Richtsnoer van 29 juli 2025: De Europese Commissie publiceerde richtsnoeren (C(2025) 5053) over de definitie van een AI-systeem onder artikel 3(1) van de AI Act. Deze richtsnoeren zijn niet juridisch bindend, maar bieden de meest gezaghebbende interpretatie die momenteel beschikbaar is voor organisaties die moeten bepalen of hun software onder de AI Act valt.
Misschien wel de meest fundamentele vraag in AI Act-compliance is tegelijk de meest over het hoofd geziene: valt onze software eigenlijk wel onder de verordening? Veel organisaties nemen als vanzelfsprekend aan dat ze met gewone software werken, totdat een externe audit of een nieuw inkoopproces hen dwingt die aanname te toetsen. De Europese Commissie heeft op 29 juli 2025 richtsnoeren gepubliceerd die precies die vraag beantwoorden.
Waarom de definitie zo bepalend is
De AI Act is geen generieke digitale wetgeving die op alle software van toepassing is. Ze geldt uitsluitend voor systemen die als "AI-systeem" kwalificeren in de zin van artikel 3(1). Dat maakt de definitie tot het drempelbegrip van de hele verordening: zonder AI-systeem geen AI Act-verplichtingen, geen verboden praktijken, geen high-risk beoordeling.
Tegelijk leidde de definitie al bij de onderhandelingen in het Europees Parlement tot felle discussie. Hoe breed of smal definieer je AI? Te breed, en de AI Act wordt een soort digitale omgevingsvergunning voor alle software. Te smal, en systemen die er echt onder zouden moeten vallen, ontsnappen aan regulering. De Commissie mocht op grond van artikel 96 AI Act zelf richtsnoeren uitbrengen, en dat heeft ze gedaan.
De richtsnoeren zijn niet juridisch bindend. Alleen het Hof van Justitie van de Europese Unie kan definitief uitleggen hoe de AI Act moet worden geinterpreteerd. In de praktijk zullen toezichthouders en rechters echter zwaar leunen op de Commissie-interpretatie, zeker in de beginfase van handhaving. Organisaties die afwijken van die interpretatie dragen een extra bewijslast.
Zeven elementen, een definitie
Artikel 3(1) AI Act definieert een AI-systeem als: "een op machines gebaseerd systeem dat is ontworpen om te werken met varierende niveaus van autonomie en dat na de implementatie adaptief gedrag kan vertonen, en dat, voor expliciete of impliciete doelstellingen, afleidt van de invoer die het ontvangt hoe outputs te genereren zoals voorspellingen, content, aanbevelingen of beslissingen die fysieke of virtuele omgevingen kunnen beinvloeden."
De Commissie destilleert uit deze definitie zeven elementen. Elk element moet aanwezig zijn, maar de timing verschilt: sommige manifesteren zich in de bouwfase, andere pas tijdens het gebruik in de praktijk.
Machine-based systeem
Hardware en software samen - van klassieke servers tot quantum computing. Het systeem moet draaien op een machine en computationeel worden aangestuurd.
Varierende niveaus van autonomie
Het systeem is ontworpen om met enige onafhankelijkheid van directe menselijke sturing te opereren. Puur handmatig bediende systemen vallen buiten de definitie.
Adaptiviteit na implementatie (optioneel)
Het systeem kan na ingebruikname zelflerend gedrag vertonen. Let op het woord "may" in de verordening: dit element is niet verplicht. Een systeem zonder zelflerend vermogen kan alsnog een AI-systeem zijn.
Expliciete of impliciete doelstellingen
Het systeem werkt toe naar interne doelen, al dan niet door de ontwikkelaar vastgelegd. Deze doelstellingen zijn onderscheiden van het "beoogde doel" dat elders in de AI Act een rol speelt.
Inferentie - het sleutelelement
Het systeem leidt af hoe het outputs moet genereren op basis van de ontvangen input. Dit is de onmisbare voorwaarde. Technieken: supervised learning, unsupervised learning, reinforcement learning, deep learning en logica-gebaseerde methoden.
Outputs: voorspellingen, content, aanbevelingen of beslissingen
Het resultaat van het systeem valt in een van deze vier categorieen. Denk aan een risicoScore (voorspelling), een gegenereerde tekst (content), een productaanbeveling, of een geautomatiseerd besluit.
Invloed op fysieke of virtuele omgevingen
De outputs zijn niet passief: ze beinvloeden de wereld. Of het nu gaat om een beslissing die een mens raakt of een actie in een digitale omgeving - het systeem heeft effect buiten zichzelf.
Het eerste element is dat het om een machine-based system moet gaan, wat hardware en software samen omvat, inclusief quantum computing. Het tweede element is varierende niveaus van autonomie: het systeem is ontworpen om met een zekere onafhankelijkheid van directe menselijke instructies te opereren. Puur handmatig bediende systemen vallen er dus buiten.
Het derde element is adaptiviteit na implementatie. Hier is het woordje "may" in de verordening cruciaal: adaptiviteit is optioneel. Een systeem hoeft niet te leren na ingebruikname om als AI-systeem te kwalificeren. Het vierde element zijn de doelstellingen, zowel expliciete als impliciete. Die interne doelstellingen zijn iets anders dan het "beoogde doel" dat elders in de AI Act een rol speelt.
