Valt onze AI-toepassing onder de verboden praktijken?

werkvloer en personeel

Callcenter meet de boosheid van medewerkers

Een callcenter gebruikt webcams en spraakherkenning om emoties van medewerkers te volgen, zoals boosheid. Hetzelfde bedrijf gebruikt spraakanalyse ook om te herkennen wanneer een klant geirriteerd raakt.

Herkomst: De richtsnoeren van de Commissie over verboden AI-praktijken behandelen dit geval als uitgewerkt voorbeeld bij artikel 5. Het document is niet bindend: de uiteindelijke uitleg is aan het Hof van Justitie.

Het verbod volgt de gezagsverhouding en niet de techniek: dezelfde spraakanalyse op medewerkers is verboden en op klanten niet, en werkplek omvat ook sollicitanten en de proeftijd.

Commission Guidelines C(2025) 5052 final, 29.7.2025, uitgewerkte voorbeelden bij artikel 5

werkvloer en personeel

Medische uitzondering: toegankelijkheid mag, burn-outdetectie niet

Een werkgever wil emotieherkenning inzetten. In het ene scenario ondersteunt het systeem medewerkers met autisme en verbetert het de toegankelijkheid voor blinde en dove collega's. In het andere scenario meet het stressniveaus om burn-out, verveling of motivatieverlies te signaleren.

Herkomst: De richtsnoeren van de Commissie over verboden AI-praktijken behandelen dit geval als uitgewerkt voorbeeld bij artikel 5. Het document is niet bindend: de uiteindelijke uitleg is aan het Hof van Justitie.

De medische uitzondering is smal: ondersteuning van een concrete beperking valt eronder, algemene monitoring van welzijn, stress of motivatie niet, en gegevens uit een toegestane inzet mag u niet hergebruiken.

Commission Guidelines C(2025) 5052 final, 29.7.2025, uitgewerkte voorbeelden bij artikel 5

werkvloer en personeel

Uitlegsessie bij de klant op het moment van ingebruikname

Asimov AI is een micro-organisatie met maximaal vijftien medewerkers die AI-diensten levert voor wetgevingswerk aan overheidsinstellingen en bedrijven. Bij elk nieuw contract organiseert het bedrijf een of meer inductiecalls met de teamleiders en ambtenaren die het platform gaan gebruiken, waarin het uitlegt hoe het platform en de onderliggende modellen werken en hoe hallucinaties in dit domein ontstaan en beperkt kunnen worden.

Herkomst: Deze praktijk is door de betrokken organisatie zelf aangeleverd aan het levend repository van de Commissie. Het repository verzamelt en deelt praktijken, maar keurt ze niet goed en stelt ze niet vast als norm.

Deze praktijk legt de geletterdheid waar het risico ontstaat: bij de mensen die het systeem straks gebruiken, op het moment dat zij ermee beginnen. Voor een kleine aanbieder is dat ook het enige haalbare moment, omdat er geen opleidingsafdeling is om het later over te doen. Wie dit overneemt, moet wel vastleggen wie erbij was en wat er is uitgelegd, want anders bestaat de inspanning na een jaar alleen nog in de herinnering van de deelnemers.

Levend repository van AI-geletterdheidspraktijken, ingediende praktijk van de betrokken organisatie

werkvloer en personeel

Drie kennisniveaus en interne vakscholen bij een verzekeraar

Generali biedt alle medewerkers basiscursussen aan over wat AI is en hoe de groep het gebruikt, verdiepende modules voor wie AI-systemen dagelijks gebruikt, en gevorderde sessies met externe experts voor wie ze bouwt of onderhoudt. Daarnaast bestaan interne vakscholen voor rollen als data scientist, actuaris en accountant, opgezet met universiteiten en onderzoeksinstellingen.

Herkomst: Deze praktijk is door de betrokken organisatie zelf aangeleverd aan het levend repository van de Commissie. Het repository verzamelt en deelt praktijken, maar keurt ze niet goed en stelt ze niet vast als norm.

Hang gelaagde AI-scholing aan een bestaand opleidingsprogramma en leerplatform, zodat u niveaus en doelgroepen kunt uitbreiden zonder eerst een nieuwe leerinfrastructuur te moeten bouwen.

Levend repository van AI-geletterdheidspraktijken, ingediende praktijk van de betrokken organisatie

Geen verplicht cursusformat, geen certificaat, geen examen en geen AI-officer

De Q&A van de Commissie over AI-geletterdheid stelt dat er geen pasklare aanpak bestaat en dat er geen strikte vereisten of verplichte trainingen worden opgelegd. Over certificering vermeldt de Q&A letterlijk dat er geen certificaat nodig is en dat organisaties een interne registratie van trainingen of andere begeleidende initiatieven kunnen bijhouden. Over toetsing vermeldt zij dat artikel 4 van de AI-verordening geen verplichting inhoudt om de AI-kennis van werknemers te meten. Over governance vermeldt zij dat er geen specifieke governancestructuur is voorgeschreven om aan artikel 4 te voldoen, zodat er anders dan bij de functionaris voor gegevensbescherming onder de AVG geen AI-functionaris hoeft te worden aangesteld. Over het niveau vermeldt de Q&A dat AI-geletterdheid na de wijziging door de Digital Omnibus een verplichting blijft voor aanbieders en gebruiksverantwoordelijken van AI-systemen, maar dat er geen specifiek of toereikend niveau wordt voorgeschreven en dat de verordening niet vereist dat enig specifiek niveau van AI-geletterdheid van enig individu wordt gegarandeerd. Daartegenover stelt de Q&A dat het enkel vertrouwen op de gebruiksaanwijzing van het AI-systeem of het aan personeel vragen die te lezen, mogelijk niet doeltreffend is, en dat organisaties bij het bepalen van hun aanpak rekening moeten houden met het algemene begrip van AI binnen de organisatie, met de vraag of zij aanbieder of gebruiksverantwoordelijke zijn, met de risico's van de gebruikte systemen, met kennislacunes bij personeel gelet op technische kennis, ervaring, opleiding en training, en met contextuele factoren zoals sector, doel en getroffen bevolkingsgroepen. De Q&A vermeldt verder dat organisaties verschillende niveaus van training of leeraanpakken kunnen hanteren naargelang kennis, ervaring, opleiding en rol, en dat personeel met een opleiding of ervaring in AI-ontwikkeling normaal gesproken als AI-geletterd wordt beschouwd, waarbij de organisatie nog wel moet nagaan of die personen de specifieke AI-systemen van de organisatie begrijpen, weten hoe zij daarmee moeten omgaan en zich van alle risico's bewust zijn.

Commission Q&A on AI literacy, secties over het vereiste niveau, opleidingsvormen, certificaten, toetsing van kennis en governancestructuren (geraadpleegd op 9 augustus 2026)

Artikel 4 reikt verder dan uw eigen personeel, en de nationale toezichthouder handhaaft

De Q&A van de Commissie over AI-geletterdheid vermeldt dat artikel 4 geldt voor aanbieders en gebruiksverantwoordelijken van AI-systemen en daarnaast voor andere personen die namens hen met de werking en het gebruik van AI-systemen te maken hebben, en dat het daarbij gaat om personen die in brede zin binnen de organisatorische invloedssfeer vallen, met als voorbeelden een opdrachtnemer, een dienstverlener en een client. Over clienten vermeldt de Q&A dat zij afhankelijk van het specifieke risico AI-geletterdheid nodig kunnen hebben, met als redenering dat getroffen personen moeten begrijpen hoe met behulp van AI genomen besluiten hen raken. Over het geografische bereik vermeldt de Q&A dat het juridische kader van de AI-verordening geldt voor zowel publieke als private partijen binnen en buiten de Unie, zolang het AI-systeem op de Uniemarkt wordt gebracht, in de Unie wordt gebruikt, of het gebruik ervan gevolgen heeft voor personen die zich in de Unie bevinden. Over toezicht vermeldt de Q&A dat het toezicht op en de handhaving van artikel 4 niet bij het AI Office ligt maar onder de bevoegdheid van de nationale markttoezichtautoriteiten valt, en dat toezicht en handhaving zijn aangevangen op 2 augustus 2026, terwijl artikel 4 zelf van toepassing is geworden op 2 februari 2025. Over sancties vermeldt de Q&A dat nationale markttoezichtautoriteiten boetes en andere handhavingsmaatregelen kunnen opleggen bij inbreuken op artikel 4, dat dit gebeurt op grond van nationale wetgeving die de lidstaten uiterlijk 2 augustus 2025 moesten vaststellen, dat elke sanctie evenredig moet zijn en moet worden gebaseerd op het individuele geval, rekening houdend met factoren zoals de aard en de ernst van de inbreuk en het opzettelijke of nalatige karakter ervan, en dat een sanctie waarschijnlijker is wanneer er bewijs is van een incident dat is ontstaan door een gebrek aan passende training en begeleiding. Artikel 4 wordt niet genoemd in de opsomming van artikel 99 lid 4 van de AI-verordening, die uitsluitend ziet op de artikelen 16, 22, 23, 24, 26, 31, 33 lid 1, 3 en 4, 34 en 50, zodat de hoogte van een sanctie wegens artikel 4 uit het nationale recht volgt en niet uit de boeteplafonds van de verordening zelf. De Q&A vermeldt verder dat artikel 4 de bepalingen over transparantie in artikel 13 en over menselijk toezicht in artikel 14 versterkt en indirect bijdraagt aan de bescherming van getroffen personen, en dat voor gebruiksverantwoordelijken van hoogrisicosystemen de verplichting uit artikel 26 om te waarborgen dat personeel is opgeleid voor menselijk toezicht een afzonderlijke eis vormt; die eis wordt van toepassing op 2 december 2027 voor zelfstandige systemen uit bijlage III en op 2 augustus 2028 voor systemen uit bijlage I.

Commission Q&A on AI literacy, secties over doelgroepen, geografisch bereik, toezicht en handhaving, en sancties (geraadpleegd op 9 augustus 2026)

Artikel 6 kent twee gescheiden routes naar hoog-risico

De concept-richtsnoeren van de Europese Commissie over de classificatie van hoog-risico AI van 19 mei 2026, die uitdrukkelijk niet bindend zijn, stellen in randnummer (7) dat een AI-systeem in twee scenario's als hoog-risico geldt: ten eerste wanneer het bedoeld is om te worden gebruikt als veiligheidscomponent van een product, of zelf een product is, dat onder de in Bijlage I genoemde harmonisatiewetgeving van de Unie valt en waarvoor een conformiteitsbeoordeling door een derde partij is vereist, en ten tweede wanneer het valt onder een van de gebruikssituaties in de gebieden van Bijlage III. Randnummer (448) van diezelfde concept-richtsnoeren vermeldt dat de toepassingsdatums van artikel 113 met de AI Omnibus zijn verschoven naar 2 december 2027 voor de route van artikel 6 lid 2 en 2 augustus 2028 voor de route van artikel 6 lid 1.

Concept-richtsnoeren classificatie hoog-risico AI (19 mei 2026), hoofdstuk Algemene beginselen, sectie II, randnummer (7); sectie V, randnummer (448)

Breed gepositioneerde en general purpose AI-systemen: een disclaimer is niet genoeg

Volgens de niet-bindende concept-richtsnoeren van 19 mei 2026 over de classificatie van hoog-risico AI geldt, blijkens randnummer (12), dat wanneer de gebruiksaanwijzing, contractuele afspraken, gebruiksvoorwaarden, gebruiksbeleid, promotie- en verkoopmateriaal of technische documentatie het AI-systeem presenteren als breed toepasbaar over een veelheid van contexten en functies, en de toepassing niet consequent beperken of hoog-risico gebruik niet uitsluiten, het beoogde doel van het systeem geacht wordt ook hoog-risico gebruikssituaties te omvatten, waardoor het systeem als hoog-risico kwalificeert. Dat geldt volgens deze concept-richtsnoeren in het bijzonder wanneer dergelijk gebruik haalbaar en redelijkerwijs te voorzien is gezien de functionaliteiten en capaciteiten van het systeem. Hetzelfde randnummer stelt dat het enkel beweren, bijvoorbeeld in de gebruiksvoorwaarden, dat hoog-risico gebruik is uitgesloten, onvoldoende is wanneer de algehele presentatie, voorbeelden of productpositionering van de aanbieder dat gebruik feitelijk mogelijk maakt of bevordert, en dat beperkingen duidelijk, concreet en coherent in al het materiaal moeten worden beschreven.

Concept-richtsnoeren classificatie hoog-risico AI (19 mei 2026), hoofdstuk Algemene beginselen, sectie II.2, randnummer (12)

ISO/IEC 23894: leidraad voor risicomanagement van AI

ISO/IEC 23894:2023 (Information technology: Artificial intelligence: Guidance on risk management) is in februari 2023 gepubliceerd en is de eerste internationale norm die specifiek ingaat op risicomanagement voor AI. De norm is niet-voorschrijvend en is opgebouwd op de structuur van ISO 31000. De tekst is door CEN-CENELEC overgenomen als EN ISO/IEC 23894:2024. De norm is niet met referentie in het Publicatieblad bekendgemaakt en geeft dus geen vermoeden van conformiteit onder artikel 40 AI-verordening. De deliverable die dat wel beoogt te doen voor artikel 9 is prEN 18228.

prEN 18228: AI-risicomanagement voor hoog-risico systemen

prEN 18228 (AI risk management) is de JTC 21-deliverable onder M/613 die is bedoeld om vermoeden van conformiteit te geven met artikel 9 AI-verordening: het risicomanagementsysteem dat aanbieders van hoog-risico AI-systemen gedurende de gehele levenscyclus moeten opzetten, uitvoeren, documenteren en onderhouden. De publieke Enquiry liep tot 30 juli 2026. De norm is nog niet als EN gepubliceerd en is niet met referentie in het Publicatieblad bekendgemaakt. De aanduiding prEN betekent dat het om een ontwerptekst gaat.