Hoe Brussel een AI-zaak gaat voeren, en wat dat voor uw leverancier betekent

Deze analyse verscheen eerder als wekelijkse Praxikon-nieuwsbrief.

Brussel legt de spelregels voor AI-zaken vast

Op 12 oktober publiceerde de Europese Commissie een concept-uitvoeringsverordening over de manier waarop zij zelf zaken onder de AI Act gaat voeren. Het concept werkt de artikelen 75c en 75d uit en regelt drie dingen: wanneer een onderneming het dossier van de Commissie mag inzien, hoe bedrijfsgeheimen daarbij worden beschermd en hoe lang de Commissie de tijd heeft om een boete op te leggen. Reageren kan tot en met 9 november via de consultatiepagina van de Commissie. Het is nog een concept: de Commissie plant vaststelling in het vierde kwartaal van 2026.

Om welke AI-systemen gaat het?

Niet om alle AI. Volgens artikel 75 lid 1 van de AI Act is het AI-bureau van de Commissie exclusief bevoegd voor twee groepen: AI-systemen die gebaseerd zijn op een AI-model voor algemene doeleinden wanneer model en systeem van dezelfde aanbieder of dezelfde onderneming komen, en AI-systemen die een zeer groot onlineplatform of zeer grote onlinezoekmachine onder de DSA vormen of daarin zijn geïntegreerd. Er gelden uitzonderingen, onder meer voor AI in producten uit bijlage I en voor kritieke infrastructuur. Denk aan een chatassistent die een grote modelaanbieder zelf op zijn eigen model aanbiedt.

Die bevoegdheid geldt voor de aanbieder. Een gebruiksverantwoordelijke valt er alleen onder als hij zelf de aanbieder is of tot dezelfde onderneming behoort. De procedure voor aanbieders van AI-modellen voor algemene doeleinden zelf staat los hiervan; die is sinds 10 augustus geregeld in Uitvoeringsverordening (EU) 2026/1755.

Wat staat er in het concept?

• Dossierinzage. Pas na de voorlopige bevindingen. Volledige inzage zonder weglakkingen krijgt alleen een beperkt aantal vooraf genoemde externe juristen, economen en technische deskundigen van de onderneming.
• Verjaring. De Commissie heeft vijf jaar om een boete op te leggen. Bij een voortdurende overtreding begint die termijn pas als de overtreding stopt. Elke onderzoekshandeling, zoals een informatieverzoek, een verzoek om toegang voor een systeemevaluatie, een inspectie of een uitnodiging voor een gestructureerde dialoog, laat de termijn opnieuw beginnen, tot maximaal tien jaar plus de duur van een eventuele schorsing.
• Nog niet af. De maximumregel verwijst naar een lid 6 dat in het concept niet bestaat. Precies zo'n punt hoort in de consultatie thuis.

Wat betekent dit voor u?

Bent u zelf aanbieder van een systeem binnen dit domein, dan raakt het concept u rechtstreeks. Uw dossier moet dan een onderzoek kunnen dragen dat tot tien jaar kan duren, en het loont om nu al te bepalen welke externe adviseurs namens u het dossier zouden inzien.

Voor de meeste organisaties is het een leveranciersvraag. Uw eigen plichten als gebruiksverantwoordelijke, zoals de transparantie van artikel 50 lid 3 en lid 4 en de maatregelen voor AI-geletterdheid van artikel 4, blijven bij de nationale toezichthouder. Het systeem waarop u werkt kan wel in Brussel worden onderzocht. Wil het AI-bureau zo'n systeem op een nationale markt verbieden, beperken, uit de handel nemen of terugroepen, dan meldt het dat eerst aan de nationale toezichthouder (artikel 75 lid 1 quinquies). Onze lezing: een onderzoek bij uw leverancier is daarmee ook een continuïteitsvraag voor u.

Praxikon nu beschikbaar in ChatGPT

Sinds 22 oktober is Praxikon beschikbaar in ChatGPT, naast de Claude-directory. U stelt uw AVG- of AI Act-vraag in de assistent die u al gebruikt en krijgt antwoord met het wetsartikel en de officiële bron. Gratis en zonder account; uw gesprek ziet Praxikon nooit. Zo voegt u Praxikon toe aan ChatGPT of Claude.

Actie voor deze week

Neem uw drie meestgebruikte AI-toepassingen van externe leveranciers. Loop per toepassing met de eigenaar en inkoop drie vragen na:

1. Toezicht. Komen model en toepassing van dezelfde aanbieder of onderneming, of zit de toepassing in een zeer groot onlineplatform? Dan ligt het toezicht op de aanbieder waarschijnlijk bij het AI-bureau. Noteer twijfel als open vraag.
2. Contract. Staat erin dat de leverancier u informeert als een toezichthouder het systeem onderzoekt, beperkt of uit de handel neemt? En kunt u dan uw gegevens en instellingen meenemen?
3. Uitwijk. Wat doet u als de toepassing in Nederland tijdelijk niet beschikbaar is? Eén alinea per toepassing volstaat: het alternatief, de eigenaar en wat er dan handmatig moet.

Bent u aanbieder binnen dit domein, of adviseert u er een? Reageer dan uiterlijk 9 november op het concept. Dit is ons praktische werkadvies, geen wettelijke checklist.

Tot volgende week dinsdag.
Zahed Ashkara
Praxikon