De AI-verordening moet garanderen dat AI in Europa betrouwbaar, transparant en veilig wordt ingezet. Hoe groter het risico van een toepassing voor gezondheid, veiligheid of onze grondrechten, hoe zwaarder de eisen.
Sinds de inwerkingtreding in 2024 voert de overheid de regels en verplichtingen in fases in. De strengste regels op de meest risicovolle toepassingen zijn al een jaar effectief. Per 2 augustus is een nieuwe set regels ingegaan. Brussel heeft daarbij een vereenvoudiging toegevoegd om te zorgen dat AI-innovatie niet onnodig wordt beperkt.
“De regels die nu ingaan lijken eenvoudiger, maar de uitvoering is dat allerminst”
Mariam Halfhide Xebia
Mariam Halfhide is Principal Consultant Data & AI Strategy bij de Nederlandse AI-consultant Xebia (zie kader onderaan dit artikel). Halfhide ziet dat veel organisaties focussen op de hoog-risico-toepassingen. „Nu die door de Omnibus achteruit zijn geschoven, denken veel organisaties dat ze achterover kunnen leunen”, constateert ze. „De regels die nu ingaan, lijken eenvoudiger, maar de uitvoering is dat allerminst.”
Waar moeten organisaties vanaf nu met name beter op gaan letten?
„De transparantieverplichtingen komen erop neer dat mensen moeten kunnen weten wanneer ze met een AI-systeem communiceren. Dat moet je direct bij de eerste interactie kenbaar maken. Daarbij is ook de steeds vaker voorkomende switch heel belangrijk. Op het moment dat een gesprek overgaat van AI naar mens, of andersom, moet je dat ook duidelijk aangeven.”
„Wat veel bedrijven daarbij onderschatten, is dat een mededeling in de algemene voorwaarden of een privacyverklaring niet volstaat. Het moet ín de interface zelf staan, op het moment dat de gebruiker informatie invoert. Bedrijven die dit oplossen met een algemene mededeling, zoals bijvoorbeeld in de Algemene Verordening Gegevensbescherming vaak gebeurt, schieten hier dus echt tekort.”
„Het op de juiste manier informeren van je klanten is vaak een stuk complexer dan je in eerste instantie zou denken. Je moet dit namelijk op alle kanalen doen waar je AI voor inzet, en dan ook nog eens in allerlei talen. Mensen met een visuele handicap moeten het net zo goed kunnen waarnemen. Het is de operatie eromheen die het bewerkelijk en complex maakt, niet dat tekstje zelf. Zorg dus dat je op tijd in actie komt.”
AI-gegenereerde content moet nu ook machine-leesbaar gemarkeerd worden. Hoe ingrijpend is dat?
„Dat hangt volledig af van je rol. Een provider bouwt en levert AI-systemen zoals bijvoorbeeld een beeldgenerator. Een deployer gebruikt zo’n systeem in de praktijk, bijvoorbeeld het bedrijf dat er content mee maakt en publiceert.”
„Zet je als deployer een gegenereerd plaatje op social media, dan volstaat een zichtbaar label. Dat is dus redelijk behapbaar. Als provider wordt het een ander verhaal. De wet vraagt namelijk niet om een simpel watermerk, maar om een markering die machine-leesbaar blijft. Die moet dus compressie, croppen, screenshots en resolutiewijzigingen overleven.”
„Met cryptografie en metadata valt aan te tonen dat content door jou is gemaakt. Alleen: die metadata laat zich wegknippen. Daarom voegen de grote providers het watermerk toe aan de content zelf. Genereer je iets met Gemini van Google, dan zit er nu al een traceerbaar watermerk in. Voor die hyperscalers is dit een oplosbaar probleem.”
„De complexiteit zit daarna. Bij open modellen, bijvoorbeeld uit China, hoeft er geen watermerk in te zitten, of je haalt het er gewoon uit. Een bedrijf kan dus prima bewijzen dat het content zelf heeft gegenereerd. De bron van de content, of het bewijzen waar de content vandaan komt wordt daarom nog belangrijker.”
De zwaarste high-risk-eisen zijn deels uitgesteld. Hoe adviseer jij bedrijven hierover?
„Toch zo snel mogelijk beginnen. Sommige eisen draaien bijvoorbeeld om de bewijslast. Dat betekent dat je relevante data over een langere periode moet opbouwen. Je moet kunnen laten zien waar je data vandaan komt, dat je dataset representatief was voor het trainen van het model. Dat je hebt gelogd en gemeten over een langere periode.”
Lees ook: Bij deze verzekeraar checken 3 AI-agents letselschade: ‘Behandel het als een nieuwe medewerker’
„Ook aan de proceskant moet je best veel organiseren. Van incident management en modelvalidatie tot periodieke herbeoordeling. Dat soort historie laat zich niet achteraf fabriceren. Zeker in de financiële wereld zijn veel organisaties gelukkig al gewend en ook verplicht om zo te werken. Tegelijk komt er wel weer een verplichting bij, die je apart moet inregelen bovenop de rest. Bereid je daarom niet voor alsof alles al verplicht is, dat kan onnodig duur uitpakken.”
„Richt een gemeenschappelijke basis in, en laat de diepte afhangen van je rol, je classificatie en de context waarin je het inzet. En begin bij het begin: breng in kaart welke AI-toepassingen je überhaupt hebt. Dat klinkt vanzelfsprekend, maar het is voor veel organisaties de eerste echte horde. Let wel, het gaat om toepassingen, niet om elke afzonderlijke AI-functie.”
De boetes kunnen hoger uitvallen dan onder de AVG. Breng je daarmee de boardroom in beweging?
„Een boete zet misschien een deur op een kier, maar houdt de aandacht niet vast. Met angst kom je er niet. Sterker nog, voor sommige bedrijven is het een rekensom: als wat je moet inrichten meer kost dan de boete zelf, kan het een bewuste keuze zijn om het niet te doen.”
„Wat wél werkt, is een verhaal over je license to operate. Ben je niet compliant, en moet je een systeem stilzetten, dan mis je direct omzet. Dat weegt vaak veel zwaarder dan een boete. Daar komt een go-to-market-argument bij: richt je governance vooraan goed in, dan rol je nieuwe diensten ook makkelijker uit.”
„En dan is er natuurlijk nog vertrouwen. Transparantie is niet alleen een eis, het kan een onderscheidend voordeel worden. Misschien wint straks niet het slimste model, maar de partij die het meest transparant en aantoonbaar betrouwbaar is. Zo bezien is transparantie geen kostenpost, maar een investering in de toekomst van je organisatie.”
Lees ook: Trap jij in de AI-hype? ‘We kopen aerodynamische olie’, waarschuwt TOPdesk-CEO Wolter Smit
Bio Mariam Halfhide en Xebia
Mariam Halfhide is Principal Consultant Data & AI Strategy bij Xebia. Vanuit die rol adviseert zij organisaties over AI-governance en de praktische invulling van de AI-verordening: van het in kaart brengen van AI-toepassingen tot transparantieverplichtingen, risicoclassificatie en de inrichting van processen rond datakwaliteit, logging en modelvalidatie.
Xebia is een Nederlands AI-first advies- en softwarebureau dat in ruim dertig landen opereert en bedrijven begeleidt bij digitale transformatie. In Nederland adviseert Xebia onder meer ABN AMRO, Ahold, bol, Booking.com, Eneco, Heineken, Mollie, Philips, Picnic en een groeiend aantal grotere mkb-bedrijven.
Ontvang elke week het beste van BusinessWise in je mailbox. Schrijf je hier nu gratis in:
