Klaar voor AI Act: dit zijn de gevolgen voor mkb'ers

De AI Act treedt in mei 2024 in werking. Bedrijven en ondernemers hebben daarna nog twee jaar de tijd om aan de regels te voldoen. Sommige toepassingen, zoals het herkennen van emoties met behulp van AI-software, worden al eerder verboden. We zetten de belangrijkste gevolgen op een rij.

1. Welke regels gaan er gelden voor AI-ondernemers? 

Met deze Europese regels worden een aantal AI-systemen verboden. En die verboden software moet binnen zes maanden stopgezet worden. "Bijvoorbeeld systemen die emoties zouden kunnen herkennen op de werkplek", zegt ICT-jurist Peter Kager van ICTRecht.

De systemen waarbij de kans het grootst is dat er risico’s zijn voor burgers, krijgen de meeste regels. Denk dan bijvoorbeeld aan systemen die invloed hebben op de kansen van mensen op de arbeidsmarkt of in het onderwijs of de zorg. Als daar iets misgaat door een fout in de software, kan dat heftige gevolgen hebben voor consumenten. Het zou gaan om 15 procent van alle AI-systemen. 

Wat staat er in de AI ACT?

AI-systemen worden getoetst op hoe groot hun risico is. Daarbij worden de volgende categorieën onderscheiden:

• Systemen met een onaanvaardbaar risico worden verboden. Dat is bijvoorbeeld live gezichtsherkenning, of systemen die gericht zijn op het manipuleren van mensen.
• Systemen met een hoog risico worden constant gemonitord. Dat gaat om systemen die gebruikt worden in producten met strenge veiligheidseisen, zoals auto's of vliegtuigen. Ook AI-toepassingen die worden gebruikt in sectoren als onderwijs en justitie vallen hieronder.
• Het derde niveau is generatieve AI, en dat zijn systemen als ChatGPT. Deze systemen moeten transparant zijn over de data waarmee ze getraind zijn en ze mogen geen 'illegale inhoud genereren'.
• Systemen met een laag risico zijn bijvoorbeeld programma's die automatisch foto's of video's verbeteren. Deze moeten alleen aangeven dat ze AI gebruiken.

Als je daar als ondernemer mee te maken hebt, dan zijn er ook veel nieuwe verplichtingen om aan te voldoen. Bedrijven en mkb'ers moeten bijvoorbeeld een risicoanalyse maken. "Het komt neer op: waar kunnen mensen last van krijgen?", zegt Kager. 

"In het geval van een systeem dat met AI gesprekken uitschrijft, moet dat correct gebeuren. Doet het dat niet, moet je maatregelen treffen. Bijvoorbeeld zodat een app mensen beter kan verstaan."

'Mens moet aan de knoppen blijven'

Het moet ook duidelijk zijn welke gegevens zijn gebruikt om software mee te trainen. En het moet technisch mogelijk zijn om alle handelingen of gedachtesprongen van een systeem te kunnen nagaan. "Het mag geen black box zijn, waarbij je als gebruiker geen idee hebt hoe het heeft gewerkt", zegt Kager. 

Ook moet te allen tijde een mens betrokken blijven. "Zodat het lot niet helemaal in handen van machines terechtkomt. Een mens moet aan de knoppen blijven zitten of controleren dat wat de software doet ook goed is."

2. Wie moet zich houden aan die nieuwe AI-regels?

De regels zijn onder meer voor de makers en aanbieders van AI-systemen. Want zonder regels zouden de AI-systemen de rechten van burgers kunnen bedreigen. 

Natuurlijk moeten de grote techbedrijven die AI-systemen maken zich houden aan die regels, zoals ChatGPT-maker OpenAI. Maar ook kleinere bedrijven moeten opletten. 

Meer risico, meer regels

"Het gaat om iedereen die zelf AI-software maakt, ontwikkelt en uitwerkt. En dan nog de personen die het in de markt zetten. Naast die grote jongens zijn dat de partijen die de meeste verplichtingen krijgen", zegt Kager.

Zo moeten makers van chatbots zich gaan houden aan de nieuwe regels, maar ook bedrijven die auto’s zelf kunnen laten rijden en makers van software die gesprekken tussen arts en patiënt transcriberen. Ook geldt: hoe meer risico voor de rechten en veiligheid van burgers, hoe meer regels er gelden. 

3. Wat betekent het voor de ondernemers die een AI-systeem kopen?

Voor hen valt het aantal regels mee, zegt Kager. "Die ondernemers moeten vooral transparant zijn dat er AI-software wordt gebruikt. En ook hier moet je zorgen voor een menselijke controle van het systeem."

Het belangrijkste is dat consumenten, bedrijven en andere organisaties ervan uit kunnen gaan dat de AI-software goed, maar vooral veilig werkt. 

4. Wie gaat dit controleren?

Dat is niet zo eenvoudig als bijvoorbeeld bij de privacywet AVG. Daar is de Autoriteit Persoonsgegevens de aangewezen toezichthouder. "Er zijn meerdere toezichthouders en die moeten nog worden aangewezen, mede doordat de regels gefaseerd ingaan."

De markt waarin een ondernemer werkzaam is, zal mogelijk mede bepalen wie zijn of haar toezichthouder wordt.

Binnen twee jaar in werking

"Je kunt je voorstellen dat de Nederlandse Voedsel en Waren Autoriteit naar bepaalde systemen in de horeca kijkt en de Zorgautoriteit naar de medische wereld", zegt Kager.

Maar overkoepelend geldt dan weer: zodra het privacy en persoonsgegevens raakt, kan het ook goed de Autoriteit Persoonsgegevens zijn.

Dat moet de komende tijd duidelijk worden. "Maar als je een systeem maakt of in de markt zet, moet je hoe dan ook binnen twee jaar aan voldoen."

Heeft huiswerk geven nog wel zin, nu AI een opmars maakt? We zoeken het uit in deze video: