De AI Act (Verordening (EU) 2024/1689) stelt regels voor het op de markt brengen en gebruiken van AI-systemen en AI-modellen voor algemeen gebruik in de EU. Ze geldt voor aanbieders (providers) en voor organisaties die een AI-systeem onder eigen verantwoordelijkheid gebruiken (deployers). Als je AI-diensten inkoopt, heeft dus zowel je leverancier als jouw organisatie verplichtingen. Met gerichte vragen aan een leverancier kun je beide beoordelen.
Feiten en data laatst gecontroleerd: 11 oktober 2026 · Deze pagina geeft algemene informatie en is geen juridisch advies; controleer voor jouw situatie de tekst van de Verordening.
De Verordening is in werking getreden.
De algemene bepalingen en de verboden AI-praktijken zijn van toepassing (Art. 5), inclusief de verplichting rond AI-geletterdheid (Art. 4).
De regels voor AI-modellen voor algemeen gebruik (GPAI) en de verplichtingen voor aanbieders van die modellen zijn van toepassing, samen met de governance op EU-niveau. Lidstaten moesten nationale bevoegde autoriteiten aanwijzen en sanctieregels vaststellen.
De meeste regels zijn van toepassing en de handhaving begint, ook voor de transparantieregels van Art. 50. Aanbieders van AI-systemen die vóór deze datum op de markt waren, hebben tot 2 december 2026 om te voldoen aan de markerings- en detectieplicht van Art. 50(2). Vanaf 2 december 2026 geldt ook een nieuw verbod op systemen die niet-consensuele seksuele deepfakes en materiaal van seksueel kindermisbruik genereren.
De regels voor hoogrisicosystemen in de gebieden van Bijlage III, zoals biometrie, kritieke infrastructuur, onderwijs en werkgelegenheid, zijn van toepassing. Dit is verschoven door de digital omnibus voor AI.
De regels voor hoogrisico-AI die is ingebouwd in producten onder Bijlage I zijn van toepassing. Dit is verschoven door de digital omnibus voor AI.
De Verordening geeft elke rol eigen verplichtingen. Een aanbieder (provider) ontwikkelt een AI-systeem of een AI-model voor algemeen gebruik, of laat het ontwikkelen, en brengt het onder eigen naam of merk op de markt of in gebruik, betaald of gratis (Art. 3(3)). Een deployer gebruikt een AI-systeem onder eigen verantwoordelijkheid. Puur persoonlijk, niet-beroepsmatig gebruik telt niet mee (Art. 3(4)). Daarnaast bestaan importeurs, distributeurs en gemachtigden. Een gemachtigde is een in de EU gevestigde persoon die een aanbieder schriftelijk heeft gemachtigd om diens verplichtingen uit te voeren (Art. 3(5) tot en met (7)).
De Verordening geldt voor aanbieders die AI-systemen of GPAI-modellen in de EU op de markt brengen, ook als ze in een derde land zijn gevestigd. Ze geldt ook voor deployers die in de EU zijn gevestigd of zich er bevinden, en voor aanbieders en deployers in een derde land als de output van het systeem in de EU wordt gebruikt (Art. 2(1), onder a tot en met c). Een leverancier buiten de EU valt er dus niet buiten.
Je kunt als deployer zelf aanbieder worden. Dat gebeurt onder meer als je je eigen naam of merk zet op een hoogrisicosysteem dat al op de markt is, als je zo'n systeem substantieel wijzigt, of als je het beoogde doel van een niet-hoogrisicosysteem, ook een GPAI-systeem, zo wijzigt dat het hoogrisico wordt (Art. 25(1)).
De zwaarste verplichtingen gelden voor hoogrisicosystemen. De Commissie noemt daarvoor onder meer biometrie, kritieke infrastructuur, onderwijs, werkgelegenheid, migratie, asiel en grenscontrole. Verboden praktijken (Art. 5) kunnen worden beboet tot 35 miljoen euro of 7 % van de wereldwijde jaaromzet; de meeste andere verplichtingen van marktdeelnemers tot 15 miljoen euro of 3 %, telkens het hoogste bedrag (Art. 99(3) en (4)). Voor kmo's, startups inbegrepen, geldt het laagste van de twee bedragen (Art. 99(6)).
