De grootste uitdaging van de AI Act? Niet de regels, maar de onduidelijkheid
Ruim een jaar na de goedkeuring van de Europese AI Act werken duizenden organisaties volop aan hun AI-governance. Risicobeoordelingen worden opgesteld, AI-registers groeien, beleidsdocumenten worden geschreven en complianceprogramma’s krijgen vorm. Toch blijft één gevoel opvallend vaak terugkomen: twijfel.
Een recente studie van de Europese Commissie, waarin ervaringen uit de markt werden verzameld over de implementatie van hoog-risico AI-systemen, bevestigt wat veel organisaties vandaag al ervaren: de AI Act biedt een duidelijk wettelijk kader, maar de praktische toepassing blijkt veel complexer dan verwacht.
De vragen zijn vaak belangrijker dan de antwoorden
Wie vandaag AI implementeert, botst regelmatig op dezelfde onzekerheden.
Wanneer is een AI-systeem precies hoog risico?
Waar eindigt een general-purpose AI-model en waar begint een AI-systeem?
Welke documentatie moet een leverancier precies aanleveren?
Welke informatie heeft een organisatie nodig om haar eigen governance correct uit te voeren?
Net over die vragen blijkt in de praktijk nog veel discussie te bestaan. Niet omdat organisaties de regels willen ontwijken, maar omdat de wet op verschillende punten ruimte laat voor interpretatie. Daardoor ontstaan uiteenlopende implementaties, zelfs tussen organisaties die met vergelijkbare AI-toepassingen werken.
Documentatie is niet hetzelfde als transparantie
Een opvallend thema uit de studie is de kwaliteit van de beschikbare documentatie. Veel leveranciers leveren uitgebreide handleidingen, technische fiches en gebruiksvoorwaarden aan. Maar uitgebreide documentatie betekent niet automatisch bruikbare documentatie.
Governance vraagt immers andere informatie dan marketing- of productdocumentatie. Een organisatie wil onder meer weten:
waarop het model werd getraind;
welke beperkingen bekend zijn;
welke risico’s werden vastgesteld;
hoe menselijke tussenkomst kan worden georganiseerd;
welke wijzigingen tussen modelversies plaatsvinden.
Juist die informatie blijkt lang niet altijd beschikbaar of voldoende concreet.
Het gevolg is dat organisaties formeel aan hun documentatieplicht proberen te voldoen, terwijl zij in de praktijk onvoldoende inzicht hebben om het AI-systeem daadwerkelijk verantwoord te beheren.
Menselijk toezicht begint met voldoende informatie
De AI Act legt veel nadruk op menselijke controle. Dat klinkt logisch.
Maar effectief toezicht organiseren kan alleen wanneer medewerkers beschikken over voldoende informatie over het systeem dat zij moeten controleren.
Wanneer een leverancier nauwelijks inzicht geeft in de werking, beperkingen of bekende risico’s van een AI-oplossing, wordt menselijk toezicht grotendeels een theoretisch concept.
Je kunt immers moeilijk toezicht houden op een systeem waarvan je onvoldoende begrijpt hoe het beslissingen neemt, welke fouten het kan maken of wanneer menselijke tussenkomst noodzakelijk is.
Daarmee verschuift de uitdaging van compliance naar informatievoorziening.
Het gevaar van administratieve compliance
Een ander terugkerend signaal is dat onduidelijke regelgeving soms leidt tot meer administratie dan daadwerkelijke risicobeheersing.
Wanneer definities onvoldoende scherp zijn, kiezen organisaties vaak voor zekerheid: extra formulieren, extra controles, extra procedures en extra goedkeuringen.
Dat verkleint niet noodzakelijk het risico voor burgers of eindgebruikers. Integendeel.
Er ontstaat het gevaar dat compliance vooral draait om aantonen dat processen zijn gevolgd, terwijl de feitelijke kwaliteit, veiligheid en betrouwbaarheid van AI-systemen onvoldoende verbeteren.
Governance dreigt dan een papieren tijger te worden.
De echte uitdaging begint na de implementatie
Veel organisaties richten zich vandaag vooral op de invoering van de AI Act. Dat is begrijpelijk. Maar uiteindelijk vormt implementatie slechts het begin.
De grootste uitdaging ligt in de dagelijkse operationele governance.
Nieuwe modellen verschijnen voortdurend. Leveranciers brengen updates uit. Risicoprofielen veranderen. Gebruikers ontdekken nieuwe toepassingen. Wetgeving evolueert verder.
AI-governance wordt daardoor geen eenmalig project, maar een continu proces van evalueren, bijsturen en documenteren.
Minder interpretatie, meer uitvoerbaarheid
De studie van de Europese Commissie laat zien dat organisaties niet zozeer behoefte hebben aan méér regelgeving.
Ze vragen vooral om meer praktische duidelijkheid:
heldere definities;
werkbare voorbeelden;
eenduidige interpretaties;
concrete richtlijnen voor documentatie;
voldoende informatie om de verantwoordelijkheden uit de AI Act daadwerkelijk te kunnen uitvoeren.
Van wetgeving naar werkvloer
De AI Act heeft de basis gelegd voor verantwoord gebruik van artificiële intelligentie binnen Europa.
De volgende stap is minstens even belangrijk.
Hoe vertalen we juridische verplichtingen naar dagelijkse processen die werkbaar zijn voor IT-afdelingen, juristen, DPO’s, CISO’s, AI-verantwoordelijken en eindgebruikers?
Want uiteindelijk wordt het succes van de AI Act niet bepaald door de kwaliteit van de wetstekst, maar door de mate waarin organisaties erin slagen AI veilig, transparant en beheersbaar toe te passen in de dagelijkse praktijk.