Vanaf 2 augustus treedt een groot deel van de Europese AI Act in werking. Voor IT-bedrijven, telecomaanbieders, MSP’s, softwareontwikkelaars en distributeurs een moment om zeker bij stil te staan. De verordening trad op 1 augustus 2024 in werking en wordt stapsgewijs van toepassing. Verboden AI-toepassingen en de oorspronkelijke regels over AI-geletterdheid golden vanaf 2 februari 2025. Regels voor aanbieders van AI-modellen voor algemene doeleinden, zoals grote taalmodellen, volgden op 2 augustus 2025. Vanaf 2 augustus 2026 wordt een groot deel van de overige bepalingen operationeel.
Dan gelden onder meer de transparantieregels voor chatbots, deepfakes en andere AI-gegenereerde of gemanipuleerde content. Ook worden de verplichtingen rond markttoezicht, registratie, rapportage van ernstige incidenten en handhaving volledig toepasbaar. Daarnaast gaan de regels gelden voor een belangrijk deel van de AI-systemen met een hoog risico, waaronder eisen aan risicobeheer, datakwaliteit, technische documentatie, logging, menselijk toezicht, nauwkeurigheid en cybersecurity. Voor sommige hoogrisicosystemen die onderdeel zijn van gereguleerde producten geldt een langere overgangstermijn.
AI in het hart van IT-systemen
Artificial intelligence is inmiddels diep doorgedrongen in het portfolio en de bedrijfsvoering van de IT- en telecomsector. AI schrijft programmacode, analyseert netwerkverkeer, ondersteunt servicedesks, detecteert cyberdreigingen en maakt samenvattingen van vergaderingen. Ook wordt AI steeds vaker verwerkt in communicatieplatformen, beheertools, securityoplossingen en clouddiensten.
Daarmee groeit niet alleen de commerciële waarde van AI, maar ook de verantwoordelijkheid van leveranciers en gebruikers. De Europese AI Act moet ervoor zorgen dat AI-systemen die in de Europese Unie worden aangeboden of gebruikt veilig, transparant en in overeenstemming met fundamentele rechten functioneren.
Risico bepaalt de regels
De AI Act hanteert een risicogerichte benadering. Niet de gebruikte techniek, maar vooral het doel en de context van een AI-systeem bepalen welke verplichtingen gelden. De wet maakt onderscheid tussen verboden toepassingen, AI-systemen met een hoog risico en toepassingen waarvoor voornamelijk transparantieverplichtingen gelden.
Verboden zijn onder meer bepaalde vormen van manipulatie, misbruik van kwetsbare personen en sociale scoring. Voor AI-systemen met een hoog risico gelden veel uitgebreidere eisen. Daarbij gaat het bijvoorbeeld om toepassingen binnen biometrie, kritieke infrastructuur, onderwijs, personeelsselectie, migratie en toegang tot essentiële diensten.
Leveranciers van dergelijke systemen moeten onder meer zorgen voor risicobeheer, betrouwbare datasets, technische documentatie, logging, menselijk toezicht, nauwkeurigheid en cybersecurity. Organisaties die een systeem gebruiken, hebben eveneens verantwoordelijkheden. Zij moeten het systeem toepassen volgens de instructies, toezicht organiseren en ingrijpen wanneer de werking risico’s oplevert.
Deloitte typeerde de AI Act al vroeg als productveiligheidswetgeving waarbij markttoegang en gebruik afhankelijk zijn van het risicoprofiel van de toepassing. Het rapport benadrukt daarnaast dat AI-regelgeving niet los kan worden gezien van andere Europese regels rond data, cybersecurity, platformen en digitale diensten.
Voor de TBM-doelgroep betekent dit dat één AI-oplossing verschillende juridische gevolgen kan hebben. Een generatieve AI-functie waarmee een marketingtekst wordt opgesteld, valt doorgaans in een andere categorie dan software die sollicitanten rangschikt of personeel automatisch beoordeelt. De onderliggende technologie kan vergelijkbaar zijn, terwijl de verplichtingen sterk verschillen.
AI-geletterdheid was harde verplichting
Artikel 4 van de oorspronkelijke AI Act verplichtte aanbieders en gebruiksorganisaties om maatregelen te nemen waarmee een voldoende niveau van AI-geletterdheid werd gewaarborgd. Daarbij moest rekening worden gehouden met de technische kennis, ervaring, opleiding en functie van medewerkers, de gebruikscontext en de personen op wie het systeem invloed heeft.
AI-geletterdheid omvat volgens de verordening de kennis en vaardigheden die nodig zijn om AI-systemen geïnformeerd in te zetten en kansen, risico’s en mogelijke schade te herkennen. Dat gaat verder dan weten hoe een prompt moet worden geschreven. Medewerkers moeten bijvoorbeeld begrijpen dat een taalmodel overtuigende maar onjuiste informatie kan produceren, dat ingevoerde gegevens vertrouwelijk kunnen zijn en dat een AI-uitkomst niet automatisch objectief is.
De Europese Commissie gaf daarbij nadrukkelijk aan dat geen standaardcursus, certificaat of afzonderlijke AI-functionaris verplicht was. De aanpak moest passen bij de organisatie en het risico van de gebruikte systemen. Een ontwikkelaar van medische AI heeft nu eenmaal andere kennis nodig dan een verkoopmedewerker die een generatieve AI-assistent gebruikt.
Voor documentatie zou een intern overzicht van trainingen, richtlijnen en andere bewustwordingsmaatregelen in beginsel voldoende kunnen zijn. Ook medewerkers die ChatGPT of een vergelijkbare toepassing alleen gebruiken voor teksten of vertalingen vielen onder de oorspronkelijke bepaling. Zij moesten ten minste op de hoogte zijn van risico’s zoals hallucinaties.
Brussel zet streep door directe verplichting
De situatie is inmiddels veranderd. De Europese Commissie stelde eind 2025 in het kader van de Digital Omnibus voor om de directe verplichting voor bedrijven te schrappen. De bepaling zou volgens de Commissie te veel onzekerheid en administratieve lasten veroorzaken, vooral bij kleinere organisaties.
Het Europees Parlement en de Raad bereikten op 7 mei 2026 een akkoord over de vereenvoudiging van de AI Act. Het Parlement stemde vervolgens in en de Raad gaf op 29 juni definitief groen licht. In de aangepaste regelgeving verschuift de formele verantwoordelijkheid voor het stimuleren van AI-geletterdheid grotendeels naar de Europese Commissie en de lidstaten. De directe eis dat iedere aanbieder en gebruiker een voldoende niveau bij medewerkers moet waarborgen, verdwijnt daarmee.
Op het moment van schrijven moet de wijzigingsverordening nog formeel in het Publicatieblad van de Europese Unie verschijnen en in werking treden. De aankondiging dat vanaf augustus zonder meer wordt gehandhaafd op artikel 4 is daardoor achterhaald. De precieze juridische situatie rond de datum van publicatie verdient wel aandacht, zeker voor organisaties die hun compliancebeleid op de oorspronkelijke tekst hebben gebaseerd.
Dat betekent niet dat alle opleidingsverplichtingen verdwijnen. Voor personeel dat werkt met AI-systemen met een hoog risico blijven specifieke eisen gelden, onder meer rond bediening en menselijk toezicht. Bovendien kunnen andere wetten en contractuele afspraken alsnog om aantoonbare deskundigheid vragen. Denk aan de AVG, cybersecuritywetgeving, arbeidsrecht, sectorale productregels en zorgplichten van professionele IT-dienstverleners.
Wat betekent AI Act voor IT- en telecombedrijven?
De AI Act raakt de TBM-doelgroep in meerdere rollen. Een softwarebedrijf dat zelf een AI-oplossing ontwikkelt, kan aanbieder zijn. Een MSP die een AI-tool bij klanten implementeert, kan distributeur, dienstverlener of in bepaalde omstandigheden aanbieder worden. Een organisatie die een bestaande copiloot gebruikt voor interne werkzaamheden is doorgaans gebruiksorganisatie. Eén bedrijf kan bovendien meerdere rollen tegelijk vervullen.
Daarom begint voorbereiding niet bij een cursus, maar bij inventarisatie. Welke AI-systemen worden ontwikkeld, verkocht, geïntegreerd en intern gebruikt? Wat is het beoogde doel? Welke gegevens worden verwerkt? Kunnen uitkomsten invloed hebben op medewerkers, sollicitanten, klanten of burgers? En welke partij bepaalt feitelijk hoe het systeem wordt ingezet?
Ook contracten verdienen aandacht. Leveranciers en channelpartners zullen duidelijke afspraken moeten maken over verantwoordelijkheden, technische documentatie, logging, incidenten, updates en ondersteuning bij toezicht. De mededeling dat een functie ‘AI bevat’ is daarvoor niet voldoende. Partners moeten weten waarop een classificatie is gebaseerd en welke instructies aan eindklanten moeten worden verstrekt.
Voor generatieve AI spelen daarnaast transparantie, auteursrecht, databescherming en informatiebeveiliging een rol. Medewerkers die zonder duidelijke kaders klantgegevens, configuraties, broncode of commerciële informatie invoeren in publieke AI-diensten kunnen een groter risico vormen dan het AI-model zelf. Een praktisch AI-beleid blijft daarom noodzakelijk, ook wanneer de algemene opleidingsplicht wordt versoepeld.
Geen wettelijke basis, wel zakelijke noodzaak
Het schrappen van de directe verplichting rond AI-geletterdheid kan worden gezien als verlichting voor het bedrijfsleven. Toch zou het onverstandig zijn om lopende opleidingsprogramma’s stop te zetten. Kennis van AI is niet alleen een juridisch onderwerp, maar ook een voorwaarde voor betrouwbare dienstverlening.
IT-bedrijven verkopen immers geen abstracte algoritmen. Zij leveren oplossingen die bedrijfsprocessen, communicatie, security en besluitvorming beïnvloeden. Een engineer moet weten wanneer AI-gegenereerde code onveilig kan zijn. Een accountmanager moet geen functionaliteit beloven die een systeem niet betrouwbaar kan leveren. Een servicedeskmedewerker moet een automatisch gegenereerd advies kritisch kunnen beoordelen. En het management moet begrijpen welke risico’s ontstaan wanneer AI zonder centraal overzicht wordt ingekocht of gebruikt.
De meest verstandige aanpak blijft daarom risicogericht. Basiskennis is relevant voor iedereen die met AI werkt. Verdieping is nodig voor ontwikkelaars, beheerders, securityspecialisten, productmanagers en medewerkers die toezicht houden op geautomatiseerde beslissingen. Training moet bovendien aansluiten op de daadwerkelijk gebruikte systemen en regelmatig worden bijgewerkt.
Augustus als realitycheck
2 augustus 2026 blijft een belangrijke datum, maar niet uitsluitend vanwege AI-geletterdheid. De AI Act gaat een nieuwe uitvoeringsfase in, nationale toezichthouders krijgen een grotere rol en organisaties zullen vaker moeten aantonen hoe zij AI classificeren en beheersen. In Nederland worden de Rijksinspectie Digitale Infrastructuur en de Autoriteit Persoonsgegevens coördinerende toezichthouders. De RDI wordt daarnaast het centrale aanspreekpunt en houdt onder meer toezicht op AI in telecomnetwerken, internetinfrastructuur en draadloze apparatuur.
De directe handhavingsdreiging rond artikel 4 mag dan zijn afgezwakt, de onderliggende boodschap is onveranderd: AI gebruiken zonder de werking en beperkingen te begrijpen is geen volwassen bedrijfsstrategie. Voor de IT- en telecomsector ligt hier bovendien een commerciële kans. Organisaties hebben niet alleen technologie nodig, maar ook begeleiding bij classificatie, implementatie, governance, security en verantwoord gebruik.
De AI Act wordt daarmee geen rem op AI, maar een nieuwe kwaliteitstoets voor de markt. Bedrijven die hun portfolio, processen en kennisniveau nu op orde brengen, zijn na augustus niet alleen beter voorbereid op toezicht. Zij kunnen klanten ook overtuigender helpen om AI veilig en betrouwbaar toe te passen.
