De korte versie
De EU AI Act (Verordening 2024/1689) is sinds 1 augustus 2024 in werking en treedt gefaseerd in werking tot 2027. Voor werkgevers zijn drie zaken belangrijk: welke AI-toepassingen zijn verboden, welke zijn hoog risico, en welke informatie- en transparantieplichten gelden voor "beperkt risico"-systemen zoals chatbots.
Tijdslijn die je moet kennen
- 2 februari 2025 — Verboden AI-praktijken zijn van kracht. Ook AI-geletterdheid (artikel 4) is verplicht: organisaties moeten zorgen dat personeel dat met AI werkt, "voldoende kennis" heeft.
- 2 augustus 2025 — Regels voor general-purpose AI-modellen (zoals GPT, Claude, Gemini) en de governance-structuur treden in werking.
- 2 augustus 2026 — Hoofdmoot van de verplichtingen voor hoog-risico-systemen wordt van kracht. Dit raakt direct AI in werving, prestatiebeoordeling en taakallocatie.
- 2 augustus 2027 — Volledige toepassing, ook op systemen die al vóór 2026 in gebruik waren.
Verboden praktijken (artikel 5) — relevant voor werkgevers
- Emotieherkenning op de werkplek — verboden, behalve om medische of veiligheidsredenen. Een AI die de "stemming" van callcenter-medewerkers analyseert valt hieronder.
- Biometrische categorisering die gevoelige eigenschappen afleidt (etniciteit, religie, politieke voorkeur, seksuele oriëntatie, lidmaatschap vakbond).
- Social scoring door overheden of organisaties op een manier die schadelijke gevolgen heeft.
- Manipulatieve of misleidende AI die het gedrag van mensen wezenlijk verstoort.
Hoog-risico-systemen op het werk (bijlage III)
De AI Act merkt diverse werkplekgerelateerde toepassingen aan als hoog risico. Voor deze systemen geldt een uitgebreid pakket: risicomanagement, datakwaliteit, technische documentatie, logging, transparantie, menselijk toezicht, robuustheid en cybersecurity. Concreet hoog-risico op het werk:
- AI voor werving en selectie: het screenen van cv's, het sturen van vacatures, het filteren van kandidaten.
- AI voor besluiten over beloning, promotie of ontslag.
- AI voor taakallocatie op basis van persoonlijk gedrag of -kenmerken.
- AI die prestaties en gedrag van werknemers monitort en evalueert.
Wat dit concreet betekent voor je AI-aanschaf
- Inventariseer welke AI-systemen je gebruikt of wilt invoeren. Vergeet niet de AI-functies in bestaande SaaS-tools (Workday, Recruitee, MS Copilot, ATS-integraties).
- Classificeer elk systeem: onaanvaardbaar / hoog / beperkt / minimaal risico.
- Documenteer bij hoog risico de doeleinden, datasets, en de menselijke toezichtsstructuur.
- Informeer werknemers die direct geraakt worden — dit is een aparte plicht onder artikel 26 lid 7.
- Vraag instemming van de OR (artikel 27 WOR) voor regelingen rond personeelsvolg- en beoordelingssystemen.
- Train medewerkers die met AI werken — AI-geletterdheid is sinds februari 2025 verplicht.
Overlap met de AVG
De AI Act vervangt de AVG niet — die geldt parallel. Voor AI-systemen die persoonsgegevens verwerken heb je en een AVG-grondslag en AI Act-naleving nodig. Een DPIA (data protection impact assessment) is bij vrijwel alle hoog-risico-werkplek-AI verplicht. Zie AI-monitoring van werknemers.
Boetes
Bovengrens voor verboden praktijken: €35 miljoen of 7% van de wereldwijde jaaromzet. Voor hoog-risico-overtredingen €15 miljoen of 3%. De Autoriteit Persoonsgegevens en de Nederlandse AI-coördinator zijn de belangrijkste toezichthouders in Nederland.
Bronnen
- EUR-Lex: Verordening (EU) 2024/1689
- EU AI Act Explorer (interactief overzicht)
- Autoriteit Persoonsgegevens — Algoritmes en AI