Wie grijpt in als uw AI buiten de opdracht handelt?

Deze analyse verscheen eerder als wekelijkse Praxikon-nieuwsbrief.

Europa onderzoekt verlies van controle over AI

De Europese Commissie meldde afgelopen week een bijzondere bijeenkomst van haar wetenschappelijke AI-panel over de veiligheid van geavanceerde AI. Het panel onderzoekt incidenten waarbij de controle over AI verloren ging en heeft samen met het AI Office vragen voorbereid voor de betrokken modelontwikkelaars. Dat staat in het Commissiebericht, bijgewerkt op 9 oktober. Het bericht noemt geen bedrijven en bevat geen vaststelling dat zij de AI Act hebben overtreden.

Wat betekent dit voor u?

Voor uw organisatie is de praktische vraag: wat kan uw AI daadwerkelijk doen? Een toepassing die alleen een concepttekst maakt, vraagt andere beheersmaatregelen dan een agent die ook dossiers wijzigt, berichten verstuurt of opdrachten uitvoert. Onze aanbeveling: beoordeel naast de kwaliteit van het antwoord ook de bevoegdheden van de toepassing.

De modelaanbieder en de organisatie die AI gebruikt hebben verschillende rollen. Alleen het gebruik van een extern model maakt u niet automatisch aanbieder van dat model. Ontwikkelt of wijzigt u zelf modellen, dan verdient uw positie afzonderlijke beoordeling. De Commissierichtsnoeren voor GPAI-aanbieders helpen die grens bepalen.

Handhaving loopt, overgangsrecht blijft relevant

De handhavingsbevoegdheden van de Commissie voor aanbieders van AI-modellen voor algemene doeleinden gelden sinds 2 augustus 2026. Voor modellen die al vóór 2 augustus 2025 op de markt waren, geldt voor hun aanbieders een overgangstermijn tot 2 augustus 2027. Het nieuws over het panel is dus geen nieuwe algemene deadline voor alle organisaties die AI gebruiken.

Actie voor deze week

Kies deze week één AI-toepassing die toegang heeft tot uw documenten, mailbox of bedrijfssystemen. Loop met de proceseigenaar en IT vier punten na:

1. Bevoegdheden. Welke gegevens kan de toepassing lezen en welke handelingen kan zij uitvoeren? Beperk toegang die voor de taak niet nodig is.
2. Menselijke goedkeuring. Bepaal welke handelingen eerst akkoord vragen, bijvoorbeeld extern versturen of een dossier definitief wijzigen. Test of die controle ook technisch werkt.
3. Ingrijpen. Wijs aan wie toegang kan intrekken of de toepassing kan stilzetten. Oefen dit met fictieve gegevens in een testomgeving.
4. Vastlegging. Noteer de gebruikte versie, de uitgevoerde test, de uitkomst en wie een gevonden tekortkoming oplost. Vraag de leverancier hoe wijzigingen en incidenten worden gemeld.

Dit is een praktische beheerscheck, geen door de AI Act voorgeschreven checklist voor iedere toepassing. Welke wettelijke verplichtingen gelden, hangt af van uw rol, het systeem en het gebruik. Het resultaat van de check is wel concreet: u weet wie kan ingrijpen en heeft gecontroleerd of dat werkt.

Heeft u tijdelijk ondersteuning nodig bij AI-governance of privacy? Bekijk de mogelijkheden om Zahed Ashkara via Praxikon in te huren.

Tot volgende week dinsdag.
Zahed Ashkara
Praxikon