Een chatbot die zich voordoet als een medewerker van de klantenservice, een video of afbeelding die volledig door AI is gemaakt: we raken steeds meer gewend aan wat AI kan. Tegelijkertijd wordt het steeds lastiger om te herkennen wanneer we met AI te maken hebben.
Precies daarom zijn sinds 2 augustus 2026 nieuwe onderdelen van de Europese AI Act van kracht. Organisaties moeten in een aantal gevallen duidelijk maken dat ze AI gebruiken. De gedachte daarachter: mensen moeten kunnen herkennen wanneer ze met een AI-systeem communiceren of wanneer content door AI is gemaakt of aangepast.
Wat verandert er?
Voor veel organisaties zijn de nieuwe transparantieregels de meest zichtbare verandering. Gebruik je AI in de communicatie met klanten, medewerkers of andere gebruikers? Dan krijg je vanaf nu te maken met een aantal concrete verplichtingen. Op een rij:
- Chatbots en andere interactieve AI-systemen moeten duidelijk aangeven dat gebruikers met AI communiceren.
- Door AI-gegenereerde of door AI aangepaste afbeeldingen, video's en audiobestanden moeten herkenbaar zijn als AI-content.
- AI-content moet worden voorzien van een machineleesbare markering (watermerk of metadata), zodat deze ook automatisch kan worden herkend.
- Organisaties die emotieherkenning of biometrische categorisering toepassen, moeten gebruikers hierover bij het eerste contact informeren.
Volgens de Europese Commissie moeten deze maatregelen misleiding en manipulatie tegengaan en ervoor zorgen dat mensen beter geïnformeerde keuzes kunnen maken.
AI is inmiddels overal
Bij de AI Act denken veel bedrijven nog altijd aan organisaties die zelf grote AI-modellen ontwikkelen, zoals OpenAI, Google of Microsoft. Maar de wet is minstens zo relevant voor organisaties die AI gewoon gebruiken. En dat zijn er inmiddels heel wat.
AI zit tegenwoordig in Microsoft 365, CRM-systemen, marketingsoftware, klantenserviceplatforms en steeds vaker ook in cybersecurityoplossingen. Medewerkers gebruiken ChatGPT of Copilot om teksten te schrijven, vergaderingen samen te vatten, analyses uit te voeren of code te genereren. Vaak zonder dat er ooit een officieel AI-project is gestart.
Juist daarom is dit voor veel organisaties een goed moment om een stap terug te doen en te kijken waar AI inmiddels onderdeel is geworden van de dagelijkse werkzaamheden. Niet alleen de bewust geïmplementeerde AI-tools, maar ook de AI-functionaliteit die stilletjes is toegevoegd aan bestaande software.
Volgens de Europese Commissie moeten deze maatregelen misleiding, manipulatie en desinformatie tegengaan en gebruikers in staat stellen beter geïnformeerde keuzes te maken.
Transparantie is nog maar het begin
De nieuwe regels gaan vooral over transparantie, maar voor organisaties is dat eigenlijk pas de eerste stap. Wie weet waar AI wordt gebruikt, kan ook beter beoordelen welke gegevens erin worden verwerkt, welke afspraken leveranciers daarover maken en welke risico's daarbij horen.
Een chatbot die niet vermeldt dat hij AI gebruikt, is in de eerste plaats een transparantievraagstuk. Een medewerker die vertrouwelijke bedrijfsinformatie of persoonsgegevens invoert in een publieke AI-tool, is een heel ander verhaal. Dan spelen ook privacy, informatiebeveiliging en compliance een rol.
De AI Act dwingt organisaties daardoor niet alleen om transparanter te zijn richting gebruikers, maar ook om kritischer te kijken naar hun eigen AI-gebruik.
Ook AI-aanbieders krijgen strengere verplichtingen
Niet alleen organisaties die AI gebruiken krijgen met de nieuwe regels te maken. Ook aanbieders van zogeheten General Purpose AI (GPAI)-modellen, de grote taalmodellen waarop veel AI-toepassingen zijn gebaseerd, vallen vanaf 2 augustus onder actief toezicht.
Aanbieders van deze modellen moeten onder andere:
- technische documentatie beschikbaar stellen;
- een auteursrechtenbeleid voeren;
- openbaar maken welke soorten trainingsdata zijn gebruikt;
- aanvullende veiligheidsmaatregelen nemen wanneer hun modellen een systeemrisico kunnen vormen.
Voor de meest geavanceerde AI-modellen gelden extra verplichtingen om risico's op grootschalige schade te beperken, bijvoorbeeld op het gebied van cybersecurity, manipulatie, fundamentele rechten en verlies van menselijke controle.
Verboden AI-toepassingen
Ook de handhaving van verboden AI-praktijken is gestart. De AI Act verbiedt onder andere systemen die:
- mensen op een misleidende of manipulerende manier beïnvloeden;
- kwetsbare personen uitbuiten;
- burgers op oneerlijke wijze beoordelen of rangschikken op een manier die hun rechten schaadt.
Afhankelijk van het type AI-systeem wordt het toezicht uitgevoerd door de Europese AI Office, nationale toezichthouders of, voor Europese instellingen, de European Data Protection Supervisor (EDPS).
Waarom dit ook een cybersecurityonderwerp is
De AI Act draait om transparantie en verantwoord gebruik van AI, maar de impact reikt verder dan alleen wet- en regelgeving. Dezelfde technologie die organisaties helpt om efficiënter te werken, wordt namelijk ook steeds vaker ingezet door cybercriminelen.
Generatieve AI maakt het eenvoudiger om overtuigende phishingmails te schrijven, stemmen na te bootsen of realistische afbeeldingen en video's te maken. Daardoor worden vormen van fraude, zoals CEO-fraude of social engineering, steeds geloofwaardiger.
Een label op AI-content zal cybercriminelen daar niet van weerhouden. Toch onderstrepen de nieuwe regels een belangrijke ontwikkeling: we kunnen er steeds minder vanzelfsprekend van uitgaan dat alles wat we zien, horen of lezen authentiek is. Dat vraagt niet alleen om transparantie, maar ook om bewustwording en goede beveiligingsmaatregelen.
Wat kun je als organisatie nu doen?
Voor organisaties is dit een goed moment om het eigen AI-gebruik in kaart te brengen. Welke AI-tools worden gebruikt? Waar komen klanten of medewerkers rechtstreeks met AI in aanraking? Is dat voldoende duidelijk? En welke gegevens worden eigenlijk verwerkt in die systemen?
Daar hoeft niet direct een omvangrijk complianceprogramma voor te worden opgezet. Een inventarisatie levert vaak al veel waardevolle inzichten op. Vervolgens kun je bepalen waar aanvullende maatregelen nodig zijn, bijvoorbeeld op het gebied van transparantie, beleid, databeveiliging of bewustwording onder medewerkers.
De AI Act wordt de komende jaren stapsgewijs verder ingevoerd. Zo gaan de regels voor hoog-risico AI-systemen gelden vanaf 2 december 2027 en volgen de regels voor AI-systemen die onderdeel zijn van gereguleerde producten op 2 augustus 2028.
Eén ding is in ieder geval duidelijk: AI is niet langer iets van de toekomst. Voor de meeste organisaties is het al onderdeel van de dagelijkse praktijk. Juist daarom is het belangrijk om niet alleen te weten dat AI wordt gebruikt, maar vooral waar, hoe en met welke risico's.