De AI Act wordt een ontwerpvraag

Deze week spraken we met een technologiepartner over een ogenschijnlijk kleine vraag: is het voldoende wanneer een AI-systeem zichzelf aan het begin van een gesprek voorstelt als een ‘virtuele assistent’?

Daarachter bleek een veel grotere vraag te liggen.

Want zodra AI onderdeel wordt van een dienst, een klantgesprek of een intern proces, moet iemand bepalen wat er gemeld wordt, wanneer dat gebeurt, wie daarvoor verantwoordelijk is en hoe je dat technisch mogelijk maakt.

De AI Act is daarmee voor organisaties een stuk minder abstract geworden.

De regels zijn er

Op 2 augustus 2026 werd een groot deel van de resterende bepalingen uit de Europese AI Act van toepassing. Daaronder vallen de transparantieregels uit artikel 50.

Dat gebeurde terwijl een deel van dezelfde wet net was aangepast.

Zes dagen eerder trad de zogenoemde AI Omnibus in werking. Daarmee werden onder meer belangrijke verplichtingen voor hoog-risico-AI doorgeschoven naar 2027 en 2028. Andere regels, waaronder een groot deel van de transparantieverplichtingen, gingen gewoon volgens planning gelden.

Dat verschil is belangrijk.

Wie alleen de berichten over ‘uitstel van de AI Act’ heeft gevolgd, kan gemakkelijk de indruk krijgen dat organisaties voorlopig nog tijd hebben. Voor een deel van de wet klopt dat. Voor andere delen is de vraag inmiddels niet meer wanneer de regels ingaan, maar hoe je eraan voldoet.

Van wet naar product

Tijdens ons gesprek werd dat snel concreet.

Een aanbieder van een AI-platform kan bijvoorbeeld zorgen dat een organisatie aan het begin van een gesprek automatisch meldt dat AI wordt gebruikt om een samenvatting te maken. Die mogelijkheid kan standaard worden ingebouwd en eventueel per gebruiker of toepassing worden ingesteld.

Daarmee is de juridische vraag nog niet volledig opgelost. Is ‘virtuele assistent’ duidelijk genoeg? Hoe expliciet moet je benoemen dat AI wordt gebruikt? Welke melding past bij welke toepassing?

Maar er gebeurt wel iets anders dat voor organisaties minstens zo relevant is: regelgeving verandert in productkeuzes.

Een abstracte transparantieplicht krijgt ineens een instelling in een beheerscherm, een tekst aan het begin van een gesprek, een logregel, documentatie voor een klant en een beslissing over wie welke functie kan uitschakelen.

Dat is waar AI-governance operationeel wordt.

Verantwoordelijkheid verdwijnt niet

Daarbij ontstaat een keten van verantwoordelijkheden.

Een technologieleverancier ontwikkelt het platform. Een implementatiepartner richt het in. Een organisatie gebruikt het in een specifieke context. Medewerkers werken ermee en burgers, patiënten of klanten krijgen ermee te maken.

De AI Act kent voor verschillende partijen verschillende rollen en verplichtingen. Het is daarom te eenvoudig om verantwoordelijkheid volledig naar de leverancier of juist naar de eindgebruiker te schuiven.

Een leverancier hoeft niet iedere organisatorische keuze voor zijn klant te maken. Hij kan wel zorgen dat zijn technologie de klant in staat stelt een verantwoorde keuze te maken.

Dat lijkt een klein verschil. In de praktijk is het fundamenteel.

Als een systeem technisch geen mogelijkheid biedt om een verplichte melding te tonen, heeft een organisatie weinig te kiezen. Als die mogelijkheid er wel is, verschuift de verantwoordelijkheid naar inrichting, beleid en gebruik.

Goede AI-governance zit daardoor voor een deel in de techniek zelf.

Veranderbare governance

Daar komt de veranderlijkheid van de AI Act weer terug.

De afgelopen weken lieten zien dat organisaties niet kunnen aannemen dat een Europese tijdlijn jarenlang onaangeroerd blijft. Voor de hoog-risicoverplichtingen kwamen belangrijke wijzigingen letterlijk dagen voordat een eerdere deadline zou worden bereikt.

Tegelijkertijd kun je als organisatie niet wachten totdat iedere standaard, richtlijn en interpretatie definitief is.

Dat vraagt om een andere benadering van compliance.

Niet één keer een document schrijven waarin staat hoe AI wordt gebruikt, maar een omgeving bouwen waarin beleid later kan worden aangepast. Transparantiemeldingen moeten kunnen veranderen. Toegang moet beheersbaar zijn. AI-functies moeten aan en uit kunnen. Kennisbronnen en rechten moeten controleerbaar zijn. Beslissingen moeten terug te vinden zijn.

De regelgeving beweegt. De inrichting moet dus kunnen meebewegen.

Private AI

Dat raakt direct aan hoe wij bij Schmuki naar Private AI kijken.

Privacy is daar één onderdeel van. Minstens zo belangrijk is dat een organisatie zeggenschap heeft over de omgeving waarin AI wordt gebruikt.

Welke modellen mogen worden ingezet? Welke gegevens mogen ze bereiken? Welke medewerkers hebben toegang? Welke kennisbronnen worden gebruikt? Wat wordt opgeslagen? Wat wordt gelogd? Welke functies mogen gebruikers zelf configureren en welke worden centraal bepaald?

De AI Act voegt daar nieuwe vragen aan toe. Waar moet transparantie worden ingebouwd? Welke toepassingen vragen om extra governance? Welke informatie moet beschikbaar zijn wanneer een klant, toezichthouder of medewerker vragen stelt?

Een private AI-omgeving maakt een organisatie niet automatisch compliant. Dat zou een gevaarlijk eenvoudige voorstelling zijn.

Ze kan wel de bestuurbaarheid creëren die nodig is om compliance onderdeel van de dagelijkse werking te maken.

Geen eindpunt

Een van de treffendste opmerkingen tijdens ons gesprek was dat dit een reis is zonder vast eindstation.

Dat klinkt misschien onbevredigend voor organisaties die graag eerst precies willen weten waar ze aan toe zijn. Toch past het waarschijnlijk beter bij de werkelijkheid van AI-regulering dan wachten op het moment waarop alles definitief is uitgewerkt.

Een deel van de AI Act geldt inmiddels. Andere delen zijn verschoven. Richtlijnen en standaarden ontwikkelen zich verder. Technologie verandert ondertussen door.

Voor organisaties wordt daarom een andere vraag belangrijker dan wanneer de AI Act eindelijk ‘af’ is.

Kun je je AI-omgeving aanpassen wanneer de volgende verandering komt?