AI Act is nog maar het begin: zeven Europese digitale wetten die iedere organisatie moet kennen
Veel organisaties richten vandaag vrijwel al hun aandacht op de Europese AI Act. Dat is begrijpelijk. De nieuwe AI-regels krijgen veel media-aandacht en brengen ingrijpende verplichtingen met zich mee voor ontwikkelaars, aanbieders en gebruikers van AI-systemen. Toch schuilt daarin ook een risico.
De AI Act vormt namelijk slechts één onderdeel van een veel bredere Europese digitale regelgeving. Bedrijven die uitsluitend naar AI-compliance kijken, lopen het gevaar belangrijke verplichtingen uit andere wetgevingen over het hoofd te zien. In de praktijk zullen veel digitale producten en diensten tegelijkertijd onder meerdere Europese verordeningen vallen.
De Europese digitale puzzel wordt steeds complexer
De Europese Unie bouwt al enkele jaren aan één samenhangend digitaal regelgevend kader. Naast de AI Act zijn ondertussen ook de Data Act, de Cyber Resilience Act, NIS2, de Digital Services Act (DSA), de Digital Markets Act (DMA) en de Data Governance Act (DGA) van kracht of in uitvoering. Samen vormen zij het Europese “Digital Rulebook”.
Elke regelgeving heeft een eigen doel.
De AI Act focust op veilige en betrouwbare AI-systemen.
De Cyber Resilience Act legt beveiligingseisen op aan producten met digitale componenten.
De Data Act regelt de toegang tot en het delen van data die verbonden producten genereren.
NIS2 verhoogt de cyberweerbaarheid van essentiële en belangrijke organisaties.
De DSA en DMA richten zich op grote online platformen en digitale markten, terwijl de Data Governance Act het veilig hergebruik en delen van data moet stimuleren.
Eén product kan onder meerdere wetten tegelijk vallen
Voor veel organisaties ontstaat de grootste uitdaging wanneer verschillende wetgevingen gelijktijdig van toepassing zijn.
Denk bijvoorbeeld aan een slimme industriële machine die AI gebruikt voor voorspellend onderhoud. De AI-functionaliteit kan onder de AI Act vallen.
De machine zelf kan tegelijk een “product met digitale elementen” zijn onder de Cyber Resilience Act. Omdat het toestel voortdurend gebruiksgegevens verzamelt, kunnen ook de Data Act en de GDPR relevant worden.
En wanneer dezelfde oplossing wordt ingezet binnen een kritieke organisatie, kunnen bovendien de verplichtingen uit NIS2 een rol spelen.
Met andere woorden: compliance wordt steeds minder een oefening per afzonderlijke wet en steeds meer een geïntegreerde governance-uitdaging.
AI-governance alleen volstaat niet meer
Veel ondernemingen bouwen vandaag een AI-beleid uit, stellen een AI-verantwoordelijke aan of voeren AI-risicoanalyses uit. Dat blijft noodzakelijk.
Maar het is onvoldoende wanneer andere digitale regelgeving buiten beeld blijft.
Een AI-project kan perfect voldoen aan de AI Act en toch tekortschieten op vlak van cybersecurity, datadeling, cloudmigratie of platformverplichtingen.
Steeds vaker zullen organisaties daarom evolueren naar een geïntegreerde digitale governance, waarbij AI, data, cyberveiligheid en compliance samen worden beheerd in plaats van afzonderlijke trajecten te vormen.
De overlap vraagt om één geïntegreerde aanpak
De verschillende Europese digitale wetten zijn niet los van elkaar ontworpen. Integendeel. Ze versterken elkaar, overlappen gedeeltelijk en verwijzen regelmatig naar bestaande regelgeving zoals de GDPR. Daardoor ontstaan ook situaties waarin meerdere verplichtingen tegelijk moeten worden afgewogen.
Organisaties moeten daarom niet alleen weten welke regels gelden, maar ook begrijpen hoe die zich onderling verhouden. Voor compliance-afdelingen betekent dit dat klassieke silo’s steeds minder houdbaar worden.
AI-specialisten, DPO’s, CISO’s, juridische diensten en IT-afdelingen zullen veel nauwer moeten samenwerken dan vandaag vaak het geval is.
De rol van AI-governance verandert fundamenteel
Opvallend is dat AI-governance daardoor een bredere betekenis krijgt.
Waar AI-governance aanvankelijk vooral draaide rond modelrisico’s, transparantie en menselijke controle, evolueert ze steeds meer naar een overkoepelend governancekader waarin ook cyberveiligheid, databeheer, leveranciersbeheer en digitale weerbaarheid een plaats krijgen.
Dat vraagt niet alleen nieuwe processen, maar ook een andere manier van denken. Niet langer afzonderlijke wetten implementeren. Wel één geïntegreerd governance-model uitbouwen dat meerdere Europese verplichtingen tegelijk ondersteunt.
Digitale compliance wordt een strategische competentie
Voor Vlaamse bedrijven, overheden en instellingen ligt hier een belangrijke uitdaging. De vraag is niet enkel of een organisatie aan de AI Act voldoet. De echte vraag wordt of zij voldoende zicht heeft op het volledige Europese digitale regelgevingslandschap.
Wie vandaag investeert in geïntegreerde digitale governance, voorkomt dat iedere nieuwe Europese verordening opnieuw een afzonderlijk complianceproject wordt.
Precies daarin ligt waarschijnlijk de grootste verschuiving van de komende jaren: niet méér regelgeving beheren, maar regelgeving slimmer samenbrengen in één coherent digitaal governancekader.