Het vijfde element is het meest bepalende: inferentie. Het systeem moet kunnen afleiden hoe het outputs moet genereren op basis van de input die het ontvangt. De Commissie noemt dit een onmisbare voorwaarde en verbindt het aan concrete AI-technieken: supervised learning, unsupervised learning, reinforcement learning, deep learning en op logica gebaseerde methoden. Het zesde element zijn de outputs zelf, namelijk voorspellingen, content, aanbevelingen of beslissingen. Het zevende element is dat die outputs fysieke of virtuele omgevingen actief kunnen beinvloeden.
De grens met gewone software
Waar het in de praktijk op aankomt, is de grens tussen een AI-systeem en gewone software. Overweging 12 van de AI Act sluit expliciet bepaalde categorieen uit: eenvoudige traditionele software, rule-based systemen die uitsluitend werken op door mensen gedefinieerde regels, systemen voor puur wiskundige optimalisatie, klassieke heuristische methoden en eenvoudige voorspellingssystemen met een beperkt vermogen om patronen autonoom te analyseren.
Het onderscheid draait om de capaciteit voor autonome patroonanalyse. Een rekenmachine verwerkt input en geeft output, maar leidt daarbij niets af. Een spellingscontrole werkt op vaste woordenboekregels. Een eenvoudig if-then-else systeem doet precies wat de programmeur heeft gedefinieerd, niet meer en niet minder. Geen van deze systemen analyseert patronen autonoom of past zijn output aan op basis van wat het in de data ziet.
Een CV-screener die op basis van historische aanwervingsdata kandidaten beoordeelt, doet dat wel. Een aanbevelingsengine die gebruikersgedrag leert en op basis daarvan suggesties doet, ook. Een expert-systeem dat procesautomatisering delegeert aan een inferentiemodel, eveneens. De grens is niet scherp als een mes, maar het richtsnoer biedt voldoende houvast voor een gefundeerde analyse.
Grijze gevallen en een hardnekkig misverstand
De Commissie erkent expliciet dat er grijze gevallen bestaan. Niet elk systeem is eenvoudig te classificeren, en de richtsnoeren bieden geen uitputtende lijst met voorbeelden. Wat ze wel bieden, is een analysekader: beoordeel elk systeem aan de hand van zijn specifieke kenmerken, langs de lijn van de zeven elementen, en kijk in het bijzonder of het systeem in staat is patronen autonoom te analyseren en zijn output op basis daarvan aan te passen.
Een veelvoorkomend misverstand is dat organisaties die hun eigen regels hebben geprogrammeerd, automatisch buiten de AI Act vallen. Dat klopt niet. Een systeem dat gebouwd is op regels die door mensen zijn opgesteld, maar dat vervolgens autonoom patronen analyseert en op basis van de data-inzichten zijn output bijstelt, kan alsnog als AI-systeem kwalificeren. De vraag is niet wie de regels heeft geschreven, maar of het systeem zelf leert en afleidt.
Dat onderscheid is in de praktijk relevanter dan het lijkt. Veel systemen zijn begonnen als rule-based tools en zijn later uitgebreid met machine learning-componenten zonder dat de compliance-documentatie is bijgewerkt. Juist die hybride systemen vragen om een kritische herbeoordeling.
Wat dit betekent voor uw organisatie
Vanaf 2 februari 2025 zijn de definitie en de verboden AI-praktijken van de AI Act van kracht. Dat betekent dat organisaties nu al moeten kunnen aantonen dat ze weten welke van hun systemen als AI-systeem kwalificeren.
Die beoordeling heeft directe gevolgen. Een systeem dat als AI-systeem kwalificeert, brengt in elk geval de AI-geletterdheidsplicht van artikel 4 met zich mee. Als het systeem ook nog in een high-risk categorie valt, gelden er vanaf augustus 2026 aanvullende verplichtingen rond transparantie, data-governance en menselijk toezicht.
Voor organisaties die software inkopen bij leveranciers, geldt een eenvoudige maar effectieve praktijkregel: vraag uw leverancier expliciet of het product een AI-systeem is in de zin van artikel 3(1) van de AI Act. Goede leveranciers kunnen die vraag beantwoorden en hebben er documentatie bij. Als ze dat niet kunnen, is dat op zichzelf al een signaal dat meer due diligence noodzakelijk is voordat u het contract tekent.
Een definitie die werkt als kompas
De richtsnoeren van de Commissie bieden geen waterdichte checklist, maar wel een helder kompas. Inferentie is het sleutelbegrip: als een systeem niet afleidt hoe het outputs moet genereren op basis van patronen in zijn input, is het geen AI-systeem. Maar zodra die capaciteit aanwezig is, ook al is het systeem zelf door mensen gebouwd en gebaseerd op menselijk opgestelde regels, verdient de AI Act serieuze aandacht.
Voor compliance professionals, juristen en product managers is de praktische les duidelijk: begin bij de definitie. De rest van de AI Act-verplichting volgt pas als u weet of uw systeem de eerste horde heeft gehaald. Die horde telt zeven elementen, maar het vijfde, inferentie, is veruit het meest bepalende.