Een AI-bedrijf dat door de Europese Commissie wordt onderzocht, krijgt niet meteen toegang tot alle stukken van zijn dossier. Het moet wachten tot het AI Office zijn voorlopige bevindingen heeft meegedeeld. En wanneer het onderzoek aansleept, kan de Commissie onder bepaalde voorwaarden nog tien jaar na het begin van de verjaringstermijn een boete opleggen, waarbij schorsingen die periode verder kunnen verlengen. Dat staat in een ontwerpverordening van 12 oktober 2026, waarmee Brussel de procedures voor een deel van de handhaving van de Europese AI Act wil vastleggen.
De tekst regelt onder meer hoe bedrijven zich kunnen verdedigen, wie vertrouwelijke documenten mag inkijken en wanneer de bevoegdheid om sancties op te leggen verjaart. De consultatie loopt volgens de gepubliceerde planning tot 9 november. De Commissie wil de regeling nog in het vierde kwartaal van 2026 goedkeuren. Voorlopig zijn het dus voorstellen, geen geldende procedureregels. Maar ze maken wel duidelijk hoe Brussel zijn eigen onderzoeken naar AI-aanbieders wil organiseren.
Voor de voorbereidingen van de inhoud en creatie van de visuals wordt (uiteraard) gebruikgemaakt van generatieve AI.
Niet ieder AI-bedrijf krijgt rechtstreeks met Brussel te maken
De AI Act verdeelt het toezicht tussen nationale autoriteiten en het Europese AI Office. Dat laatste krijgt voor bepaalde AI-systemen een exclusieve handhavingsbevoegdheid.
Het gaat onder meer om systemen die gebaseerd zijn op een general-purpose AI-model, wanneer het model en het daarop gebouwde systeem door dezelfde aanbieder of ondernemingsgroep worden ontwikkeld.
Ook AI-systemen die zelf een zeer groot onlineplatform of een zeer grote onlinezoekmachine vormen, of daarin geïntegreerd zijn, kunnen onder deze bevoegdheid vallen. Daarbij sluit de AI Act aan bij de categorieën uit de Digital Services Act.
Die afbakening is belangrijk. Een onderneming die een extern AI-model gebruikt in haar eigen bedrijfsprocessen, valt daardoor niet automatisch rechtstreeks onder het toezicht van het AI Office.
Artikel 75(1) richt zich in beginsel op aanbieders, of providers. Een gebruiker van een AI-systeem, in de wet een deployer, valt alleen binnen die rechtstreekse bevoegdheid wanneer hij zelf ook aanbieder is of tot dezelfde onderneming behoort.
Bovendien gelden uitzonderingen voor onder meer bepaalde productgebonden AI-systemen en toepassingen in kritieke infrastructuur, financiële instellingen, rechtshandhaving en rechtspraak.
De vraag wie het systeem ontwikkelt, wie het aanbiedt en hoe het wordt ingezet, bepaalt dus welke toezichthouder bevoegd is. Dat onderscheid kan binnen één AI-toepassing tot verschillende verantwoordelijkheden leiden.
Eerst de voorlopige beschuldiging, daarna pas dossierinzage
Een van de gevoeligste onderdelen van het ontwerp gaat over het recht van verdediging.
Wanneer het AI Office een bedrijf onderzoekt, verzamelt het mogelijk technische documentatie, interne communicatie, informatie over modellen en gegevens die commercieel bijzonder gevoelig zijn.
Het onderzochte bedrijf moet zich tegen de bevindingen kunnen verdedigen. Maar dat betekent volgens het ontwerp niet dat het vanaf het begin onbeperkt toegang krijgt tot alle onderzoeksstukken. Die toegang ontstaat pas nadat het AI Office zijn voorlopige bevindingen heeft meegedeeld.
Het bedrijf kan vervolgens de documenten raadplegen waarop die bevindingen steunen. Vertrouwelijke informatie kan daarbij worden afgeschermd.
Voor volledige toegang tot niet-geanonimiseerde stukken voorziet de Commissie een veel beperktere regeling. Die toegang zou voorbehouden blijven aan een kleine groep vooraf aangewezen externe advocaten, economen en technische deskundigen die het onderzochte bedrijf bijstaan.
Daarmee probeert Brussel twee belangen met elkaar te verzoenen. Een bedrijf moet kunnen controleren of de Commissie haar conclusies op correcte informatie baseert. Tegelijk kunnen onderzoeksdossiers bedrijfsgeheimen bevatten van concurrenten, klanten of andere betrokken partijen.
Voor AI-aanbieders is dat geen theoretisch probleem. Technische details over modelarchitectuur, evaluaties, trainingsmethoden of interne veiligheidsprocedures kunnen commercieel waardevol zijn.
De gekozen procedure bepaalt dus mee hoeveel informatie een bedrijf daadwerkelijk kan gebruiken om zich te verdedigen, zonder dat vertrouwelijke gegevens onnodig worden verspreid.
Een termijn van vijf jaar betekent niet dat het onderzoek na vijf jaar stopt
Ook de verjaring van sancties krijgt een afzonderlijke regeling. De basisregel in het ontwerp is een termijn van vijf jaar. Bij een voortdurende overtreding begint die pas te lopen wanneer de overtreding eindigt.
Maar die vijf jaar vormen geen eenvoudige einddatum. Verschillende onderzoeksstappen kunnen de verjaring onderbreken, waarna de termijn opnieuw begint te lopen. Het ontwerp noemt onder meer formele informatieverzoeken, inspecties, verzoeken om toegang voor systeemevaluaties en het openen of heropenen van een procedure.