De verplichtingen van Art. 26 gelden alleen voor hoogrisicosystemen. Voor de gebieden van Bijlage III zijn ze van toepassing vanaf 2 december 2027. Of een systeem hoogrisico is, bepaalt de aanbieder in de eerste plaats, maar jij moet het gebruik wel passend organiseren. Hieronder staan de belangrijkste plichten, zoals de Dienst voor de AI-verordening van de Commissie de tekst weergeeft.
AI-geletterdheid (Art. 4) geldt breder dan hoogrisico. Providers en deployers moeten maatregelen nemen om de AI-geletterdheid van hun personeel en van anderen die namens hen met AI-systemen werken te ondersteunen. De verplichting vereist niet dat een bepaald niveau voor een individu wordt gegarandeerd. Art. 4 is door de digital omnibus voor AI gewijzigd.
Voor transparantie (Art. 50) geldt sinds 2 augustus 2026 het volgende. Aanbieders van systemen die rechtstreeks met mensen communiceren, ontwerpen ze zo dat mensen weten dat ze met AI te maken hebben, tenzij dat voor een redelijk geïnformeerd persoon duidelijk is (Art. 50(1)). Aanbieders van systemen, ook GPAI-systemen, die synthetisch audio, beeld, video of tekst genereren, zorgen dat de output machineleesbaar is gemarkeerd en als kunstmatig herkenbaar (Art. 50(2)). Voor systemen die vóór 2 augustus 2026 op de markt waren, loopt de overgangstermijn voor Art. 50(2) tot 2 december 2026.
Aanbieders van GPAI-modellen moeten technische documentatie opstellen, informatie geven aan aanbieders die het model in hun systeem verwerken, een auteursrechtbeleid hebben en een samenvatting van de trainingsinhoud publiceren (Art. 53(1)). Voor modellen onder een vrije opensourcelicentie, met openbare parameters, architectuur- en gebruiksinformatie, vervallen de documentatie- en informatieplicht, maar niet het auteursrechtbeleid en de samenvatting. Die uitzondering geldt niet voor modellen met systeemrisico (Art. 53(2)).
De GPAI-praktijkcode is op 10 juli 2025 gepubliceerd. De Commissie beschrijft haar als vrijwillig instrument, opgesteld door onafhankelijke experts. Volgens de Commissie hebben zij en de AI-raad bevestigd dat het een passend vrijwillig instrument is om naleving aan te tonen. De hoofdstukken Transparantie en Auteursrecht zijn voor alle GPAI-aanbieders, het hoofdstuk Veiligheid en beveiliging voor modellen met systeemrisico. De bevoegdheden van het AI-bureau om GPAI-regels te handhaven gelden vanaf 2 augustus 2026.
Is de aanbieder in een derde land gevestigd, dan moet die vóór het op de markt brengen schriftelijk een in de EU gevestigde gemachtigde aanwijzen: voor hoogrisicosystemen (Art. 22(1)) en voor GPAI-modellen (Art. 54(1)). De gemachtigde controleert onder meer of technische documentatie bestaat, houdt die tien jaar beschikbaar en werkt samen met toezichthouders (Art. 22(3), Art. 54(3)). Opensource-GPAI-modellen zonder systeemrisico zijn van Art. 54 vrijgesteld (Art. 54(6)).
Gebruik de punten hieronder in aanbestedingen, vragenlijsten en contracten. Een antwoord laat zien wat de leverancier zegt over zijn rol en dienst; het is geen conformiteitsbeoordeling.
De AI Act en de AVG (Verordening (EU) 2016/679) gelden naast elkaar. De AI Act verwijst er op meerdere plaatsen naar: de informatie van de aanbieder voor een DPIA (Art. 26(9)), de mogelijkheid een bestaande DPIA in de beoordeling van grondrechten te betrekken (Art. 27(4)), en de eis dat deployers bij emotieherkenning en biometrische categorisering persoonsgegevens verwerken volgens de AVG (Art. 50(3)). Of jouw verwerking rechtmatig is, blijft een AVG-vraag.
De CLOUD Act is Amerikaanse wetgeving (Pub. L. 115-141, 23 maart 2018). Die verplicht aanbieders van elektronische communicatie- of remote computing-diensten om gegevens te bewaren of te verstrekken die in hun bezit, bewaring of beheer zijn, ongeacht of die zich binnen of buiten de Verenigde Staten bevinden (18 U.S.C. § 2713). De AI Act regelt dit niet. Een in de EU gevestigde gemachtigde (Art. 22, Art. 54) is iets anders dan de vraag welk recht op de leverancier en zijn moederbedrijf van toepassing is.
