Ben je helemaal voor niets CAICO® geworden? Gaat de Europese Unie de AI Act afzwakken? In de afgelopen weken heeft de Europese Commissie een reeks wetsvoorstellen ingediend die meerdere richtlijnen en verordeningen moeten aanpassen om zo de concurrentiekracht van Europa te vergroten en in te spelen op geopolitieke spanningen. Tegelijkertijd is het natuurlijk de vraag: Wat gaat dit voor ons betekenen? Immers, de vereisten voor hoogrisico-AI gaan in augustus 2026 gelden. Wat betekent dit voor jou als juridisch AI-professional? En wat betekent het voor jouw organisatie? In dit blog doorlopen we de wijzigingen en wat deze voor jou betekenen.
In hoofdlijnen
De Commissie werkt al langere tijd aan een groter project om AI-innovatie te stimuleren in de Europese Unie. Zo heeft de Commissie in april het bredere ‘Actieplan voor het AI-continent’ gepubliceerd, waarin een bredere strategie is vastgesteld om, volgens hun eigen woorden, “[...] een wereldleider te worden op het gebied van artificiële intelligentie”. Dit wil men bewerkstelligen door duurzame investeringen in infrastructuur te doen, een gemeenschappelijke markt voor AI op te bouwen met een uniforme set regels waaraan AI-applicaties moeten voldoen, en de naleving van de regelgeving te bevorderen door vereenvoudiging. Zo wil de Commissie toepassing van de AI Act vergemakkelijken door kleine ondernemers te ontzien, en tevens maatregelen te nemen om ervoor te zorgen dat er voldoende helderheid is voordat onderdelen van de AI Act in werking treden. Met name deze laatste twee onderdelen worden geadresseerd in de nieuwe Omnibus-wet.
De Omnibus-wet zelf bouwt voort op deze bredere doelen: het introduceert een aantal wijzigingen aan de AI Act die effect hebben op het tijdpad zodra bepaalde regels effect gaan hebben, en op welke organisaties sommige regels van toepassing zijn. Daarnaast heeft de wet ook invloed op een aantal randvoorwaarden. Om de impact in kaart te brengen, doorlopen we hier alle noemenswaardige wijzigingen. Let hierbij wel op: dit is nog slechts een wetsvoorstel. Of deze wijzigingen worden aangenomen, en ook in precies deze vorm, is nog allerminst zeker.
Het tijdpad voor hoogrisico-AI
Te beginnen met het meest controversiële onderdeel van de Omnibus-wet: er worden aanpassingen gemaakt aan de regels rondom de inwerkingtreding van hoogrisico-AI. De Omnibus-wet maakt aanpassingen aan artikel 113 van de AI Act, wat ertoe resulteert dat de regels voor hoogrisico-AI pas in werking treden nadat de Europese Commissie daarover een besluit heeft genomen. Hiermee krijgt de Commissie de taak om vast te stellen wanneer er voldoende middelen beschikbaar zijn om invulling te geven aan de compliance-vereisten voor hoogrisico-AI. Op het moment dat de Commissie de markt daarvoor ‘klaar’ beschouwd, neemt zij daartoe een formele beslissing waarna een vast tijdpad gaat lopen voor de inwerkingtreding van de regels. Zo gaan de hoogrisico-regels gelden:
– 6 maanden na de beslissing: hoogrisico-AI uit bijlage III; en
– 12 maanden na de beslissing: hoogrisico AI uit bijlage I.
Indien de Commissie nalaat een formele beslissing te nemen, treden de regels later automatisch in werking. Dit voorkomt dat de Commissie de regels eindeloos kan uitstellen. In dat geval treden zij alsnog in werking:
– 2 december 2027: hoogrisico-AI uit bijlage III;
– 2 augustus 2028: hoogrisico-AI uit bijlage I.
Dit betekent dus zeer waarschijnlijk een uitstel van de regels rond hoogrisico-AI. Tegelijkertijd is het belangrijk om op te merken dat er verder weinig materiële wijzigingen worden doorgevoerd aan hoogrisico-AI zelf. De toepassingen uit bijlage I en III blijven ongewijzigd en de compliance-vereisten blijven op enkele kleine punten na hetzelfde. Op dit vlak vormt de Omnibus-wet dan ook niet zozeer een afzwakking, maar eerder uitstel.
