaar in publieke AI-tools mogen worden ingevoerd. Door duidelijke richtlijnen te combineren met training en toegankelijke bedrijfslicenties kunnen organisaties verantwoord AI-gebruik stimuleren zonder innovatie af te remmen. 

Verantwoord gebruik levert juist voordelen op 

De AI Act is volgens Walter geen wet die organisaties moet ontmoedigen om AI te gebruiken. Integendeel: verantwoord gebruik van AI kan medewerkers juist productiever maken en organisaties helpen efficiënter te werken. “Het gevaarlijkst is wanneer AI een blinde vlek is. Medewerkers gebruiken het dan wel, maar de organisatie heeft geen inzicht in wat er gebeurt. Door AI bespreekbaar te maken, medewerkers mee te nemen en duidelijke afspraken te maken, houd je de controle én profiteer je van de voordelen.” 

Juist daarom ziet Nestor Security de AI Act niet alleen als een compliance vraagstuk, maar ook als een kans om organisaties veiliger en bewuster met AI te laten werken. Met inzicht, passende beleidsmaatregelen en voldoende AI-geletterdheid kunnen organisaties voldoen aan de wet én tegelijkertijd optimaal gebruikmaken van de mogelijkheden die kunstmatige intelligentie biedt. 

Benieuwd naar wat de AI act voor u betekent? Neem contact op!