De AI act: waarom voldoen lastiger is dan het lijkt

De AI Act in het kort

AI ontwikkelde zich sneller dan de regels eromheen. Systemen beoordelen sollicitanten, schatten risico’s in en schrijven teksten die niet van mensenwerk te onderscheiden zijn. Dat biedt kansen, maar ook risico’s: oneerlijke uitkomsten, gebrek aan uitleg en beslissingen die niemand meer kan herleiden.

De Europese Unie wilde daar één set spelregels voor: de AI Act, sinds augustus 2024 van kracht. Hoe groter de impact op mensen, hoe strenger de eisen. Een spamfilter vraagt weinig, een systeem dat meeweegt in een besluit over een inwoner veel. Voor overheden is dat extra relevant, want zij nemen besluiten die diep ingrijpen in het leven van inwoners.

De wet geldt niet in één keer. De verboden en de plicht tot AI-geletterdheid gelden sinds februari 2025, de transparantieregels sinds augustus 2026. De zwaarste eisen, voor toepassingen met een hoog risico, zijn uitgesteld naar december 2027. Dat uitstel klinkt als ademruimte, maar de verplichtingen die al gelden zijn juist de lastigste. Ze gaan niet over techniek, maar over mensen.

De AI die u niet ziet

De eerste stap lijkt eenvoudig: breng in kaart welke AI uw organisatie gebruikt. Functioneel beheerders weten welke applicaties AI-functies bevatten. Afdelingen kunnen aangeven welke tools ze gebruiken. Alles gaat in een intern AI-register.

Let op: dat register is iets anders dan het algoritmeregister. Het algoritmeregister is de openbare lijst waarin overheden publiceren welke algoritmen ze inzetten. Uw AI-register is het interne overzicht van alle AI-toepassingen, ook van tools die medewerkers zelf gebruiken.

Maar Jan staat niet in dat register. Hij gebruikt ChatGPT op zijn eigen telefoon, omdat het handig is. Hij meldt het niet, omdat hij niet weet dat het ertoe doet. En een uitvraag bij afdelingen vindt hem niet, omdat zijn leidinggevende het ook niet weet.

Een verbod lost dat niet op. U kunt ChatGPT blokkeren op het netwerk, maar dan pakt de medewerker zijn eigen telefoon en gebruikt hij het via het mobiele netwerk. In uw logging ziet u niets meer, terwijl er misschien wel een dossier in de chat is geplakt. Wat wel werkt: het onderwerp bespreekbaar maken, een veilig alternatief bieden en een paar heldere afspraken maken over wat wel en niet kan. Pas als medewerkers durven te vertellen wat ze gebruiken, krijgt u echt zicht.

AI-geletterdheid

De AI Act vraagt organisaties om de AI-geletterdheid van hun medewerkers te ondersteunen. Maar wat is dat eigenlijk?

AI-geletterdheid betekent dat medewerkers AI verantwoord kunnen gebruiken. Ze weten wat een tool kan en waar die de mist in gaat. Ze herkennen een overtuigend maar onjuist antwoord. En ze weten welke informatie ze nooit in een openbare AI-tool zetten. De verleiding is groot om iedereen een online cursus te laten volgen en een certificaat uit te reiken. Dan is het vinkje gezet. Maar een certificaat zegt weinig over wat Jan maandagochtend doet.

Neem de AI-samenvatting van een gespreksverslag. Die is onschuldig, totdat de samenvatting de basis wordt voor een besluit over bijstand of de Wmo. Het beoordelen van aanvragen voor uitkeringen en voorzieningen valt onder hoog risico. Dezelfde tool kan dus laag of hoog risico zijn, afhankelijk van wat een medewerker ermee doet. Dat leert niemand uit een certificaat.

Zinvolle training sluit daarom aan op het werk. Een consulent in het sociaal domein heeft andere kennis nodig dan een applicatiebeheerder of een bestuurder. Werk met voorbeelden uit de eigen praktijk en herhaal het regelmatig, want de tools veranderen sneller dan welke cursus ook.

Regels zonder rem

Wie de AI Act serieus neemt, wil alles goed regelen. Een beoordelingsproces, een register, richtlijnen, een DPIA voor elke nieuwe toepassing. Allemaal nodig. Daar komt bij dat niemand vanzelf eigenaar is. De FG kijkt naar privacy, de CISO naar beveiliging, inkoop naar contracten en juridische zaken naar de wet. De AI Act raakt ze allemaal, maar komt bij niemand van hen vanzelf terecht. Vaak belandt het onderwerp dan bij de informatiemanager, naast al het andere werk.

De kunst is kaders te maken die werken als vangrail en niet als slagboom. Zodat medewerkers met ideeën durven te komen en weten waar de grenzen liggen. Hoe u dat aanpakt, leest u in ons blog over het ontwikkelen van een AI-visie.

Tot slot

De AI Act is geen checklist en ook geen IT-project. Het is een wet die vraagt om zicht op wat er gebeurt, om medewerkers die weten wat ze doen en om een organisatie die ruimte laat voor vernieuwing. Dat zijn precies de onderdelen die zich niet laten afvinken. Stel uzelf daarom drie vragen:

• Weten we welke AI onze medewerkers echt gebruiken, ook op hun eigen telefoon?
• Weten onze medewerkers wat verantwoord AI-gebruik betekent voor hun eigen werk?
• Geven onze afspraken ruimte of remmen ze af?

Meer weten?

Juist bij deze lastige onderdelen helpt Solviteers graag. We brengen samen met u in kaart welke AI er in uw organisatie wordt gebruikt, zetten AI-geletterdheid op die aansluit bij het werk van uw medewerkers en helpen bij afspraken die houvast geven zonder te remmen. Met ruim 30 jaar ervaring bij overheidsorganisaties en onafhankelijk van leveranciers.