Voor jouw inkoop betekent dit dat de AI Act vragen oproept over rol, documentatie en transparantie, en dat vragen over de eigenaar, de hostinglocatie en toegang door buitenlandse autoriteiten aparte vragen blijven. Zie ook de uitleg over NIS2, DORA en de CRA op deze site.
De score is geen beoordeling van naleving van de AI Act. Ze kijkt naar vijf dimensies, en de AI Act raakt die elk op een andere manier.
JES (jurisdictie): de AI Act verplicht aanbieders uit een derde land een gemachtigde in de EU aan te wijzen, maar zegt niets over het moederbedrijf. Een EU-gemachtigde verandert niets aan de vraag waar leverancier en eigenaar gevestigd zijn. DRS (dataresidentie): de artikelen op deze pagina schrijven niet voor waar gegevens worden gehost; de hostinglocatie blijft een aparte vraag. CKS (sleutelsoevereiniteit): de besproken artikelen regelen geen sleutelbeheer. PLS (lock-in en overdraagbaarheid): logs onder jouw controle, minstens zes maanden (Art. 26(6)), en de documentatie van de aanbieder helpen je een dienst later te beoordelen of te verlaten. SRS (bron en runtime): de opensourcelicentie levert alleen een gedeeltelijke vrijstelling op voor GPAI-aanbieders (Art. 53(2), Art. 54(6)); zelf hosten van een model verandert je rol onder de Verordening niet automatisch.
Wil je weten hoe jouw eigen softwarestack scoort op digitale soevereiniteit? Doe de gratis assessment.
Doe de gratis assessmentDe Verordening is op 1 augustus 2024 in werking getreden. Verboden praktijken en AI-geletterdheid gelden sinds 2 februari 2025, GPAI-regels sinds 2 augustus 2025 en de meeste overige regels, waaronder Art. 50, vanaf 2 augustus 2026. Hoogrisicosystemen onder Bijlage III volgen op 2 december 2027 en die onder Bijlage I op 2 augustus 2028.
Aangenomen. Volgens de Europese Commissie is de digital omnibus voor AI op 27 juli 2026 in werking getreden. De hoogrisicoregels voor Bijlage III gelden daardoor vanaf 2 december 2027 en voor Bijlage I vanaf 2 augustus 2028.
Ja, als je een AI-systeem onder eigen verantwoordelijkheid gebruikt in een professionele context (Art. 3(4)). De plichten van Art. 26 gelden alleen als het systeem hoogrisico is. Je kunt aanbieder worden als je het systeem onder eigen naam of merk zet of het beoogde doel wijzigt (Art. 25(1)).
Art. 4 verplicht providers en deployers maatregelen te nemen om de AI-geletterdheid van hun personeel en van anderen die namens hen met AI werken te ondersteunen. Het vereist niet dat een bepaald niveau voor een individu wordt gegarandeerd. De Commissie publiceert praktische voorbeelden.
Als deployer van deepfakes meld je dat beeld, audio of video kunstmatig is gegenereerd of bewerkt. Hetzelfde geldt voor AI-gegenereerde tekst die is gepubliceerd om het publiek te informeren over zaken van openbaar belang, tenzij die redactioneel is gecontroleerd door een verantwoordelijke (Art. 50(4)). De markeringsplicht van Art. 50(2) ligt bij de aanbieder.
Een vrijwillig instrument dat op 10 juli 2025 is gepubliceerd en waarmee GPAI-aanbieders naleving van de Verordening kunnen aantonen. Het heeft drie hoofdstukken: Transparantie, Auteursrecht en Veiligheid en beveiliging. Ondertekening is niet verplicht.
Voor verboden praktijken zijn boetes mogelijk tot 35 miljoen euro of 7 % van de wereldwijde jaaromzet, voor de meeste andere verplichtingen van marktdeelnemers tot 15 miljoen euro of 3 %, telkens het hoogste bedrag (Art. 99(3) en (4)). Voor kmo's geldt het laagste bedrag (Art. 99(6)).