De AI-Act is écht begonnen – wat is er sindsdien gebeurd?

Gepubliceerd: 14 juni 2025 – leestijd ± 10 minuten

Toen de EU AI Act op 1 augustus 2024 in het Publicatieblad verscheen, voelde het nog abstract. Elf maanden later is dat voorbij: de eerste verboden gelden al, werknemers moeten aantoonbaar AI-geletterd zijn en in Brussel vliegen de consultaties je om de oren. In deze blog neem ik je mee langs de belangrijkste bewegingen sinds de inwerkingtreding – praktisch, juridisch en politiek. Geen herhaling van de wetstekst; wel een blik op wat er ná 1 augustus gebeurde én waarom jij dat vandaag moet weten.

1. Februari 2025: de eerste harde klap

2 februari 2025 was de datum waarop de AI-Act zijn tanden liet zien. Twee bepalingen werden onmiddellijk van kracht:

• Verboden AI-praktijken – alles wat onder artikel 5 valt (sociale-kredietsystemen, manipulatieve of uitbuitende AI, emotie-AI op school en werk, grootschalige realtime biometrie) moest per direct van de markt of uitgeschakeld worden.
• AI-geletterdheidsplicht – elke organisatie die AI bouwt of gebruikt, moet nu kunnen aantonen dat het personeel "voldoende AI-kennis" heeft. De Autoriteit Persoonsgegevens (AP) publiceerde begin maart een speciale pagina met uitleg, checklists en trainingssuggesties.

Wie dacht dat de boetes (max. 7 % van de wereldwijde omzet) pas in 2026 relevant werden, kwam bedrogen uit: de sanctieartikelen gaan dit jaar al op (2 augustus 2025). Goed luisteren dus, vooral als er nog ergens een selenium-achtig scoring-algoritme in de kelder draait.

2. Brussel legt uit wat "verboden" precies is

De timing was krap: 4 februari 2025 – twee dagen ná het ingaan van de verbodsartikelen – publiceerde de Europese Commissie een ontwerp-richtsnoer voor verboden AI-praktijken. Het document barst van de praktijkvoorbeelden ("dit mag" vs. "dit mag niet") en nuanceert bijvoorbeeld emotieherkenning: enkel gezichtsuitdrukkingen analyseren op de werkvloer valt al snel onder het verbod, maar klanttevredenheid meten met enquêtes niet.

Voorlopig is het een concept; stakeholders hadden zes weken om feedback te geven. Verwacht in Q3 een finale versie die toezichthouders als kapstok gaan gebruiken. Omdat richtsnoeren niet-bindend zijn krijgen we pas 100 % zekerheid wanneer het Hof van Justitie er ooit een oordeel over velt, maar ze geven nu wél broodnodige richting.

3. Generatieve AI onder het vergrootglas

Grote taalmodellen en andere General-Purpose AI-modellen (GPAI) krijgen zelfstandige verplichtingen vanaf 2 augustus 2025. Om misverstanden te voorkomen lanceerde het kersverse European AI Office op 22 april 2025 een gerichte consultatie:

• Wat is precies een GPAI-model?
• Wanneer ben je "aanbieder" (ook bij fine-tuning of downstream deployment)?
• Hoe publiceer je een "samenvatting van trainingsdata" zonder bedrijfsgeheimen te lekken?

Ruim 250 partijen – van open-source-collectieven tot Big Tech – reageerden. Parallel werkt het AI Office aan een Code of Practice die aanbieders vrijwillig kunnen volgen om compliance aan te tonen. Het schema: consultaties verwerken in de zomer, definitieve GPAI-richtsnoeren en code in het najaar. Wie een model als GPT-5, Llama 4 of een industriemodel uitrolt, moet dus nu al nadenken over docu, copyright-claimhandling en risicobeoordelingen.

4. Nederland: toezichthouders warmdraaien

4.1 AP + RDI: voorstel voor een "hub-en-spoke"-toezicht

In juni 2024 kwamen AP en Rijksinspectie Digitale Infrastructuur (RDI) met een position paper: laat de AP optreden als centrale markttoezichthouder voor verboden AI en de meeste hoog-risico-systemen, terwijl sectorale toezichthouders (NVWA, IGJ, ILT) hun bestaande productdomein houden.

Het eindadvies (februari 2025) herhaalde dat model en vroeg om extra budget en AI-experts. Het kabinet moet vóór 2 augustus 2025 formeel knopen doorhakken.

4.2 Consultaties over verboden AI

Ondertussen op de AP-website: een serie "Input on forbidden AI systems". Organisaties konden case-studies en zorgen delen over bijvoorbeeld sociale-krediet­algoritmen en exploitatie van kwetsbare groepen. Doel: zicht krijgen op de praktijk zodat de AP vanaf dag één gericht kan handhaven.

4.3 AI-geletterdheid als compliance-motor

De AI-kennisplicht leeft – zeker bij gemeenten en zorginstellingen. De AP bundelde FAQ's, voorbeeld-trainingsmodules en een self-assessment. Tip voor bedrijven: deel trainings­documentatie met je functionaris gegevensbescherming, dan heb je meteen bewijslast voor de inspecteur.

5. De nieuwe EU-governancestructuur

Sinds de herfst werken drie lagen zich in positie:

1. European AI Office – spin in het web, trekt guidelines en GPAI-toezicht.
2. European AI Board – platform van nationale autoriteiten voor consistente handhaving.
3. Nationale markttoezichthouders – moeten uiterlijk 2 augustus 2025 officieel aangewezen zijn. Nederland loopt voorop, maar in sommige lidstaten is de discussie pas net begonnen.

De European Data Protection Board (EDPB) riep alle lidstaten op om hun privacy-autoriteiten een prominente AI-toezichtrol te geven om overlap met AVG-handhaving logisch te organiseren. Verwacht dus één loket voor burgersklachten per land, en nóg meer Brusselse vergadertafels waar AI-inspecteurs elkaar treffen.

6. Haalbaarheidsdiscussie: pauze of doorzetten?

Niet iedereen is gerust op het tempo. In mei en juni doken signalen op dat de Europese Commissie een "stop-the-clock" overweegt: bepaalde deadlines (met name de GPAI-verplichtingen) opschuiven totdat de technische normen af zijn en genoeg keuringsinstellingen operationeel zijn.

Vooral Polen – Raadvoorzitter vanaf juli – pleit openlijk voor uitstel. MKB-koepels onderschrijven dat: zonder standaarden weten leveranciers niet hoe ze hun risicomanagementsysteem precies moeten bewijzen. Tegelijk waarschuwen NGO's dat elke maand vertraging burgerbescherming uitstelt. Het belooft een heet agenda-punt te worden op de Telecomraad van juli 2025.

7. De blikken van buiten Europa

• VS – Federale wet ontbreekt, maar staten als Californië kijken mee. Amerikaanse Big Tech bouwt steeds vaker "EU-by-design" om dubbel werk te voorkomen.
• VK – Houdt vast aan principe-gedreven, sectorspecifiek toezicht; gebruikt de AI Safety Summit om wél over grensrisico's van frontier-AI te praten.
• G7/Raad van Europa – De Hiroshima-verklaring en het nieuwe Raad-van-Europa-verdrag volgen dezelfde waarden­lijn; de AI-Act fungeert als template.

Voor Europese bedrijven betekent dit dat de Brussels Effect opnieuw toeslaat: producten die in de EU compliant zijn, zijn elders vaak ook acceptabel – maar het omgekeerde geldt niet.

8. Wat organisaties nú moeten doen

1. Schoon je AI-portfolio op. Scan alle toepassingen: verbod? hoog risico? beperkt?
2. Documenteer AI-geletterdheid. Plan trainingen, leg aanwezigheids- en toetsresultaten vast.
3. Volg de consultaties. Deadline High-Risk AI (18 juli 2025) en finale GPAI-code (najaar) bepalen jouw roadmap.
4. Check contracten. Leveranciers die na 2 augustus 2025 nog GPAI-modellen leveren, moeten voldoen aan de nieuwe disclosure-plichten – zet dat in de SLA.
5. Reserveer budget. Conformiteitsbeoordeling is geen Excel-klus; reken op externe audits en (bij high-risk) CE-achtige keurmerken.

Slot

De EU AI Act is geen futuristisch vergezicht meer; hij maakt dagelijks verschil op de werkvloer, in de ontwikkelstudio en in de bestuurskamer. Tussen nu en 2 augustus 2025 krijgt de wet een tweede golf: GPAI-toezicht, sanctieregime en de officiële benoeming van nationale inspecties. Of die datum blijft staan, hangt af van de stop-the-clock-discussie – maar wachten is geen verstandige strategie.

Organisaties die de afgelopen maanden al huiswerk maakten, ontdekken dat compliance niet alleen een kostenpost is. Het levert scherpere governance, betere datasets en vooral het vertrouwen op dat jouw AI-toepassingen de Europese toets der kritiek kunnen doorstaan. En dát wordt, pauze of niet, het nieuwe normaal.

Meer Weten over AI Compliance?

Benieuwd hoe uw organisatie zich kan voorbereiden op de laatste ontwikkelingen van de EU AI Act? Bij Embed AI helpen we organisaties met praktische compliance-strategieën en AI-geletterdheidsplannen. Laat het ons weten, dan denken we graag met u mee!

---

Bronnen: Europese Commissie – Guidelines prohibited AI (4 feb 2025); Consultatie GPAI (22 apr 2025); AP – AI-geletterdheid (mrt 2025); AP – Input verboden AI (apr 2025); DLA Piper – mogelijke pauze AI-Act (juni 2025); LinkedIn/MLex leak over "stop-the-clock" (juni 2025).