Ook een uitnodiging voor een gestructureerde dialoog kan gevolgen hebben voor de termijn. Dat betekent dat een bedrijf niet zomaar kan aannemen dat een mogelijke overtreding na vijf kalenderjaren buiten het bereik van de Commissie valt.
Het ontwerp voorziet een maximale termijn van tien jaar, met de mogelijkheid dat perioden van schorsing daar nog bovenop komen.
Voor een AI-aanbieder kan dat bijzonder lang zijn. In tien jaar tijd kunnen modellen verschillende generaties doorlopen, kunnen technische teams volledig veranderen en kunnen de oorspronkelijke systemen al lang vervangen zijn.
Toch kan documentatie uit die eerdere periode nodig blijven om een onderzoek te reconstrueren. Dat maakt de bewaring van technische informatie, interne beslissingen, testresultaten en communicatie over naleving belangrijker dan alleen voor de eerstvolgende audit.
Een onderneming moet jaren later nog kunnen aantonen waarom ze bepaalde keuzes maakte en op welke informatie die beslissingen gebaseerd waren.
De ontwerptekst bevat nog fouten die juridisch moeten worden rechtgezet
De Commissie heeft de regeling nog niet definitief vastgesteld. Dat is ook zichtbaar in de tekst zelf. Een bepaling over de maximale verjaringstermijn verwijst bijvoorbeeld naar een zesde paragraaf die in het betrokken artikel niet bestaat. Ook andere interne verwijzingen sluiten volgens de gepubliceerde analyse niet correct aan.
Dat lijkt op het eerste gezicht een redactioneel probleem. In een procedureverordening kunnen zulke fouten echter gevolgen hebben voor de interpretatie van rechten en termijnen.
Zeker bij verjaring moet ondubbelzinnig vaststaan welke gebeurtenissen de klok onderbreken, wanneer een schorsing begint en welke bovengrens van toepassing is. De consultatie biedt ruimte om die onduidelijkheden te corrigeren voordat de Commissie de definitieve tekst aanneemt.
Bedrijven doen er daarom goed aan het ontwerp te bestuderen, maar hun juridische procedures nog niet uitsluitend op deze versie te baseren.
Ook klanten van AI-leveranciers kunnen de gevolgen voelen
Voor de meeste ondernemingen die AI gebruiken, verandert deze ontwerpverordening niet rechtstreeks hun verplichtingen.
Een bedrijf dat een externe AI-toepassing inzet voor klantenservice, documentverwerking of interne analyses, blijft onderworpen aan de verplichtingen die voor zijn eigen rol uit de AI Act voortvloeien. Het toezicht daarop ligt in veel gevallen bij nationale autoriteiten.
Maar daarmee is het risico niet volledig afgedekt. Stel dat een onderneming voor een belangrijk bedrijfsproces afhankelijk is van een AI-systeem van een grote externe aanbieder. Die aanbieder wordt vervolgens rechtstreeks door het AI Office onderzocht.
Als het onderzoek leidt tot correctieve maatregelen, beperkingen of het terugtrekken van een systeem, kunnen ook klanten die zelf geen partij zijn in de procedure gevolgen ondervinden. Een toepassing waarop een organisatie dagelijks vertrouwt, kan moeten worden aangepast of tijdelijk onbeschikbaar worden.
Dat maakt de keuze van een AI-leverancier ook een vraagstuk van bedrijfscontinuïteit. Wie vandaag een extern AI-systeem integreert in een belangrijk proces, moet weten wie juridisch als provider optreedt, welke toezichthouder bevoegd is en wat de contractuele afspraken zijn wanneer de leverancier zijn dienstverlening moet wijzigen.
Vooral dat laatste verdient aandacht. Een contract kan duidelijke afspraken bevatten over beschikbaarheid en ondersteuning, maar veel minder over de gevolgen van een Europees handhavingsonderzoek.
Wat gebeurt er wanneer een model verplicht moet worden aangepast? Wie draagt de kosten van een noodzakelijke migratie? En kan de klant zijn gegevens en processen tijdig naar een alternatief overbrengen?
Die vragen worden relevanter naarmate AI dieper in bedrijfsprocessen wordt ingebouwd.
De AI Act krijgt nu ook een procedurele werkelijkheid
De discussie over de AI Act ging lange tijd vooral over de inhoudelijke verplichtingen: welke systemen als hoog risico gelden, welke documentatie aanbieders moeten bijhouden en welke eisen gelden voor transparantie en veiligheid.
Met deze ontwerpverordening verschuift de aandacht naar wat er gebeurt wanneer de Commissie vermoedt dat een aanbieder de regels heeft overtreden.
Wie krijgt toegang tot welk bewijs? Hoe worden bedrijfsgeheimen beschermd? Welke onderzoeksstappen beïnvloeden de verjaring? En hoe lang kan een onderneming met een mogelijke sanctie geconfronteerd blijven?
Dat zijn vragen die bepalen hoe de wet in concrete dossiers zal werken. De regeling is nog niet aangenomen en kan tijdens de consultatie veranderen. De definitieve tekst zal daarom belangrijker zijn dan de huidige ontwerpversie.
Maar voor aanbieders die onder het rechtstreekse toezicht van het AI Office vallen, is de richting al zichtbaar: een Europees AI-onderzoek kan een langdurig juridisch en technisch traject worden, waarin documentatie van jaren geleden opnieuw op tafel komt.
Voor hun klanten ligt de les elders. Een AI-systeem beoordelen op prestaties, prijs en beveiliging volstaat niet meer wanneer dat systeem een belangrijk bedrijfsproces ondersteunt.
Je moet ook weten wat er met je organisatie gebeurt als de leverancier zelf in Brussel ter verantwoording wordt geroepen.