Wat is er dan wel aangepast aan hoogrisico-AI? Eigenlijk vrij weinig. Zo is de registratieverplichting vervallen wanneer men een beroep doet op een van de vier bagatel-uitzonderingen. Indien men te maken heeft met een AI-systeem dat wordt gebruikt voor een toepassing die is opgesomd in bijlage III, maar men stelt dat dit geen significant risico biedt voor mensenrechten op grond van een van de vier uitzonderingsgronden van artikel 3 derde lid, dan was men tot op heden verplicht dit te registreren bij de nationale toezichthouder. Deze registratieplicht werd onredelijk bezwarend geacht voor het midden- en kleinbedrijf, en zodoende is deze algemeen afgeschaft. Hiernaast zijn er nog enkele wetstechnische wijzigingen aangebracht in dit hoofdstuk van de AI Act, maar geen daarvan is echt noemenswaardig.
AI-geletterdheid
Een andere belangrijke wijziging die de Omnibus-wet aanbrengt aan de AI Act is de algemene verplichtingen rond AI-geletterdheid. Aan het begin van artikel 4 is de subtiele frase toegevoegd “The Commission and Member States shall encourage [...]”. Deze kleine wijziging maakt een groot verschil, omdat het de verplichtingen voor aanbieders en gebruiksverantwoordelijken transformeert in een algemene inspanningsplicht voor de Europese Commissie en lidstaten om AI-geletterdheid zoveel mogelijk te bevorderen. Onder deze aanpassing hebben organisaties niet langer de algemene verplichting om hun personeel te scholen voor alle AI-systemen die zij in gebruik hebben.
De reden om deze algemene verplichting te verwijderen, wordt in overweging 5 van de Omnibus-wet omschreven als te star en te zwaar voor organisaties. Zo stelt de overweging dat een one-size-fits-all aanpak niet past bij het doel van de bepaling, en dat in de praktijk de bepaling een te grote compliance druk veroorzaakt, met name voor het midden- en kleinbedrijf. Zodoende beoogt men organisaties te ontzien door deze verplichting richting de toezichthouder te duwen.
Deze aanpassing zal dan ook, mits aangenomen, een aanzienlijke verlichting van de lasten betekenen als het gaat om AI-geletterdheid. Onder de huidige tekst van de AI Act was het nog noodzakelijk voor alle organisaties om werk te maken van hekennis- en kundenniveau van alle medewerkers. Indien deze wijziging doorgang vindt, zal dat dan ook zeker een afzwakking van de gestelde regels betekenen.
Andere noemenswaardige wijzigingen
De Omnibus-wet is betrekkelijk lang, maar een groot deel bevat wetstechnische aanpassingen die hier verder niet heel interessant zijn. Daarop zijn wel enkele uitzonderingen te vinden, welke ik hier zal opsommen:
- De grondslag om bijzondere persoonsgegevens te verwerken om bias en discriminatie op te sporen bij een hoogrisico AI-systeem van artikel 10 is veralgemeniseerd. De regels zijn verplaatst van artikel 10, vijfde lid naar een nieuw artikel 4a. Dit betekent dat men nu altijd van deze grondslag gebruik kan maken bij het bouwen van iedere vorm van AI, ook als deze niet kwalificeert als hoogrisico. Dus indien men bijvoorbeeld een AI voor Algemene Doeleinden (GPAI) bouwt, kan men ook van deze wettelijke grondslag gebruik maken om deze persoonsgegevens te verwerken;
- Conformiteitsbeoordelingen mogen nu expliciet worden samengevoegd met andere van toepassing zijnde beoordelingen (artikel 28 AIA). Dit is met name relevant voor AI-systemen van bijlage I waar vaak ook al andere beoordelingen moeten worden uitgevoerd, alvorens deze producten op de markt worden geplaatst;
- Regulatory Sandboxes kunnen nu op Unie-niveau worden gebouwd, of in samenwerking tussen meerdere lidstaten;
- Iets meer verheldering over de verdeling van toezicht tussen de AI Office, Commissie en nationale toezichthouders op het gebied van GPAI.
Conclusie
De Omnibus-wet maakt een reeks aan wijzigingen aan de AI Act, maar een totale afzwakking is het zeker niet te noemen. Het grootste gedeelte van de materiële vereisten blijven ongewijzigd, alleen worden de regels voor AI-geletterdheid wel aanzienlijk afgezwakt. Ook worden de regels voor hoogrisico-AI met ongeveer een jaar maximaal uitgesteld. Het vele werk dat wij als juridisch AI-professionals hebben gestoken in onze compliance-voorbereidingen, is dan ook zeker niet voor niets geweest. Wel kan de wet iets meer ademruimte geven aan organisaties die dat net een beetje nodig hebben.
Maar let natuurlijk op: dit is nog maar een voorstel. Of dit echt in de boeken komt, is nog maar de vraag. Ga voorlopig dan ook nog zeker aan de slag met alle nodige compliance-voorbereidingen.
Wil je meer blogs lezen over AI? Bekijk deze hier!
AI-blogs
