Brussel start eerste inspectiegolf onder de EU AI Act

De Europese AI Act is deze maand van papier naar praktijk gegaan. Het AI Office in Brussel begint samen met 24 nationale markttoezichthouders aan de eerste geplande ronde inspecties bij aanbieders van hoogrisico-systemen. Voor bedrijven die AI inzetten in werving, kredietverlening of zorg is dat het moment waarop de dossiers echt op tafel moeten.

Waarom nu

De aanleiding ligt in de kalender. Op 2 augustus 2026 liep de overgangsperiode voor algemene hoogrisico-systemen af, en op diezelfde datum werden de transparantieverplichtingen uit artikel 50 van kracht. Advocatenkantoor Cooley wees er in een toelichting op dat overtreding daarvan kan oplopen tot 15 miljoen euro of 3 procent van de wereldwijde jaaromzet. Voor hoogrisico-systemen ligt het plafond hoger: 35 miljoen euro of 7 procent. Al Jazeera beschreef begin augustus hoe een deel van de regels wel inging en een ander deel via het simplificatiepakket werd uitgesteld, wat bij veel bedrijven het beeld gaf dat er nog tijd was.

Drie sectoren eerst

Volgens een overzicht van regelgevingsdeadlines bij Cubbbix richten de Franse CNIL, de Duitse BfDI en het Spaanse AESIA hun eerste verzoeken op drie toepassingen: geautomatiseerde cv-selectie bij werving, algoritmische kredietbeoordeling bij banken en AI-triage in particuliere klinieken. Dat zijn precies de gebieden waar een verkeerde uitkomst direct iemands baan, lening of behandeling raakt.

Wat toezichthouders opvragen, staat in artikel 11 en bijlage IV: de technische documentatie. Denk aan architectuurschema’s, scripts voor datavoorbewerking, logboeken over de herkomst van trainingsdata en de maatregelen tegen bias, plus de vraag hoe een menselijke operator een beslissing kan overrulen. De Cloud Security Alliance schreef op 3 september dat dit dossier compleet moet zijn voordat een systeem op de markt komt, niet erna. Veel organisaties hebben die stukken verspreid over teams staan, of helemaal niet.

Ook de grote modellen zijn aan de beurt

Naast de sectorinspecties geldt er een aparte deadline voor aanbieders van algemene AI-modellen boven de 10^25 FLOPs. Zij moeten hun eerste formele evaluatie van systeemrisico’s bij het AI Office indienen. Dat sluit aan op de handhavingsbevoegdheid die Brussel eerder kreeg en waarover wij schreven in EU AI Act: Brussel kan AI-modellen nu beboeten. Het verschil met eerdere jaren is dat de papieren bevoegdheid nu een agenda heeft.

Europa staat daarin niet alleen. In de Verenigde Staten legde Californië deze week vast dat een ontslag niet uitsluitend op een AI-oordeel mag rusten, zoals te lezen in ons stuk over de No Robo Bosses Act, en in het Congres ligt een voorstel om superintelligentie strafbaar te stellen. De toon verschilt per continent, de richting minder.

Wat betekent dit

Voor Nederlandse bedrijven met een AI-systeem in HR, financiering of zorg is de vraag niet langer of de AI Act van toepassing is, maar of het dossier er ligt. Begin bij de inventarisatie: welke systemen vallen onder hoogrisico, wie is aanbieder en wie gebruiker, en waar staat de documentatie. Aanbieders van modellen die zelf cijfers publiceren, doen er verstandig aan die controleerbaar te houden. Dat leerde de discussie over aangepaste benchmarkcijfers rond Astra. Een toezichthouder die aanklopt, vraagt niet om een demo maar om bewijs.